SCAP ist eine Abkürzung für Security Content Automation Protocol. Sein Zweck ist die Anwendung eines bereits akzeptierten Sicherheitsstandards auf Organisationen, die derzeit keinen oder nur schwache Implementierungen haben.
Mit anderen Worten, Sicherheitsadministratoren können Computer, Software und andere Geräte basierend auf einer vorgegebenen Sicherheitsgrundlage scannen, um zu bestimmen, ob die Konfiguration und die Software-Patches dem Standard entsprechen, mit dem sie verglichen werden.
Die National Vulnerability Database (NVD) ist das US-amerikanische Inhaltsrepository für SCAP.
Hinweis: Einige SCAP-ähnliche Sicherheitsstandards umfassen SACM (Sicherheitsautomatisierung und kontinuierliches Monitoring), CC (Common Criteria), SWID (Software Identification) -Tags und FIPS (Federal Information Processing Standards).
SCAP hat zwei Hauptkomponenten
Das Security Content Automation-Protokoll besteht aus zwei Hauptteilen:
SCAP-Inhalt
SCAP-Inhaltsmodule sind frei verfügbare Inhalte, die vom National Institute of Standards and Technologies (NIST) und seinen Industriepartnern entwickelt wurden. Die Inhaltsmodule bestehen aus "sicheren" Konfigurationen, die von NIST und seinen SCAP-Partnern vereinbart werden.
Ein Beispiel wäre die Federal Desktop Core Configuration, eine sicherheitsgestützte Konfiguration einiger Versionen von Microsoft Windows. Der Inhalt dient als Grundlage für den Vergleich von Systemen, die von den SCAP-Scantools gescannt werden.
SCAP-Scanner
Ein SCAP-Scanner ist ein Tool, das die Konfiguration und / oder den Patch-Level eines Zielcomputers oder einer Anwendung mit dem der SCAP-Inhaltsbasislinie vergleicht.
Das Tool wird alle Abweichungen feststellen und einen Bericht erstellen. Einige SCAP-Scanner haben auch die Möglichkeit, den Zielcomputer zu korrigieren und ihn mit der Standard-Baseline in Einklang zu bringen.
Abhängig von den gewünschten Funktionen stehen zahlreiche kommerzielle und Open-Source-SCAP-Scanner zur Verfügung. Einige Scanner sind für das Scannen auf Unternehmensebene gedacht, während andere für die individuelle PC-Nutzung bestimmt sind.
Eine Liste der SCAP-Tools finden Sie unter NVD. Beispiele für SCAP-Produkte sind ThreatGuard, Tenable, Red Hat und IBM BigFix.
Softwareanbieter, deren Produkt gemäß SCAP konformiert werden muss, können sich an ein von NVLAP akkreditiertes SCAP-Validierungslabor wenden.
