Security Content Automation Protocol (SCAP、エスキャップと発音)とは、「脆弱性管理、コンプライアンス管理の一部を機械化（自動化）することにより、情報システムに対するセキュリティ対策の負荷軽減と情報セキュリティ施策の推進の両立を目的とした仕様群」脆弱性対策の標準仕様SCAPの仕組みである。 アメリカ国立標準技術研究所 (NIST)により仕様が策定され (NIST 800-126,NIST 800-117,NISTIR 7511 rev2)、米国のを始めとした各種脆弱性情報データベースで利用されており、日本でもJPCERTコーディネーションセンター (JPCERT/CC) と情報処理推進機構 (IPA) が共同管理している脆弱性情報データベースのJapan Vulnerability Notes (JVN) やJVN iPediaで利用されている。 SCAPの仕様 SCAPには以下の仕様が含まれている： +略称正式名称解説SCAP version 1.0 (July, 2010)以降CVECommon Vulnerabilities and Exposures 脆弱性毎に「CVE－西暦－連番」という形のCVE識別番号 (CVE-ID) を付与し脆弱性の概要 (Description)、参考URL (References)、ステータス（Status、「候補」もしくは「登録」）を記述。 CVE識別番号はベンダーに依存しない共通の脆弱性識別子 米国政府から支援を受けた非営利組織であるMITRE社が中心となり仕様策定CCECommon Configuration Enumeration ベンダーに依存しないセキュリティ設定項目の識別子 CCE識別番号 (CCE ID)、設定項目の概要(CCE Description)、設定値のタイプ(CCE Parameters)、技術的なチェック機構(CCE Technical Mechanisms)などからなる。CPECommon Platform Enumeration CWECommon Weakness Enumeration ベンダーに依存しない共通の脆弱性分類方法 脆弱性をツリー構造で分類CVSSCommon Vulnerability Scoring Systemベンダーに依存しない共通の脆弱性の評価手法に従い点数化。 脆弱性の技術的な特性を表した「基本評価基準」、現時点での危険度を表した現状評価基準、製品利用者毎に評価が変わる「環境評価基準」に対し脆弱性の危険度を0.0～10.0の評価値（大きいほど危険）で表現。 非営利組織FIRST(Forum of Incident Response and Security Teams)が中心となり仕様策定 PCI DSSでも採用。XCCDFExtensible Configuration Checklist Description FormatOVALOpen Vulnerability and Assessment LanguageSCAP version 1.1 (February, 2011)以降OCILOpen Checklist Interactive Language Version 2.0SCAP version 1.2 (September, 2011)以降AIDAsset IdentificationARFAsset Reporting FormatCCSSCommon Configuration Scoring SystemTMSADTrust Model for Security Automation Data

CVSSv3のフォーマット

基本評価基準 CVSSのバーション3.0の基本評価基準は例えばCVSS:3.0/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:Hというフォーマットで記述できるIPA 2017 脆弱性対策の効果的な進め方 p47-48。その意味は下記のとおりである共通脆弱性評価システムCVSS v3概説： +略号名称意味評価値とその意味攻撃難易度AVAttack Vectorどこから攻撃可能かPLAN物理ローカル隣接ネットワークACAttack Complexity攻撃条件の複雑さHL高低PRPriviledges Required攻撃に必要な特権レベルHLN高低不要UIUser Interaction攻撃に必要なユーザ関与のレベルRN必要不要SScope影響範囲が脆弱性のあるコンポーネントの帰属するオーソリゼーションスコープに留まるか否かCN変更あり変更なし攻撃の影響CConfidentiality Impact機密性への影響HLN高低なしIIntegrity Impact完全性への影響HLN高低なしAAvailavility Impact可用性への影響HLN高低なし

現状評価基準 現状評価基準は下記の項目を評価する： +略号名称意味EExploit Code Maturity攻撃される可能性HFPUND常に使える攻撃コードが存在 or そもそも攻撃コードを必要としないほとんどの状況で使える攻撃コードが存在実証コードが存在 or 完成度の低い攻撃コードが存在理論上攻撃可能だが実証コードや攻撃コードが存在しない未評価RLRemediation Level利用可能な対策レベルUWFTFOFND利用可能な対策なし製品開発者以外からの非公式な対策が利用可能製品開発者の暫定的な対策が利用不能製品開発者の正式な対策が利用可能未評価RCReport Confidence脆弱性情報の信頼性CURUCND確認済（＝製品開発者の確認、ソースコードレベルの脆弱性、実証コード、攻撃コードの存在確認)未確証（＝セキュリティベンダー等からの複数の非公式情報の存在、ソースコードレベルでの脆弱性の存在が確認できない、脆弱性の原因・検証が不十分）未確認（＝未確認情報のみの存在、相反する情報の存在）未評価

環境評価基準 環境評価基準は下記の項目を評価する： +略号名称意味評価値とその意味 環境条件を加味した基本評価の再評価MAVModified Attack Vector緩和策を施した後、どこから攻撃可能かX（未評価）が増えた以外は基本評価基準の攻撃難易度の対応箇所と同一MACModified Attack Complexity緩和策を施した後、攻撃条件の複雑さMPRModified Priviledges Required緩和策を施した後、攻撃に必要な特権レベルMUIModified User Interaction緩和策を施した後、攻撃に必要なユーザ関与のレベルMSModified Scope緩和策を施した後、影響範囲が脆弱性のあるコンポーネントの帰属するオーソリゼーションスコープに留まるか否か対象システムのセキュリティ要求度CRConfidentiality Requirement機密性の要求度HMLN高中低なしIRIntegrity Requirement完全性の要求度HMLN高中低なしARAvailavility Requirement可用性の要求度HMLN高中低なし

mSCAP Checklists

Security Content Automation Protocol (SCAP) checklists standardize and enable automation of the linkage between computer security configurations and the NIST Special Publication 800-53 (SP 800-53) controls framework. The current version of SCAP is meant to perform initial measurement and continuous monitoring of security settings and corresponding SP 800-53 controls. Future versions will likely standardize and enable automation for implementing and changing security settings of corresponding SP 800-53 controls. In this way, SCAP contributes to the implementation, assessment, and monitoring steps of the NIST Risk Management Framework. Accordingly, SCAP forms an integral part of the NIST FISMA implementation project.

SCAP Validation Program

Security programs overseen by NIST focus on working with government and industry to establish more secure systems and networks by developing, managing and promoting security assessment tools, techniques, services, and supporting programs for testing, evaluation and validation; and addresses such areas as: development and maintenance of security metrics, security evaluation criteria and evaluation methodologies, tests and test methods; security-specific criteria for laboratory accreditation; guidance on the use of evaluated and tested products; research to address assurance methods and system-wide security and assessment methodologies; security protocol validation activities; and appropriate coordination with assessment-related activities of voluntary industry standards bodies and other assessment regimes.

Independent third party testing assures the customer/user that the product meets the NIST specifications. The SCAP standards can be complex and several configurations must be tested for each component and capability to ensure that the product meets the requirements. A third-party lab (accredited by National Voluntary Laboratory Accreditation Program (NVLAP)) provides assurance that the product has been thoroughly tested and has been found to meet all of the requirements. A vendor seeking validation of a product should contact an NVLAP accredited SCAP validation laboratory for assistance in the validation process.

A customer who is subject to the FISMA requirements, or wants to use security products that have been tested and validated to the SCAP standard by an independent third party laboratory should visit the SCAP validated products web page to verify the status of the product(s) being considered.

外部リンク Security Content Automation Protocol web site National Vulnerability Database web site Mitre "Making Security Measurable" web site

p17-18 //最初の３回でSCAPの概要を解説

出典