A concept of standard-based vulnerability management automation for IT systems

• Autorzy: Kasprzyk, R. , Stachurski, A.

Warianty tytułu

PL

Oparta na standardach koncepcja zarządzania podatnościami systemów teleinformatycznych na zagrożenia

• Języki publikacji: EN

Abstrakty

EN

The paper focuses on the attempt to show a way of automating IT vulnerability management across enterprise systems with the use of the Security Content Automation Protocol. SCAP offers a set of components which provide, among others, adjustable security checklists, standardised dictionaries of security vulnerabilities and vulnerability scoring methods that may prove valuable for organisations in terms of security analysis activities and quantitative risk assessment.

Celem artykułu jest przedstawienie próby automatyzacji zarządzania podatnościami systemów teleinformatycznych przy zastosowaniu grupy standardów wchodzącej w skład SCAP (The Security Content Automation Protocol). Cel ten może zostać osiągnięty między innymi poprzez zdefiniowanie standardowych formatów nazw i słowników artefaktów związanych z bezpieczeństwem systemów teleinformatycznych, tworzenie kwestionariuszy pozwalających zarówno na manualną i programową ewaluację zgodności z założoną polityką bezpieczeństwa, jak i na badania charakterystyk konkretnych podatności. Działania te mogą wspomóc czynności związane ze szczegółową analizą bezpieczeństwa systemów IT, jak również z szacowaniem ryzyka potencjalnego ataku cybernetycznego.

Słowa kluczowe

PL

cyberzagrożenia; SCAP; bezpieczeństwo teleinformatyczne

EN

vulnerabilities; SCAP; security

• Czasopismo: Computer Science and Mathematical Modelling
• Rocznik: 2016
• Tom: No. 3
• Strony: 33--38
• Opis fizyczny: Bibliogr. 19 poz., rys.

Twórcy

autor

Kasprzyk, R.

• Institute of Computer and Information Systems Faculty of Cybernetics, Military University of Technology Kaliskiego Str. 2, 00-908 Warsaw,

autor

Stachurski, A.

• Institute of Computer and Information Systems Faculty of Cybernetics, Military University of Technology Kaliskiego Str. 2, 00-908 Warsaw

Bibliografia

• [1] Kari A., “An Exceptional war That Ended in Victory for Estonia or an Ordinary e-Disturbance? Estonian Narratives of the Cyber-Attacks in 2007”, European Conference on Information Warfare and Security, July 2012.
• [2] Hollis D., “Cyberwar Case Study: Georgia 2008”, Small Wars Journals, http://smallwarsjournal.com/blog/journal/docs-temp/639-hollis.pdf.
• [3] CERT, “DDoS against Polish government websites”, 23 January 2012. [Online]. http://www.cert.pl/news/4856/langswitch_lang/en.
• [4] “Thanks, Stuxnet”, New Scientist, Vol. 210, 2 April 2011.
• [5] “Duqu: son of Stuxnet?”, Computer Fraud & Security, Vol. 2011(11), 3 (2011).
• [6] Higgins K.J., “Flame Gives Spyware A Next-Gen Updat”, Information Week, 11 June 2012.
• [7] Mell P., Scarfone K. and Romanosky S., “A complete guide to the common vulnerability scoring system version 2.0”, NIST, 2007.
• [8] Scarfone K. and Mell P., “The common configuration scoring system (ccss): Metrics for software security configuration vulnerabilities”, NIST, 2010.
• [9] LeMay E., Scarfone K. and Mell P., “The Common Misuse Scoring System (CMSS): Metrics for Software Misuse Vulnerabilities”, NIST, 2012.
• [10] NIST, “The Security Content Automation Protocol (SCAP)”, [Online]. http://scap.nist.gov.
• [11] Wikipedia, “Security Content Automation Protocol”, [Online]. https://en.wikipedia.org/wiki/Security_Content_Automation_Protocol.
• [12] NIST, “Security Content Automation Protocol (SCAP) Specifications”, [Online]. http://scap.nist.gov/revision/1.2/index.html.
• [13] Waltermire D., Quinn S., Scarfone K. and Halbardier A., “The Technical Specification for the Security Content Automation Protocol (SCAP): SCAP Version 1.2”, NIST, 2011.
• [14] MITRE, “Common Vulnerabilities and Exposures. The Standard for Information Security Vulnerability Names” [Online] https://cve.mitre.org.
• [15] MITRE, “Common Configuration Enumeration – Standardized Identifiers for Security Configuration Issues and Exposures”, 2012.
• [16] NIST, “Common Platform Enumeration (CPE)”, http://scap.nist.gov/specifications/cpe/.
• [17] Waltermire D., Schmidt C., Scarfone C., and Ziring N., “Specification for the Extensible Configuration Checklist Description Format (XCCDF) Version 1.2”, 2011.
• [18] MITRE, “An Introduction to the OVAL™ Language”, MITRE, 2006.
• [19] Waltermire D., Scarfone C. and Casipa M., “Specification for the Open Checklist Interactive Language (OCIL) Version 2.0”, 2011.

Uwagi

PL

Opracowanie ze środków MNiSW w ramach umowy 812/P-DUN/2016 na działalność upowszechniającą naukę.