Security Content Automation Protocol

From Wikipedia, the free encyclopedia

Security Content Automation Protocol (SCAP、エスキャップと発音[1])とは、「脆弱性管理、コンプライアンス管理の一部を機械化（自動化）することにより、情報システムに対するセキュリティ対策の負荷軽減と情報セキュリティ施策の推進の両立を目的とした仕様群」[2]である。 アメリカ国立標準技術研究所 (NIST)により仕様が策定され (NIST 800-126,NIST 800-117,NISTIR 7511 rev2)、米国のNational Vulnerability Database（英語版）を始めとした各種脆弱性情報データベースで利用されており、日本でもJPCERTコーディネーションセンター (JPCERT/CC) と情報処理推進機構 (IPA) が共同管理している脆弱性情報データベースのJapan Vulnerability Notes (JVN) やJVN iPediaで利用されている[2]。

SCAPには以下の仕様が含まれている：

略称 正式名称 解説
SCAP version 1.0 (July, 2010)以降 CVE Common Vulnerabilities and Exposures
  • 脆弱性毎に「CVE－西暦－連番」という形のCVE識別番号 (CVE-ID) を付与し脆弱性の概要 (Description)、参考URL (References)、ステータス（Status、「候補」もしくは「登録」）を記述[2]。
  • CVE識別番号はベンダーに依存しない共通の脆弱性識別子[2]
  • 米国政府から支援を受けた非営利組織であるMITRE社が中心となり仕様策定[2]
CCE Common Configuration Enumeration
  • ベンダーに依存しないセキュリティ設定項目の識別子[2]
  • CCE識別番号 (CCE ID)、設定項目の概要(CCE Description)、設定値のタイプ(CCE Parameters)、技術的なチェック機構(CCE Technical Mechanisms)などからなる[2]。
CPE Common Platform Enumeration
CWE Common Weakness Enumeration
  • ベンダーに依存しない共通の脆弱性分類方法[2]
  • 脆弱性をツリー構造で分類[2]
CVSS Common Vulnerability Scoring System
  • ベンダーに依存しない共通の脆弱性の評価手法に従い点数化[2]。
  • 脆弱性の技術的な特性を表した「基本評価基準」、現時点での危険度を表した現状評価基準、製品利用者毎に評価が変わる「環境評価基準」に対し脆弱性の危険度を0.0～10.0の評価値（大きいほど危険）で表現[2]。
  • 非営利組織FIRST(Forum of Incident Response and Security Teams)が中心となり仕様策定[2]
  • PCI DSSでも採用[2]。
XCCDF Extensible Configuration Checklist Description Format
OVAL Open Vulnerability and Assessment Language
SCAP version 1.1 (February, 2011)以降 OCIL Open Checklist Interactive Language Version 2.0
SCAP version 1.2 (September, 2011)以降 AID Asset Identification
ARF Asset Reporting Format
CCSS Common Configuration Scoring System
TMSAD Trust Model for Security Automation Data

CVSSv3のフォーマット

基本評価基準

CVSSのバーション3.0の基本評価基準は例えば

CVSS:3.0/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

というフォーマットで記述できる[3]。その意味は下記のとおりである[3][4]：

略号 名称 意味 評価値とその意味
攻撃難易度 AV Attack Vector どこから攻撃可能か P L A N
物理 ローカル 隣接 ネットワーク
AC Attack Complexity 攻撃条件の複雑さ H L
高 低
PR Priviledges Required 攻撃に必要な特権レベル H L N
高 低 不要
UI User Interaction 攻撃に必要なユーザ関与のレベル R N
必要 不要
S Scope 影響範囲が脆弱性のあるコンポーネントの帰属するオーソリゼーションスコープに留まるか否か[4] C N
変更あり 変更なし
攻撃の影響 C Confidentiality Impact 機密性への影響 H L N
高 低 なし
I Integrity Impact 完全性への影響 H L N
高 低 なし
A Availavility Impact 可用性への影響 H L N
高 低 なし

現状評価基準

現状評価基準は下記の項目を評価する[4]：

略号 名称 意味
E Exploit Code Maturity 攻撃される可能性 H F P U ND
常に使える攻撃コードが存在 or そもそも攻撃コードを必要としない ほとんどの状況で使える攻撃コードが存在 実証コードが存在 or 完成度の低い攻撃コードが存在 理論上攻撃可能だが実証コードや攻撃コードが存在しない 未評価
RL Remediation Level 利用可能な対策レベル U WF TF OF ND
利用可能な対策なし 製品開発者以外からの非公式な対策が利用可能 製品開発者の暫定的な対策が利用不能 製品開発者の正式な対策が利用可能 未評価
RC Report Confidence 脆弱性情報の信頼性 C UR UC ND
確認済（＝製品開発者の確認、ソースコードレベルの脆弱性、実証コード、攻撃コードの存在確認) 未確証（＝セキュリティベンダー等からの複数の非公式情報の存在、ソースコードレベルでの脆弱性の存在が確認できない、脆弱性の原因・検証が不十分） 未確認（＝未確認情報のみの存在、相反する情報の存在） 未評価

環境評価基準

環境評価基準は下記の項目を評価する[4]：

略号 名称 意味 評価値とその意味
環境条件を加味した基本評価の再評価 MAV Modified Attack Vector 緩和策を施した後、どこから攻撃可能か X（未評価）が増えた以外は基本評価基準の攻撃難易度の対応箇所と同一
MAC Modified Attack Complexity 緩和策を施した後、攻撃条件の複雑さ
MPR Modified Priviledges Required 緩和策を施した後、攻撃に必要な特権レベル
MUI Modified User Interaction 緩和策を施した後、攻撃に必要なユーザ関与のレベル
MS Modified Scope 緩和策を施した後、影響範囲が脆弱性のあるコンポーネントの帰属するオーソリゼーションスコープに留まるか否か[4]
対象システムのセキュリティ要求度 CR Confidentiality Requirement 機密性の要求度 H M L N
高 中 低 なし
IR Integrity Requirement 完全性の要求度 H M L N
高 中 低 なし
AR Availavility Requirement 可用性の要求度 H M L N
高 中 低 なし

mSCAP Checklists

Security Content Automation Protocol (SCAP) checklists standardize and enable automation of the linkage between computer security configurations and the NIST Special Publication 800-53 (SP 800-53) controls framework. The current[いつ?] version of SCAP is meant to perform initial measurement and continuous monitoring of security settings and corresponding SP 800-53 controls. Future versions will likely standardize and enable automation for implementing and changing security settings of corresponding SP 800-53 controls. In this way, SCAP contributes to the implementation, assessment, and monitoring steps of the NIST Risk Management Framework. Accordingly, SCAP forms an integral part of the NIST FISMA implementation project.

SCAP Validation Program

外部リンク

出典

Related Articles

Wikiwand AI