SCAP is een acroniem voor Security Content Automation Protocol. Het doel is om een al geaccepteerde beveiligingsstandaard toe te passen op organisaties die er momenteel geen hebben of die zwakke implementaties hebben.
Met andere woorden, hiermee kunnen beveiligingsbeheerders computers, software en andere apparaten scannen op basis van een vooraf bepaalde beveiligingsbasislijn om te bepalen of de configuratie- en softwarepatches zijn geïmplementeerd volgens de standaard waarmee ze worden vergeleken.
De nationale kwetsbaarheidsdatabase (NVD) is de inhoudsopslagplaats van de Amerikaanse overheid voor SCAP.
Notitie: Sommige beveiligingsnormen vergelijkbaar met SCAP omvatten SACM (Security Automation en Continuous Monitoring), CC (Common Criteria), SWID (Software Identification) -tags en FIPS (Federal Information Processing Standards).
SCAP heeft twee hoofdcomponenten
Er zijn twee hoofdonderdelen van het Security Content Automation Protocol:
SCAP-inhoud
SCAP-inhoudsmodules zijn vrij beschikbare inhoud ontwikkeld door het National Institute of Standards and Technologies (NIST) en zijn industriële partners. De inhoudsmodules zijn gemaakt van "veilige" configuraties die zijn overeengekomen door NIST en zijn SCAP-partners.
Een voorbeeld hiervan is de federale desktop-core-configuratie, die een door beveiliging geharde configuratie is van sommige versies van Microsoft Windows. De inhoud dient als een basislijn voor het vergelijken van systemen die worden gescand door de SCAP-scantools.
SCAP-scanners
Een SCAP-scanner is een hulpprogramma dat de configuratie en / of het patchniveau van een doelcomputer of toepassing vergelijkt met dat van de basislijn van de SCAP-inhoud.
De tool noteert eventuele afwijkingen en produceert een rapport. Sommige SCAP-scanners hebben ook de mogelijkheid om de doelcomputer te corrigeren en deze in overeenstemming te brengen met de standaardbasislijn.
Er zijn veel commerciële en open-source SCAP-scanners beschikbaar, afhankelijk van de gewenste functieset. Sommige scanners zijn bedoeld voor scannen op bedrijfsniveau, terwijl andere bedoeld zijn voor individueel pc-gebruik.
U vindt een lijst met SCAP-hulpprogramma's bij NVD. Enkele voorbeelden van SCAP-producten zijn ThreatGuard, Tenable, Red Hat en IBM BigFix.
Softwareleveranciers die hun product moeten laten valideren als zijnde in overeenstemming met SCAP, kunnen contact opnemen met een NVLAP geaccrediteerd SCAP-validatielaboratorium.
