SCAP ne anlama geliyor?
SCAP, Güvenlik İçeriği Otomasyon Protokolü'nün bir kısaltmasıdır. Amacı, halihazırda sahip olmayan veya zayıf uygulamaları olan kuruluşlara zaten kabul edilmiş bir güvenlik standardı uygulamaktır.
Başka bir deyişle, güvenlik yöneticilerinin, konfigürasyon ve yazılım yamaları ile karşılaştırıldıkları standartlara uyup uymadığını belirlemek için bilgisayarları, yazılımları ve diğer cihazları önceden belirlenmiş bir güvenlik tabanını temel alarak taramalarını sağlar.
Ulusal Güvenlik Açığı Veri Tabanı (NVD), SCAP için ABD devlet içerik deposudur.
Not: SCAP'a benzer bazı güvenlik standartları SACM (Güvenlik Otomasyon ve Sürekli İzleme), CC (Ortak Kriterler), SWID (Yazılım Tanımlama) etiketleri ve FIPS (Federal Bilgi İşleme Standartları) içerir.
SCAP'ın İki Ana Bileşeni Var
Güvenlik İçeriği Otomasyon Protokolü'nün iki ana bölümü vardır:
SCAP İçeriği
SCAP içerik modülleri, Ulusal Standartlar ve Teknolojiler Enstitüsü (NIST) ve endüstri ortakları tarafından geliştirilen serbestçe erişilebilir içeriklerdir. İçerik modülleri NIST ve SCAP ortakları tarafından kabul edilen "güvenli" yapılandırmalardan yapılmıştır.
Bir örnek , Microsoft Windows'un bazı sürümlerinin güvenlik sertleştirilmiş bir yapılandırması olan Federal Masaüstü Çekirdek Yapılandırması olacaktır. İçerik, SCAP tarama araçları tarafından taranan sistemlerin karşılaştırılması için bir temel teşkil eder.
SCAP Tarayıcılar
Bir SCAP tarayıcısı, bir hedef bilgisayarı veya uygulamanın yapılandırmasını ve / veya yama düzeyini SCAP içeriği taban çizgisine göre karşılaştıran bir araçtır.
Araç herhangi bir sapmayı not edecektir ve bir rapor üretecektir. Bazı SCAP tarayıcıları ayrıca hedef bilgisayarı düzeltme ve standart taban çizgisine uygun hale getirme kabiliyetine sahiptir.
İstenen özellik kümesine bağlı olarak çok sayıda ticari ve açık kaynaklı SCAP tarayıcı mevcuttur. Bazı tarayıcılar kurumsal düzeyde tarama yapmak içindir, diğerleri ise bireysel PC kullanımı içindir.
NVD'de SCAP araçlarının bir listesini bulabilirsiniz. SCAP ürünlerinin bazı örnekleri arasında ThreatGuard, Tenable, Red Hat ve IBM BigFix bulunur.
Ürünlerinin SCAP ile uyumlu olarak doğrulanması gereken yazılım satıcıları, NVLAP tarafından onaylanmış bir SCAP doğrulama laboratuvarına başvurabilir.