SCAP je skratka pre Protokol na automatizáciu zabezpečenia obsahu. Jej účelom je aplikovať už prijatý bezpečnostný štandard na organizácie, ktoré v súčasnosti nemajú jeden alebo majú slabé implementácie.
Inými slovami, umožňuje správcom zabezpečenia skenovať počítače, softvér a iné zariadenia na základe vopred určenej základne bezpečnosti, aby sa zistilo, či sú konfigurácie a softvérové záplaty implementované podľa normy, s ktorou sa porovnávajú.
Národná databáza zraniteľnosti (National Vulnerability Database - NVD) je úložisko obsahu vlády pre SCAP.
Poznámka: Niektoré bezpečnostné štandardy podobné SCAP zahŕňajú značky SACM (bezpečnostná automatizácia a nepretržité monitorovanie), CC (Common Criteria), značky SWID (Identifikácia softvéru) a FIPS (Federal Information Processing Standards).
SCAP má dve hlavné súčasti
Existujú dve hlavné časti Protokolu o automatizácii zabezpečenia obsahu:
Obsah SCAP
Obsahové moduly SCAP sú voľne dostupný obsah vyvinutý Národným inštitútom pre štandardy a technológie (NIST) a jeho priemyselnými partnermi. Obsahové moduly sú vytvorené z "bezpečných" konfigurácií, ktoré sú dohodnuté NIST a jeho partnermi SCAP.
Príkladom by mohla byť Federálna konfigurácia základnej plochy, ktorá je bezpečnostnou tvrdou konfiguráciou niektorých verzií systému Microsoft Windows. Obsah slúži ako základ pre porovnanie systémov, ktoré sa skenujú pomocou skenovacích nástrojov SCAP.
Skenery SCAP
SCAP skener je nástroj, ktorý porovnáva cieľový počítač alebo konfiguráciu aplikácie a / alebo úroveň patche s úrovňou základnej línie obsahu SCAP.
Nástroj zaznamená všetky odchýlky a vytvorí prehľad. Niektoré skenery SCAP majú tiež schopnosť opraviť cieľový počítač a prispôsobiť ho štandardnej základnej línii.
V závislosti od požadovanej množiny funkcií je k dispozícii mnoho komerčných a open-source SCAP skenerov. Niektoré skenery sú určené na podnikové skenovanie, zatiaľ čo iné sú určené na individuálne použitie počítača.
V NVD nájdete zoznam nástrojov SCAP. Niektoré príklady produktov spoločnosti SCAP zahŕňajú ThreatGuard, Tenable, Red Hat a IBM BigFix.
Dodávatelia softvéru, ktorí potrebujú, aby ich výrobok bol overený v súlade s normou SCAP, môže kontaktovať autorizovanú laboratóriu SCAP, akreditovanú spoločnosťou NVLAP.
