SCAP es un acrónimo de Security Content Automation Protocol. Su propósito es aplicar un estándar de seguridad ya aceptado a las organizaciones que actualmente no tienen uno o que tienen implementaciones débiles.
En otras palabras, permite a los administradores de seguridad escanear computadoras, software y otros dispositivos basados en una línea de base de seguridad predeterminada para determinar si la configuración y los parches de software se implementan de acuerdo con el estándar con el que se están comparando.
La base de datos de vulnerabilidad nacional (NVD) es el repositorio de contenido del gobierno de EE. UU. Para SCAP.
Nota: Algunos estándares de seguridad similares a SCAP incluyen SACM (automatización de seguridad y monitoreo continuo), CC (criterios comunes), etiquetas SWID (identificación de software) y FIPS (estándares federales de procesamiento de información).
SCAP tiene dos componentes principales
Hay dos partes principales en el Protocolo de automatización de contenido de seguridad:
Contenido SCAP
Los módulos de contenido de SCAP son contenidos de libre disposición desarrollados por el Instituto Nacional de Estándares y Tecnologías (NIST) y sus socios de la industria. Los módulos de contenido se realizan a partir de configuraciones "seguras" acordadas por NIST y sus socios de SCAP.
Un ejemplo sería la configuración de Federal Desktop Core, que es una configuración de seguridad reforzada de algunas versiones de Microsoft Windows. El contenido sirve como una línea de base para la comparación de sistemas analizados por las herramientas de escaneo SCAP.
Escáneres SCAP
Un escáner SCAP es una herramienta que compara la configuración de una computadora o aplicación de destino y / o el nivel de parche con el de la línea base de contenido de SCAP.
La herramienta anotará cualquier desviación y producirá un informe. Algunos escáneres SCAP también tienen la capacidad de corregir la computadora de destino y ponerla en conformidad con la línea de base estándar.
Hay muchos escáneres SCAP comerciales y de código abierto disponibles según el conjunto de funciones que se desee. Algunos escáneres están diseñados para escanear a nivel empresarial, mientras que otros están diseñados para uso individual de PC.
Puede encontrar una lista de herramientas SCAP en NVD. Algunos ejemplos de productos SCAP incluyen ThreatGuard, Tenable, Red Hat e IBM BigFix.
Los proveedores de software que necesitan que su producto sea validado para cumplir con SCAP, pueden comunicarse con un laboratorio de validación de SCAP acreditado por NVLAP.
