Security Content Automation Protocol

Security Content Automation Protocol (SCAP、エスキャップと発音)とは、「脆弱性管理、コンプライアンス管理の一部を機械化(自動化)することにより、情報システムに対するセキュリティ対策の負荷軽減と情報セキュリティ施策の推進の両立を目的とした仕様群」である。 アメリカ国立標準技術研究所(NIST)により仕様が策定され(NIST 800-126,NIST 800-117,NISTIR 7511 rev2)、米国のNational Vulnerability Database（英語版）を始めとした各種脆弱性情報データベースで利用されており、日本でもJPCERT/CCと情報処理推進機構（IPA）が共同管理している脆弱性情報データベースのJapan Vulnerability Notes (JVN)やJVN iPediaで利用されている。 SCAPには以下の仕様が含まれている： CVSSのバーション3.0の基本評価基準は例えば CVSS:3.0/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H というフォーマットで記述できる。その意味は下記のとおりである： 現状評価基準は下記の項目を評価する： 環境評価基準は下記の項目を評価する： Security Content Automation Protocol (SCAP) checklists standardize and enable automation of the linkage between computer security configurations and the NIST Special Publication 800-53 (SP 800-53) controls framework. The current[いつ?] version of SCAP is meant to perform initial measurement and continuous monitoring of security settings and corresponding SP 800-53 controls. Future versions will likely standardize and enable automation for implementing and changing security settings of corresponding SP 800-53 controls. In this way, SCAP contributes to the implementation, assessment, and monitoring steps of the NIST Risk Management Framework. Accordingly, SCAP forms an integral part of the NIST FISMA implementation project. Security programs overseen by NIST focus on working with government and industry to establish more secure systems and networks by developing, managing and promoting security assessment tools, techniques, services, and supporting programs for testing, evaluation and validation; and addresses such areas as: development and maintenance of security metrics, security evaluation criteria and evaluation methodologies, tests and test methods; security-specific criteria for laboratory accreditation; guidance on the use of evaluated and tested products; research to address assurance methods and system-wide security and assessment methodologies; security protocol validation activities; and appropriate coordination with assessment-related activities of voluntary industry standards bodies and other assessment regimes. Independent third party testing assures the customer/user that the product meets the NIST specifications. The SCAP standards can be complex and several configurations must be tested for each component and capability to ensure that the product meets the requirements. A third-party lab (accredited by National Voluntary Laboratory Accreditation Program (NVLAP)) provides assurance that the product has been thoroughly tested and has been found to meet all of the requirements. A vendor seeking validation of a product should contact an NVLAP accredited SCAP validation laboratory for assistance in the validation process. A customer who is subject to the FISMA requirements, or wants to use security products that have been tested and validated to the SCAP standard by an independent third party laboratory should visit the SCAP validated products web page to verify the status of the product(s) being considered. Security Content Automation Protocol web site National Vulnerability Database web site Mitre "Making Security Measurable" web site “セキュリティ設定共通化手順SCAP概説”. 情報処理推進機構 (2015年7月22日). 2018年10月9日閲覧。 “脆弱性対策の標準仕様SCAPの仕組み～身近で使われているSCAP～” (pdf). 情報処理推進機構 (2011年10月14日). 2018年10月9日閲覧。 “共通脆弱性評価システムCVSS v3概説”. 情報処理推進機構 (2015年12月1日). 2018年10月15日閲覧。 “脆弱性を悪用する攻撃への効果的な対策についてのレポート～攻撃状況や組織の環境を踏まえたリスク分析による脆弱性対策～” (pdf). 情報処理推進機構 (2013年9月26日). 2018年10月19日閲覧。p17-18 “連載『OpenSCAPで脆弱性対策はどう変わる？』”. @IT. 2020年8月12日閲覧。//最初の３回でSCAPの概要を解説 [脚注の使い方] ^ “Standards in reporting Software Flaws: SCAP, CVE and CWE”. Robin A. Gandhi, Ph.D.University of Nebraska at Omaha (UNO),College of Information Science and Technology (IS&T),School of Interdisciplinary Informatics (Si2),Nebraska University Center on Information Assurance (NUCIA). 2016年7月25日閲覧。 ^ a b c d e f g h i j k l m 脆弱性対策の標準仕様SCAPの仕組み ^ a b IPA 2017 脆弱性対策の効果的な進め方 p47-48 ^ a b c d e 共通脆弱性評価システムCVSS v3概説