SCAP

Share

|

Security Content Automation Protocol (PAP) est une suite d'ensemble de normes qui comprennent CVE, CVSS, CPE, XCCDF, et ovales. Le NIST maintient le contenu SCAP, qui définit la manière dont l'ensemble de ces protocoles de travailler ensemble de manière automatisée. Il contient également le contenu de l'ensemble de ces normes dans le NVD.

SCAP a aussi un programme de validation des produits pour aider à évaluer les produits pour la compatibilité avec les différents standards ouverts. NIST fournit des descriptions détaillées des zones de validation, en abrégé ici pour vous donner une idée des domaines possibles de validation:

Federal Desktop Core Configuration (FDCC) scanner: un produit avec la capacité de vérifier et d'évaluer un système cible afin de déterminer sa conformité avec les exigences FDCC, qui ont été le résultat du gouvernement des États-Unis Mémo OMB M-07-18. Cette note indique que le fournisseur de technologies de l'information doit certifier les applications sont pleinement fonctionnelles et fonctionnent correctement comme prévu sur les systèmes utilisant le FDCC.

• Configuration du scanner authentifiés: Un produit avec la capacité de vérifier et d'évaluer un système cible pour déterminer sa conformité avec un ensemble défini d'exigences de configuration en utilisant le log du système cible sur les privilèges.

 

• Authentifié et un scanner de vulnérabilité patch: Un produit avec la possibilité de numériser un système cible à localiser et à identifier la présence de failles logicielles connues et d'évaluer l'état correctif logiciel pour déterminer la conformité avec une politique définie utilisation du patch log du système cible sur les privilèges.

 

• Vulnerability Scanner non authentifié: Un produit avec la possibilité de déterminer la présence de failles logicielles connues par l'évaluation du système cible sur le réseau.

 

• La détection d'intrusion et les systèmes de prévention: les produits que les systèmes de suivi ou de réseaux d'activités non autorisées ou malveillantes. Un IPS protège activement le système ou un réseau contre ces activités.

 

• Patch assainissement: La capacité à installer des correctifs sur un système cible en conformité avec une politique de rapiéçage définis.

 

• Mauvaise configuration d'assainissement: la capacité de modifier la configuration d'un système cible afin de la mettre en conformité avec un ensemble défini des recommandations de configuration.

 

• Asset management: La possibilité de découvrir activement, d'audit et d'évaluer les caractéristiques des actifs, notamment installés et produits sous licence; localisation dans le monde, un réseau ou d'une entreprise, la propriété, et autres informations sur les biens de TI, comme les postes de travail, serveurs et routeurs.

 

• Base de données d'actifs: La possibilité de stocker de façon passive et rapport sur les caractéristiques des actifs, notamment installés et produits sous licence; localisation dans le monde, un réseau ou d'une entreprise, la propriété, et autres informations sur les biens de TI, comme les postes de travail, les serveurs et les routeurs.

Vulnérabilité de base de données: Un produit qui contient un catalogue de questions de sécurité des logiciels de défauts marqués avec CVEs le cas échéant. Ces données sont rendues accessibles aux utilisateurs grâce à une capacité de recherche ou de flux de données et contient des descriptions des failles logicielles, des références à des informations supplémentaires (par exemple, des liens vers des correctifs ou des avis de vulnérabilité), et les scores d'impact.

• Mauvaise configuration de base de données: Un produit qui contient un catalogue de problèmes de configuration de sécurité liés marqués avec CVEs le cas échéant.

 

• Outil Malware: La capacité d'identifier et de faire rapport sur la présence de virus, chevaux de Troie, logiciels espions ou autres logiciels malveillants sur un système cible.

Quand un produit est évaluée et validée, elle est valable pour une ou plusieurs de ces domaines. Le statut de validation des produits est affiché sur le site public de l'NIST Web. En cours de validation ne garantit pas la qualité ou la fiabilité du produit, mais seulement qu'il répond aux critères fixés par le programme SCAP.

---