SCAP
Автоматизация безопасностью протокола (SCAP) является всеобъемлющим набором стандартов, которые включают CVE, CVSS, CPE, XCCDF, а овальная. NIST поддерживает содержание SCAP, которая определяет, каким образом все эти протоколы совместно работать в автоматическом режиме. В нем содержится также содержание всех этих стандартов в NVD.
SCAP также проверку программного продукта для оказания помощи в оценке продуктов на совместимость с различными открытыми стандартами. NIST содержит подробные описания проверки областей, сокращенно здесь, чтобы дать вам представление о возможных областях проверки:
Федеральный Desktop Core Configuration (FDCC) Сканер: продукт с возможностью проверки и оценки целевой системе с целью определения ее соответствия требованиям FDCC, которые были результатом американского правительства OMB Памятка М-07-18. Эта памятка гласит, что поставщик информационных технологий удостоверяет приложения полностью работоспособны и действовать правильно, как предназначено для систем, использующих FDCC.
- Сканер проверки конфигурации: продукт с возможностью проверки и оценки целевой системы с целью определения их соответствия определенному набору требований конфигурация журнала целевого использования системы привилегий.
- Проверку и исправление уязвимости сканера: продукт с возможностью сканирования целевой системе, чтобы найти и определить наличие известных недостатков программы и оценка состояния программного обеспечения патч для установления их соответствия определенным патч политику с использованием лог-целевая система привилегий.
- Unauthenticated сканер уязвимости: продукт с возможностью определения наличия известных недостатков программного обеспечения по оценке целевой системе через сеть.
- Обнаружения и предотвращения вторжений, системы: продукты, мониторинга систем и сетей для несанкционированного или злонамеренных действий. IPS активно защищает целевой системы или сети от этих видов деятельности.
- Патч восстановление: возможность установки патчей на целевой системе в соответствии с четко установленными патчами политики.
- Неправильной реабилитации: Способность к изменению конфигурации целевой системы в целях приведения его в соответствие с определенным набором конфигурации рекомендациям.
- Управление активами: способность активно обнаружить, проведения аудита и оценки актива характеристик, в том числе установлена и лицензионной продукции; местоположение в мире, сети, или предприятий, право собственности, и другой соответствующей информации на ИТ-активов, таких как рабочие станции, серверы и маршрутизаторы.
- Активы данных: способность к пассивному магазин и сообщить об активах характеристик, в том числе установлена и лицензионной продукции; местоположение в мире, сети, или предприятий, право собственности, и другой соответствующей информации на ИТ-активов, таких как рабочие станции, серверы и маршрутизаторы.
Базы данных уязвимостей: продукт, который содержит каталог, связанных с безопасностью уязвимость, вопросы помечены CVEs где это применимо. Эти данные доступны для пользователей через средства поиска или ввода данных и содержит описание программных дефектов, ссылки на дополнительную информацию (например, ссылки на патчи или уязвимостью предупреждения), и оценки воздействия.
- Неправильной базы данных: продукт, который содержит каталог, связанных с безопасностью вопросы конфигурации помечены CVEs где это применимо.
- Malware Tool: Способность выявлять и сообщать о наличии вирусов, троянов, программ-шпионов и другого вредоносного ПО на целевой системе.
Когда продукт оценивается и проверены, то для одного или нескольких из этих областей. Статус одобрения продукции размещены на общедоступном сайте NIST's Web. Проверяемого не гарантирует качество и надежность продукта; только, что она отвечает критериям, изложенным в программе SCAP.
статьи, представленный Матей Ионов