引入SCAP标准提高系统配置安全

Ｔｅｃｈｎｏｌｏｇｙ　ａｎｄ　Ｓｔｕｄｙ・技术探讨　引入Ｓ　Ｃ　ＡＰ标准提高系统配置安全　张力　（Ａｔｓｅｃ北京１　０００８５）　【摘要】随着计算机通信技术的飞速发展，由系统配置而导致的安全问题越来越多．安全内容自动化协议（ＳＣＡＰ）为系统配置的标　准化以及对系统配置的脆弱性评估提供了一种统一的方法。越来越多的厂商　组织与社团已加入到ＳＣＡＰ的研究与发展中．也推　动了ＳＣＡＰ成为真正意义的全球标准。　【关键词】ＳＣＡＰ：ＯＶＡＬ；ＣＰＥ；ＣＶＥ：ＣＣＥ　ＣＶＳＳ　Ｔｈｅ　Ｉｎｔｒｏｄｕｃｔｉｏｎ　ｏｆ　ＳＣＡＰ　Ｓｔａｎｄａｒｄ　ｔｏ　Ｉｍｐｒｏｖｅ　ｔｈｅ　Ｓａｆｅｔｙ　Ｓｙｓｔｅｍ　Ｃｏｎｆｉｇｕｒａｔｉｏｎ　Ｚｈａｎｇ　Ｌｉ’　ｔｓｅｃ　Ｂｅｉｉｆｎｇ　１０００８５）　［Ａｂｓｔｒａｃｔ］Ｗｉｔｈ　ｔｈｅ　ｒａｐｉｄ　ｄｅｖｅｌｏｐｍｅｎｔ　ｏｆ　ｃｏｍｐｕｔｅｒ　ｃｏｍｍｕｎｉｃａｔｉｏｎ　ｔｅｃｈｎｏｌｏｇｙ，ｔｈｅ　ｉｎｃｒｅａｓｉｎｇ　ｓｅｃｕｒｉｔｙ　ｉｓｓｕｅｓ　ａｒｅ　ｃａｕｓｅｄ　ｂｙ　ｓｙｓｔｅｍ　ｃｏｎｆｉｇｕｒａｔｉｏｎ，ａｎｄ　ｔｈｅ　ＳＣＡＰ　ｐｒｏｔｏｃｏｌ　ｐｒｏｖｉｄｅｓ　ａ　ｕｎｉｉｆｅｄ　ａｐｐｒｏａｃｈ　ｆｏｒ　ｔｈｅ　ｓｔａｎｄａｒｄｉｚａｔｉｏｎ　ｏｆ　ｓｙｓｔｅｍ　ｃｏｎｆｉｇｕｒａｔｉｏｎ　ａｎｄ　ｔｈｅ　ｖｕｌｎｅｒａｂｉｌｉｔｙ　ａｓｓｅｓｓｍｅｎｔ　ｏｆ　ｓｙｓｔｅｍ　ｏｃｎｆｉｇｕｒａｔｉｏｎ．　Ｍｏｒｅ　ａｎｄ　ｍｏｒｅ　ｃｏｍｐａｎｉｅｓ，ｏｒｇａｎｉｚａｔｉｏｎｓ　ａｎｄ　ｃｏｍｍｕｎｉｔｉｅｓ　ｈａｖｅ　ａｄｄｅｄ　ｔｏ　ｔｈｅ　ｒｅｓｅａｒｃｈ　ａｎｄ　ｄｅｖｅｌｏｐｍｅｎｔ　ｏｆ　ＳＣＡＰ，ａｎｄ　ａｌｓｏ　ｃｏｎｔｒｉｂｕｔｅ　ｉｔ　ｔｏ　ａ　ｔｒｕｌｙ　ｇｌｏｂａｌ　ｓｔａｎｄａｒｄ．　［Ｋｅｙｗｏｒｄｓ］ＳＣＡＰ，ＯＶＡＬ，ＣＰＥ，ＣＶＥ．ＣＣＥ，ＣＶＳＳ　１．ＳＣＡＰ的产生背景　ＳＣＡＰ提供了一种自动、标准化的方法来维护企业系统的　由于计算机通信技术的飞速发展，美国联邦政府强烈地　安全，如实现安全配置基线，验证当前的补丁程序，进行系统　意识到由于计算机系统配置问题而暴漏出越来越多的安全漏　安全配置设置的持续性监测，检查系统的折衷标记（Ｓｉｇｎ　ｏｆ　洞，为此，２００７年美国联邦预算管理办公室（ＯＭＢ：Ｏｆｆｉｃｅ　ｏｆ　Ｃｏｍｐｒｏｍｉｓｅ）以及能在任意设定时刻给出系统的安全状态。　Ｍａｎａｇｅｍｅｎｔ　ａｎｄ　Ｂｕｄｇｅｔ）提出要求所有的政府部门开始　ＳＣＡＰ的提出主要源于几个方面原因。　试行联邦桌面核心配置计划（ＦＤＣＣ：Ｆｅｄｅｒａｌ　Ｄｅｓｋｔｏｐ　Ｃｏｒｅ　大量的以及多样的系统需要保护　Ｃｏｎｆｉｇｕｒａｔｉｏｎ）。２００８年则开始强制执行。　大多数组织有需要保护的一些系统，针对每个系统有众多　ＦＤＣＣ最初是由美国国家标准与技术研究所联合ＯＭＢ、　的应用需要保护。一般一个企业内部装有多种操作系统及上　ＤＨＳ（Ｄｅｐａｒｔｍｅｎｔ　ｏｆ　Ｈｏｍｅｌａｎｄ　Ｓｅｃｕ￣ｙ）、ＮＳＡ（Ｎａｔｉｏｎａｌ　千种的应用软件，每个系统或应用都有自己的补丁机制及安全　Ｓｅｃｕｒｉｔｙ　Ａｇｅｎｃｙ）以及Ｍｉｃｒｏｓｏｆｔ共同开发，用于美国空军　配置管理。相同的软件在不同主机上的保护机制也可能会有　Ｗｉｎｄｏｗｓ　ＸＰ的公共安全配置，２００８年６月发布第一个版本　些许的不同。一个单独的主机针对它的操作系统与应用也会　ＦＤＣＣ１．０，最新的版本为２００９年８月发布的１．２版本。　有上千种安全配置设置。所有这些因素使得决定每个系统上　ＦＤＣＣ定义了针对Ｗｉｎｄｏｗｓ　ＸＰ与Ｖｉｓｔａ操作系统的公　需要什么样的安全变化，快速、正确、一致地实现这些变化以及　共配置准则。为了检测ＦＤＣＣ的合规性，ＮＩＳＴ开发了安全　验证安全配置更为复杂。　内容自动化协议（ＳＣＡＰ），以标准化的方式表达与使用安全数　快速响应新的威胁　据以及进行安全问题评估。最初主要针对于Ｗｉｎｄｏｗｓ操作　一些组织经常需要重新配置软件或安装补丁以消除新发　系统开发检查列表（ＣｈｅｃＭｉｓｔ），后来逐步扩展到Ｕｎｉｘ系统，　现地或成为攻击者目标的脆弱性。在２００９年，有多达５，７００　Ｗｅｂ浏览器、反病毒软件以及防火墙等。　个软件缺陷被加入到美国国家脆弱性数据库（ＮＶＤ：Ｎａｔｉｏｎａｌ　・２２・２０１０．１２・ＷＷＷ．ｉｎｆｏｓｔｉｎｇ．ｏｒｇ　技术探讨・Ｔｅｃｈｎｏｌｏｇｙ　ａｎｄ　Ｓｔｕｄｙ　Ｖｕｌｎｅｒａｂｉｌｉｔｙ　Ｄａｔａｂａｓｅ）。　与ＣＶＥ标识项，ＭＩＴＲＥ公司拥有ＯＶＡＬ数据库，并且维护　缺乏互操作性　大多数系统安全工具采用私有格式、命名法、测量方法与内　容，如补丁管理与脆弱性管理软件。例如，如果脆弱性扫描器没有　采用标准化的弱点命名法，安全管理人员将不清楚多个扫描器的　扫描结果报告是否指向相同的脆弱性。这种互操作性的缺乏将导　致安全｝乎估的不一致性，延迟制作决定以及做出及时的修正。　ＣＣＥ标识项的列表。每一个ＳＣＡＰ组件提供唯一的功能，可　以被独立地运用，但是联合的运用能带来更大的好处，例如，用　ＸＣＣＤＦ格式依据ＣＰＥ表达ＣＣＥ的能力形成了用于ＳＣＡＰ　表达检查列表的基本元素，换句话说，ＳＣＡＰ表达的检查列表　用一种标准化的语言（ＸＣＣＤＦ）来表达所讨论的平台是什么　（ＣＰＥ），访问什么安全设置（ＣＣＥ）。运用ＳＣＡＰ表达检查列　２．ＳＣＡＰ协议框架　ＳＣＡＰ包含两个主要元素。首先，它是一个协议，一组标　准化格式与术语的开放规范，通过它软件安全产品可以互通软　件缺陷与安全配置信息，每一个规范也被称作一个ＳＣＡＰ组　表可以很容易的帮助组织实现对系统的安全控制，进行安全监　测，自动化高级安全需求的合规性报告。　总之检查列表用ＳＣＣＤＦ来描述评估什么，用ｏＶＡＩ．在目标　系统做相应的测试，用ＣＰＥ标识检查列表是有效的以及运行测试　件；其次，ＳＣＡＰ包括软件缺陷与安全配置标准化的参考数据，　也被称作ＳＣＡＰ内容。　表ｌ列出了目前的ＳＣＡＰＩ．０协议组件，这些组件按类　的平台，用ＣＣＥ标识在检查列表中被访问或被评估的安全配置设　置，用ＣＶＥ参考已知的脆弱性，ＣＶＳＳ用于分级这些脆弱性。　２．１　ＸＣＣＤＦ　型分为：列举（Ｅｎｕｍｅｒａｔｉｏｎｓ）组，为安全与产品相关的信息　定义了标准表述符与目录；脆弱性测量与评分（Ｖｕｌｎｅｒａｂｉｌｉｔｙ　Ｍｅａｓｕｒｅｍｅｎｔ　ａｎｄ　Ｓｃｏｒｉｎｇ）组，用于测量脆弱性特征以及　根据这些特征给予评分ｌ表述与检查语言（Ｅｘｐｒｅｓｓｉｏｎ　ａｎｄ　Ｃｈｅｃｋｉｎｇ　Ｌａｎｇｕａｇｅｓ）组，运用ＸＭＬ　Ｓｃｈｅｍａ说明检查列表，　ＸＣＣＤＦ基本数据模型由四个主要的对象数据类型组成。　基准（Ｂｅｎｃｈｍａｒｋ）　可以简单理解为检查列表，一个　ＸＣＣＤＦ只能拥有一个基准对象，它相当于一个容器，包含条　目及其它的对象。　条目（Ｉｔｅｍ）条目是一个基准对象中的命名要素，每一条　目有一个唯一的参考ＩＤ。　条目包含三种类型。　ａ）组（Ｃ，ｒｏｍ）这种类型条目可以包含其　产生检查列表报告，以及说明用于检查列表的低级测试过程。　关于ＳＣＡＰ内容，存在多个资源，例如ＮＶＤ拥有ＣＰＥ　表１　ＳＣＡＰ　１　０协议组件　它条目，即一个组可以包含其它的组以及规则　ＳＣＡＰ镪懈　列举　橇遴｜　＼　蹩　经　｜ｌ　与值。一个组可以被选择，也可以不被选择。　ｂ）规则（Ｒｕｌｅ）　这种类型条目定义具　通用配置列举　定义了与安全相关的系　ＭＩＴＲＥ　Ｃｏｒｐｏｒａｔｉｏｎ　（ＣＣＥ：Ｃｏｍｍｏｎ　Ｃｏｎｆｉｇｕｒａｔｉｏｎ　统配置项的标准标识符　Ｅｎｕｍｅｒａｔｉｏｎ）　与目录　通用平台列举　定义了平台及版本大多　ＭＩＴＲＥ　Ｃｏｒｐｏｒａｔｉｏｎ　（ＣＰＥ：Ｃｏｍｍｏｎ　ＰＩ　ａｔｆｏ　ｒｍ　标准名称与目录　Ｅｎｕｍｅｒａｔｉｏｎ｝　体的检查规则，可以拥有检查参考与评分权　重。一个规则可以被选择，也可以不配选择。　Ｃ）值（Ｖａｌｕｅ）这种类型条目是一命名　的数据值，可以理解为允许用户为每种规则　预定义的可选值。　通用脆弱性与漏洞列举　定义了与软件缺陷相关　ＭＩＴＲＥ　Ｃｏｒｐｏｒａｔｉｏｎ　（ＣＶＥ：Ｃｏｍｍｏｎ　ＶｕｌｎｅｒａｂｉＩｉｔｉｅｓ　的标准标识符与目录　ａｎｄ　Ｅｘｐｏｓｕｒｅｓ）　脆弱性测量与评分　轮廓（Ｐｒｏｆｉｌｅ）　轮廓定义了对规则、组　通用脆弱性评分系统　定义了脆弱性对系统影　Ｆ０ｒｕｍ　ｏｆ　Ｉｎｃｉｄｅｎｔ　Ｒｅｓｐｏｎｓｅ　与值对象的共性收集。　（ＣＶＳＳ：Ｃｏｍｍｏｎ　Ｖｕｌｎｅｒａｂｉｌｉｔｙ　响的评分　ａｎｄ　Ｓｅｏｕ　ｒｉｔＹ　Ｔｅａｍ　ｓ　Ｓｃｏｒｉｎｇ　Ｓｙｓｔｅｍ）　（ＦＩＲＳＴ）　测试结果（ＴｅｓｔＲｅｓｕｌｔ）　测试结果对象　表述与检查语言　记录单独的设备或系统的合规性测试结果。　扩展配置检查列表描述格式　定义了检查列表与检查　Ｎａｔｉｏｎａｌ　Ｓｅｃｕｒｉｔｙ　Ａｇｅｎｃｙ　（Ｘ　Ｃ　ＣＤ　Ｆ：Ｅ　Ｘｔ　ｅ　ｎ　ｓｉ　ｂＩ　ｅ　报告的ＸＭＬ描述格式　（ＮＳＡ）ａｎｄ　ＮＩＳＴ　图１显示了这几种数据对象类型的关系。　Ｃｏｎｆｉｇｕ　ｒａｔｉＯＩ３　ＣｈｅｃｋＩｉ　ｓｔ　Ｄｅｓｃｒｉｐｔｉｏｎ　ＦＯｒｍａｔ）　ＸＣＣＤＦ的目的是提供一种统一的方式　开放脆弱性评估描述语言　定义了用于检查列表的　ＭＩＴＲＥ　Ｃｏｒｐｏｒａｔｉｏｎ　（ＯＶＡＬ：Ｏｐｅｎ　ＶｕｌｎｅｒａｂｉＩｉｔｙ　低级测试过程　ａｎｄ　Ａｓｓｅｓｓｍｅｎｔ　Ｌａｎｇｕａｇｅ）　描述安全检查列表与检查列表的评估结果。　ＸＣＣＤＦ文档由一个或多个ＸＣＣＤＦ规则组　成。每一个ＸＣＣＤＦ规则是系统中一个技术　信息安全与技术・２０１０．１２・２３・　Ｔｅｃｈｎｏｌｏｇｙ　ａｎｄ　Ｓｔｕｄｙ・技术探讨　个系统。　个基准对应一个楂啬　４表的完整　描谜　一详细清单定义：定义条件以决定是否软件的特定部分被　安装在系统上。　／１；螽　嘴　合规性定义：定义条件以决定是否计算机已符合特定的　策略或配置描述。　ＯＶＡＬ语言借助ＸＭＬ语法描述，包含三种核心的　豹规则与ｌｉｌ墨　霍　＿｝—１　ｉ　定义的　—　共性定义　Ｓｃｈｅｍａ，即ＯＶＡＬ定义Ｓｃｈｅｍａ，对以上四种类型的ＯＶＡＬ　图１　定义进行描述；ＯＶＡＬ系统特征Ｓｃｈｅｍａ，根据系统的实际特　征进行相应的编码描述；ＯＶＡＬ结果Ｓｃｈｅｍａ，是对分析结果　检查点的高级定义。一个规则没有直接说明怎样做一个检查，　而是间接的通过ＯＶＡＬ的定义文件来说明相应的检查方法。　２．２　ＯＶＡＬ　的详细编码描述。　图２说明了怎样运用ＯＶＡＬ三种核心Ｓｃｈｅｍａ描述与分　析一个实际系统脆弱性过程。　ＯＶＡＬ用于表达标准化的、机器可读的规则，这些规则能　用于评估系统的状态。在ＳＣＡＰ框架下，ＯＶＡＬ通常用于决　定存在的缺陷与不安全配置。一套用于检查安全问题的指令　（例如：一不正确的最小口令长度设置）被称作一个ＯＶＡＬ定　２．３　ＣＰＥ、ＣＶＥ与ＣＣＥ　这部分描述来了ＳＣＡＰ１．０中的三个列举规范：ＣＰＥ　２．２，　ＣＣＥ　５与ＣＶＥ。ＳＣＡＰ列举基本上都包含一个ＩＤ，一个相关　的描述或定义，与一个支持的参考列表。下面对每一个规范以　及它们之间的相互依赖关系给予说明。　ＣＰＥ　２．２是对操作系统、硬件与软件的标准命名规范，它　使得不同的组织可以共享相同的名字，以及针对特定平台获得　相同的解决方案。一个单独的ＣＰＥ命名语法如下：　ｃｐｅ：／｛ｐａｒｔ｝：｛ｖｅｎｄｏｒ｝：｛ｐｒｏｄｕｃｔ｝：｛ｖｅｒｓｉｏｎ｝：｛ｕｐｄａｔｅ｝：　｛ｅｄｉｔｉｏｎ｝：｛ｌａｎｇｕａｇｅ｝　义（Ｄｅｆｉｎｉｔｉｏｎ），包含一个或多个ＯＶＡＬ定义的文件称为一个　ＯＶＡＬ定义文件。　有四种类型的ＯＶＡＬ定义：　脆弱性定义：定义了针对特定的脆弱性的出现，在计算机　上必须存在的条件。　补丁定义：定义条件以决定是否一个特定的补丁适合一　图２　・２４・２０１０．１２・ＷＷＷ　ｉｎｆｏｓｔｉｎｇ．ｏｒｇ　技术探讨・Ｔｅｃｈｎｏｌｏｇｙ　ａｎｄ　Ｓｔｕｄｙ　例如，“ｃｐｅ：／ｏ：ｒｅｄｈａｔ：ｅｎｔｅｒｐｒｉｓｅ＿ｌｉｎｕｘ：２．１：：ｅｓ”是指　ＣＶＥ　ＩＤ：ＣＶＥ－２０００－０００１　ＤｅｓｃｒｉｐｔｉＯｎ：ＲｅａｌＭｅｄｉａ　ｓｅｒｖｅｒ　ａｌｌｏｗｓ　ｒｅｍｏｔｅ　ａｔｔａｃｋｅｒｓ　ｔｏ　ｃａｕｓｅ　ａ　ｄｅｎｉａ１　ｏｆ　ｓｅｒｖｉｃｅ　ｖｉａ　ａ　ｌｏｎｇ　ｒａｍｇｅｎ　ｒｅｑｕｅｓｔ．　ＲｅｄＨａｔ企业服务器版２．１，“Ｏ　指示这个ＣＰＥ描述一个操作　系统。在这个例子中，“ｅｄｉｔｉｏｎ”域是空白，表示这个ＣＰＥ应　用于ＲｅｄＨａｔ企业版服务器２．１的所有版本。ＣＰＥ在ｓＣＡＰ　中应用有几种方式。　Ｒｅｆｅｒｅｎｃｅｓ：ＢＵＧＴＲＡＱ：１９９９１２２２　ＲｅａｌＭｅｄｉａ　Ｓｅｒｖｅｒ　ＸＣＣＤＦ：在一个ＸＣＣＤＦ检查列表中，ＣＰＥ名字能用　于标识一个ＸＣＣＤＦ对象（Ｂｅｎｃｈｍａｒｋ、Ｐｒｏｆｉｌｅ，Ｇｒｏｕｐ或　５．０　Ｃｒａｓｈｅｒ（ｒｍｓｃｒａｓｈ．Ｃ）　ＢＩＤ：８８８．ＵＲＬ：ｈｔｔｐ：／／ＷＷＷ．８ｅｃｌ】一ｔｙ　０ｃｌ】ｓ．ｃｏｒｎ／ｂｉｄ／８８８　Ｒｕｌｅ）应用的硬件或软件平台。　ＣＣＥ：ＣＣＥ通过关联ＣＰＥ用以说明配置缺陷发生的平台。　ＣＶＥ：ＣＶＥ被关联到ＣＰＥ描述的一个或多个平台。这种　映射关系被保存在ＮＶＤ中。　ＣＣＥ　５用于标准化安全配置问题与条目。每一种安全相　关的配置问题被分配一个唯一的ＩＤ以便于快速、精确地发现　多个信息源与工具之间配置数据的相互关系。ＭＩＴＲＥ公司　维护与出版ＣＣＥ列表，每个ＣＣＥ条目包括５种属性：一个唯　一的ＩＤ，一个配置问题的描述，ＣＣＥ的逻辑参数，相关的技术　机制，与附加信息源的参考。下面是一个用于Ｗｉｎｄｏｗｓ　ＸＰ　中ＧｅＥ条目的例子。　ＣＣＥ　ＩＤ：ＣＣＥ－３１０８－８　Ｄｅｆｉｎｉｔｉｏｎ：Ｔｈｅ　ｃｏｒｒｅｃｔ　ｓｅｒｖｉｃｅ　ｐｅｒｍｉｓｓｉｏｎｓ　ｆｏｒ　ｔｈｅ　Ｔｅｌｎｅｔ　ｓｅｒｖｉｃｅ　ｓｈｏｕｌｄ　ｂｅ　ａｓｓｉｇｎｅｄ．　Ｐａｒａｍｅｔｅｒｓ：（１）ｓｅｔ　ｏｆ　ａｃｃｏｕｎｔｓ（２）ｌｉｓｔ　ｏｆ　ｐｅｒｍｉｓｓｉｏｎｓ　Ｔｅｃｈｎｉｃａｌ　Ｍｅｃｈａｎｉｓｍｓ：（１）ｓｅｔ　ｖｉａ　Ｓｅｃｕｒｉｔｙ　Ｔｅｍｐｉａｒｅｓ（２）ｄｅｆｉｎｅｄ　ｂｙ　Ｇｒｏｕｐ　Ｐｏｌｉｃｙ　Ｒｅｆｅｒｅｎｃｅｓ：Ｌｉｓｔｅｄ　ａｔ　ｈｔｔｐ：／／ｃｃｅ．ｍｉｔｒｅ．ｏｒｇ／ｌｉｓｔｓ／　ｃｃｅ＿ｌｉｓｔ．ｈｔｍｌ　在一个ＸＣＣＤＦ检查列表中，ＣＣＥ用于说明哪些安全配　置设置应被检查，ＯＶＡＬ运用ＣＣＥ条目也是同样的目的。　ＣＶＥ用于标准化公共已知的软件缺陷。这种通用的命名机　制允许多个组织间共享数据，有效地集成服务于工具。例如，一　个纠错工具可以运用几个扫描器与检测传感器的ｅＶＥ信息来制　定一种集成的风险消除解决方案。ＣＶＥ的好处表现在几方面：　公共已知软件缺陷的全面的列表　一个全球唯一的名字来标识每一个脆弱性；　讨论脆弱性特性与风险的基础；　是用户集成脆弱性信息到不同工具与服务的方式。　每个ＣＶＥ条目由一个唯一名字，一个简短描述与参考组成。　下面是一ＣＶＥ条目的例子。　２．４　ＣＶＳＳ　ＣＶＳｓ２．０提供了一种可重复的方法以评估和表达软件缺　陷的风险。运用这种共享的评分模型可以很容易的比较脆弱性　的严重程度。ＣＶＳＳ提供了三种尺度用以权重脆弱性的评分。　基本因素——脆弱性的内在因素决定的基本分数。　时间因素——捕捉随时间而改变的外部因素，考虑时间　因素来调整基本分数。　环境因素——标识了～个组织操作环境的上下文中这种　脆弱性的严重程度。　ＣＶＳＳ可以帮助组织理解多种脆弱性的相对重要性，从而　使他们能有效地评估、优化与消除脆弱性。因为每周会公开发　布数百个脆弱性问题，因此找到一种容易的方法标识哪些脆　弱性会对系统带来重要的影响是非常重要的。ＮＶＤ分析专家　为所有的ＣＶＥ条目计算与发布ＣＶＳＳ基本评分，但是每个组　织将根据他们特定的时间因素与环境因素来裁剪基本评分以　得到实际的脆弱性评分。　５．标准的评估认证　ＮＩＳＴ已经建立了ＳＣＡＰ产品认证体系与ＳＣＡＰ实验　室委任体系，这些体系一起确保ＳＣＡＰ产品的测试与验证　过程。ＳＣＡＰ测评实验室需要经过美国国家实验室自愿认　可计划（ＮＶＬＡＰ）的授权。实验室～经授权，实验室就可　以根据ＮＩＳＴＩＲ　（Ｎａｔｉｏｎａｌ　Ｉｎｓｔｉｔｕｔｅ　ｏｆ　Ｓｔａｎｄａｒｄｓ　ａｎｄ　Ｔｅｃｈｎｏｌｏｇｙ　Ｉｎｔｅｒａｇｅｎｃｙ　Ｒｅｐｏｒｔ）７５１　１中的ＤＴＲ（Ｄｅｒｉｖｅｄ　Ｔｅｓｔ　Ｒｅｑｕｉｒｅｍｅｎｔｓ）的描述进行ＳＣＡＰ产品测试。　产品经测试后，测评实验室将发布测试报告（包括特定产　品的需求列表，被需要的开发商文档，由实验室做的详细的测　试总结）给ＳＣＡＰ产品认证体系，产品认证体系专家将审阅测　试报告，然后发布产品认证。　一个产品可以被认证符合六个ＳＣＡＰ组件规范的一个或　多个，或单独的符合一个特定的ＳＣＡＰ能力。所谓ＳＣＡＰ能　力不是指产品类型，而是产品运用ＳＣＡＰ的方式，如认证的　脆弱性扫描器、认证的配置扫描器、入侵检测与预防、漏洞修　信息安全与技术・２０１０．１２・２５・　Ｔｅｃｈｎｏ　ｌ　ｏｇｙ　ａｎｄ　Ｓｔｕｄｙ・技术探讨　补、错误配置修补、设备管理、脆弱性数据库等等。　Ｃｏｎｆｉｕｒａｔｉｏｎｓ．ｈｔｔｐｓ：／／ｄａｔａｔｒａｃｋｅｒ。ｉｇｅｆｆ．ｏｒｇ／ｄｏｃ／ｄｒａｆｔ—　ｌａｎｄｆｉｅｌｄ－ｓｃａｐ－ｎａｍｉｎｇ／．　随着ＳＣＡＰ被应用到更多类型的安全工具，ＳＣＡＰ能力　列表将随着时间而不断发展。ＳＣＡＰ认证体系保证一个产品　符合一套ＳＣＡＰ能力与／或一个或多个ＳＣＡＰ组件规范。　［４］Ｏｐｅｎ　Ｖｕｌｎｅｒａｂｉｌｉｔｙ　ａｎｄ　Ａｓｓｅｓｓｍｅｎｔ　Ｌａｎｇｕａｇｅ　（ＯＶＡＬ）．ｈｔｔｐ：／／ｏｖａ１．ｍｉｔｒｅ．ｏｒｇ／．　如果没有重新认证的话，ＳＣＡＰ产品的认证有效期仅为一　年，这保证ＳＣＡＰ产品始终与ＳＣＡＰ技术发展同步，持续的结　合ＳＣＡＰ的参考数据为基础，使用最新的与改进的方法对产　品进行重新测试。　［５】Ｃｏｍｍｏｎ　Ｃｏｎｆｉｇｕｒａｔｉｏｎ　Ｅｎｕｍｅｒａｔｉｏｎ（ＣＣＥ）．ｈｔｔｐ：／／　ｃｃｅ．ｍｉｔｒｅ．ｏｒｇ／．　【６】Ｃｏｍｍｏｎ　Ｐｌａｔｆｏｒｍ　Ｅｎｕｍｅｒａｔｉｏｎ（ＣＰＥ）．ｈｔｔｐ：／／ｃｐｅ．　ｍｉｔｒｅ．ｏｒｇ／．　４．ＳＣＡＰ展望　目前，全球已有３０个厂商获得了扫描与审计产品的　ｓｃＡＰ认证。不难发现越来越多的厂商、组织与社团加入　到ＳＣＡＰ的研究与发展中，它已经成为业界事实上的标准，　目前正式发布的版本为ＳＣＡＰ　１．０（包括ＸＣＣＤＦ　ｉ．１．４、　ＯＶＡＬ　５．３与５．４，ＣＰＥ　２．２、ＣＣＥ　５、ＣＶＥ与ＣＶＳＳ　２．０），　ＳＣＡＰ１．１目前处于修订中，并且ｓＣＡＰ已经正式提交ＩＥＴＦ　［７】　Ｃｏｍｍｏｎ　Ｖｕｌｎｅｒａｂｉｌｉｔｉｅｓ　ａｎｄ　Ｅｘｐｏｓｕｒｅｓ（ＣＶＥ）．　ｈｔｔｐ：／／ｃｖｅ．ｍｉｔｒｅ．ｏｒｇ／．　［８】Ｃｏｍｍｏｎ　Ｖｕｌｎｅｒａｂｉｌｉｔｙ　Ｓｃｏｒｉｎｇ　Ｓｙｓｔｅｍ（ＣＶＳＳ）．　ｈｔｔｐ：，，　ｐ　．ｉｆｒｓｔ．ｏｒｇ／ｃｖｓｓ／．　【９】Ｎａｔｉｏｎａｌ　Ｖｏｌｕｎｔａｒｙ　Ｌａｂｏｒａｔｏｒｙ　Ａｃｃｒｅｄｉｔａｔｉｏｎ　Ｐｒｏｇｒａｍ（ＮＶＬＡＰ）．ｈｔｔｐ：／／ｔｓ．ｎｉｓｔ．ｇｏｖ／ｓｔａｎｄａｒｄｓ／　ａｃｃｒｅｄｉｔａｔｉｏｎ／ｉｎｄｅｘ．ｃｆｍ．　讨论组，不久的将来即会成为正式的全球标准。　【１０】ＳＣＡＰ　Ｖａｌｉｄａｔｅｄ　Ｔｏｏｌｓ．ｈｔｔｐ：／／ｎｖｄ．ｎｉｓｔ．ｇｏｖ／　ｓｃａｐｐｒｏｄｕｃｔｓ．ｃｆｍ．　参考文献　【１】ＳＣＡＰ　Ｈｏｍｅｐａｇｅ．ｈｔｔｐ：／／ｓｃａｐ．ｎｉｓｔ．ｇｏｖ．　【２］Ｔｈｅ　Ｅｘｔｅｎｓｉｂｌｅ　Ｃｏｎｆｉｇｕｒａｔｉｏｎ　Ｃｈｅｃｋｌｉｓｔ　Ｄｅｓｃｒｉｐｔｉｏｎ　Ｆｏｒｍａｔ（ＸＣＣＤＦ）Ｖｅｒｓｉｏｎ　１．１．４．ｈｔｔ！ａｓ：／／ｄａｔａｔｒａｃｋｅｒ．　ｉｅｔｆ．ｏｒｇ／ｄｏｃ／ｄｒａｆｔ—ｗａｌｔｅｒｍｉｒｅ—ｓｃａｐ－ｘｃｃｄｆ／．　【１１】Ｎａｔｉｏｎａｌ　Ｃｈｅｃｋｌｉｓｔ　Ｐｒｏｇｒａｍ．ｈｔｔｐ：／／ｃｈ￣ｄｉｓｔｓ．ｎｉｓｔ．ｇｏｖ．　【１２１　Ｎａｔｉｏｎａｌ　Ｖｕｌｎｅｒａｂｉｌｉｔｙ　Ｄａｔａｌ￣ｓｅ．ｈｔｔｐ：／／ｎｖｄ．ｎｉｓｔ．ｇｏｖ．　作者简介：　张力｛１９７３一）．男．西安电子科技大学硕士．高级咨询顾问：主要从　事ＦＩＰＳ与ＣＣ方面的研究　咨询与测评工作。　【３】Ｎａｍｉｎｇ　Ｃｏｎｖｅｎｔｉｏｎｓ　ｆｏｒ　Ｖｕｌｎｅｒａｂｉｌｉｔｉｅｓ　ａｎｄ　【上接第２１页】会有错？　科学家们的努力。　不过，现在也已经有一些系统使用多重认证的方式了，就　是不仅仅需要密码，还需要认证你的个人特征和你持有的物理　设备才能通过。比如先要检测你的指纹或视网膜，通过之后还　需要插入你的ＵＳＢ　Ｋｅｙ或者刷卡，最后再输入密码。相信，　即使在不遥远的将来，密码也不会被淘汰，它只会不断地更换　自己存在的方式而已。　５．展望下一代密码　传统的密码已经被证实不安全了，还有一次性临时密码、　加密狗都可以被破解或计算出来，也许在未来超级计算机的威　力之下，破解一个３０００位的无规则密码也只需要３秒钟时间，　那么我们还需要考虑使用“字符”来做密码吗？　于是新的密码品种——下一代密码就应运而生了，我给它　取个名字叫ＮＧＰ（Ｎｅｘｔ　Ｇｅｎｅｒａｔｉｏｎ　Ｐａｓｓｗｏｒｄ），有生物密　码，如视网膜识别、指纹识别、ＤＮＡ识别、血型识别、性别识别、　参考文献　［１】Ｍａｒｋ　Ｂｕｒｎｅｔｔ．Ｐｅｒｆｅｃｔ　ｐａｓｓｗｏｒｄｓ：ｓｅｌｅｃｔｉｏｎ，ｐｒｏｔｃｔｅｉｏｎ，　ａｕｔｈｅｎｔｉｃａｔｉｏｎ．Ｓｙｎｇｒｅｓｓ　Ｐｕｂｌｉｓｈｉｎｇ，Ｉｎｃ．，２００５．　感情识别、心跳脉搏识别；还有物理密码，如重量识别、温度识　别、湿度识别、语音识别、光识别、颜色识别、气体识别、气味识　别等等都可以起到控制开关的作用。　想象一下未来只有在特定的重量、温度和湿度的情况下，　作者简介：　再加上视网膜、指纹、语音、ＤＮＡ、血型识别通过之后才能打开　保险箱，多牛气。当然这只是一个幻想，能不能实现还要依靠　・何伊圣（１９９０一），男，蓝盾信息安全技术股份有限公司攻防研究员　擅长渗透测试与ｗ曲漏洞挖掘。　２６・２０１０．１２・ＷＷＷ．ｉｎｆｏｓｔｉｎｇ．ｏｒｇ