imported>Mfeilner: Link zu Schwachstellenmanagement eingefügt

2023-12-20T16:55:42Z

Link zu Schwachstellenmanagement eingefügt

Neue Seite

Das '''Security Content Automation Protocol''' ('''SCAP''') ist eine Methode für die Verwendung bestimmter Standards zur automatisierten Vulnerability-Management-, Mess- und Policy-Compliance-Auswertung (z. B. [[FISMA]] Compliance). Die [[National Vulnerability Database]] (NVD) ist das Content-Repository der US-Regierung für SCAP.

== Zweck ==
Das Security Content Automation Protocol (SCAP), ausgesprochen „ess-kap“, kombiniert eine Reihe von offenen Standards, die verwendet werden, um Software-Fehler und Konfigurationsprobleme in Bezug auf Sicherheit darzustellen. Sie messen Systeme, um Schwachstellen zu finden, und bieten Methoden, um mögliche Auswirkungen zu bewerten. Es ist eine Methode zum Einsatz offener Standards für die automatisierte Auswertung von [[Schwachstellenmanagement]], Datenerfassung und Einhaltung der Regeln. SCAP definiert, wie die folgenden Standards (bezeichnet als SCAP-Komponenten) kombiniert sind:

=== SCAP-Komponenten ===
* [[Common Vulnerabilities and Exposures]] [http://cve.mitre.org/ (CVE)]
* [https://ncp.nist.gov/cce/index Common Configuration Enumeration (CCE)]
* [http://scap.nist.gov/specifications/cpe/ Common Platform Enumeration (CPE)]
* [http://www.first.org/cvss/ Common Vulnerability Scoring System (CVSS)]
* [[Extensible Configuration Checklist Description Format]] [http://scap.nist.gov/specifications/xccdf/ (XCCDF)]
* [[Open Vulnerability and Assessment Language]] [http://oval.mitre.org/ (OVAL)]

Ab SCAP Version 1.1
* [http://scap.nist.gov/specifications/ocil/ Open Checklist Interactive Language (OCIL) Version 2.0]

Ab SCAP Version 1.2
* [http://scap.nist.gov/specifications/ai/ Asset Identification]
* [http://scap.nist.gov/specifications/arf/ Asset Reporting Format (ARF)]
* [http://csrc.nist.gov/publications/PubsNISTIRs.html#NIST-IR-7502 Common Configuration Scoring System (CCSS)]
* [http://scap.nist.gov/specifications/tmsad/ Trust Model for Security Automation Data (TMSAD)]

=== SCAP-Checklisten ===
SCAP-Checklisten normieren und automatisieren die Abbildung von Sicherheitsmaßnahmen wie [[NIST Special Publication 800-53]] (SP 800-53) auf die Konfiguration von Systemen. Die aktuelle Version von SCAP soll die initiale Bewertung und fortlaufende Überwachung von Sicherheitseinstellungen und der entsprechenden Sicherheitsmaßnahmen durchführen. Zukünftige Versionen werden wahrscheinlich die automatisierte Umsetzung und Änderung der Sicherheitseinstellungen von Sicherheitsmaßnahmen standardisieren. Auf diese Weise trägt SCAP zur Umsetzung, Bewertung und Überwachung Schritte des NIST Risk Management Framework. Dementsprechend ist SCAP ein integraler Bestandteil des NIST-FISMA-Projekts.<ref>[http://csrc.nist.gov/groups/SMA/fisma/ FISMA]</ref>

== SCAP Validation Program ==
Sicherheitsprogramme, die vom [[National Institute of Standards and Technology|NIST]] beaufsichtigt werden, haben ihren Fokus auf der Zusammenarbeit mit der Regierung und der Industrie im Bereich sichere Systeme und Netzwerke. Dafür werden Security Assessment Tools, Techniken, Dienstleistungen und Unterstützung von Programmen für Test, Evaluierung und Validierung gefördert. Folgende Bereiche werden adressiert:
* Entwicklung und Pflege der Metriken
* Bewertungskriterien und Evaluierungsmethoden für IT-Sicherheit
* Tests und Prüfverfahren
* Kriterien für die Akkreditierung von Prüfstellen
* Leitlinien für die Verwendung der geprüften Produkte
* Forschung zu Qualitätssicherung und systemweiter Sicherheits- und Bewertungsmethoden
* Überprüfung von Sicherheitsprotokollen
* Koordinierung mit Normungsgremien und Industrieorganisationen bei Bewertungsmethoden

Unabhängige Prüfstellen<ref>[http://nvd.nist.gov/scapproducts.cfm#scap_labs Accredited Independent SCAP Testing Laboratories]</ref> sichern dem Anwender, dass das Produkt den NIST-Spezifikationen entspricht. Die SCAP-Standards können sehr komplex sein, und mehrere Konfigurationen müssen für jede Komponente und Funktion getestet werden, um sicherzustellen, dass das Produkt die Anforderungen erfüllt. Durch das [[National Voluntary Laboratory Accreditation Program]] (NVLAP) akkreditierte Prüfstellen bieten die Gewissheit, dass Produkte gründlich überprüft wurden und den Anforderungen entsprechen.

Ein Kunde, der den Anforderungen des [[Federal Information Security Management Act von 2002|FISMA]] unterworfen ist oder Produkte verwenden will, die nach dem SCAP-Standard durch eine unabhängige Prüfstelle getestet und validiert wurden, sollten die Website der SCAP-validierten Produkte<ref>[http://nvd.nist.gov/scapproducts.cfm Website der SCAP-validierten Produkte]</ref> besuchen, um den Status des Produkts zu überprüfen.

== Weblinks ==
* [http://scap.nist.gov Security Content Automation Protocol Website]
* [http://avleonov.com/scapproducts/ SCAP Validated Tools Comparison Table]
* [http://nvd.nist.gov National Vulnerability Database Website]
* [http://makingsecuritymeasurable.mitre.org/index.html Mitre „Making Security Measurable“ Website]

== Einzelnachweise ==
<references />

[[Kategorie:IT-Sicherheit]]
[[Kategorie:IT-Standard]]

Security Content Automation Protocol - Versionsgeschichte

imported>Mfeilner: Link zu Schwachstellenmanagement eingefügt