来自 CC防护 2021-11-05 19:26 的文章

防cc_山东高防服务器_怎么防

防cc_山东高防服务器_怎么防

国家脆弱性数据库(又称NVD)是美国政府存储基于标准的漏洞管理数据的存储库。其内容使用安全内容自动化协议SCAP(发音为"ess cap")表示。SCAP旨在通过自动化软件设施促进漏洞数据的报告、收集、管理和监控。SCAP包含广泛的输入和信息,并实现漏洞管理、安全度量和安全合规性的自动化。NVD包括安全检查表、安全相关软件缺陷、错误配置、产品名称和各种安全影响指标的集合,高防ip和cdn,以支持基于风险的漏洞和潜在暴露管理。NIST在其网站上维护SCAP规范。一段时间以来,风险I/O将NVD的数据馈送作为其自身RiskDB的一部分,RiskDB是一个从众多全球漏洞数据库收集漏洞数据的数据库。了解安全自动化协议(SCAP)及其组件在SCAP规范本身之下,如何防御最新的ddos,版本1.0被广泛使用,尽管版本1.1和1.2已被定义,并且在最终状态下,许多开放标准,即SCAP组件,被用来列举与安全相关的软件和配置问题。NVD本身将使用这些组件标准收集的数据描述为"数据馈送"和"产品集成服务"。按照SCAP版本组织的这些标准的列表被列出,以便它们的名称可以代表SCAP及其扩展的覆盖范围和广度,NVD提供(请注意,尽管SCAP 1.1和1.2版的规范可能是最终版本,但它们添加到混合中的一些或所有新组件仍在开发中):1SCAP 1.0(当前使用的版本)常见漏洞和暴露(CVE):可用于CVE的XML架构、XML更改日志和各种数据文件(有关详细信息,请参阅NVD数据源和产品集成页面)。公共配置枚举(Common configuration enumeration,CCE)最初由MITRE开发,它通过一个XML模式和一组到nist800-53数据表示的映射来表示(在我写这篇文章时还在beta版)。通用平台枚举(CPE),一种信息技术系统、软件和软件包的结构化命名系统,使用URL建立正式名称格式、名称检查方法和描述格式,将文本和测试绑定到任何给定名称。通用漏洞评分系统(CVSS)是一个用于交流与IT漏洞相关的特征和影响的框架,旨在确保可重复和准确地测量,并透明地访问评分中使用的漏洞特征。可扩展配置清单描述格式(XCCDF),一种用于编写安全检查表、基准测试和相关文档的规范语言,其中XCCDF文档表示一组目标系统的安全配置规则的结构化集合。该规范旨在促进信息交换、文档生成、检查表和基准的组织和情景裁剪、自动化的合规性测试,以生成合规性分数。开放脆弱性和评估语言(OVAL)是一种国际信息安全标准,旨在促进开放的、公开的安全内容,该标准旨在使此类内容在整个安全工具和服务范围内的传输标准化。椭圆语言用于编码系统详细信息,这些信息存储在整个安全社区的各种内容存储库中。斜角椭圆页面提供了一个很好的切入点。2增加SCAP 1.1开放式清单交互语言(OCIL)2.0版,一个向用户表达问题集的框架,以及解释对此类问题的响应的匹配过程,开发用于IT安全检查表。OCIL仍在开发中,还不是当前SCAP标准的一部分。三。增加SCAP 1.2资产标识规范,提供基于已知标识符或特定资产的已知信息唯一标识资产所需的各种构造。该规范描述了资产识别的目的,定义了用于识别资产的数据模型,并提供了如何最好地利用资产识别的指导,以及已知用例的说明。资产报告格式(assetreportingformat,ARF),一种用于传输有关资产以及资产和报表之间关系的数据模型。此标准数据模型支持跨组织和跨组织之间的资产信息的报告、关联和合并。ARF是供应商和技术中立的,旨在跨广泛的报告应用程序工作。通用配置评分系统(CCSS)定义了软件配置问题严重程度的度量标准,该系统源自为度量与软件问题相关的漏洞而开发的通用漏洞评分系统(CVSS)。CCSS旨在帮助组织决定如何解决安全配置问题,并为系统总体安全态势的定量评估提供数据。用于安全自动化数据的信任模型(TMSAD),一种适用于安全自动化中的规范(如SCAP)的信任模型,重点是通过建议如何使用数字签名、哈希、密钥和身份信息来确保信息的安全传输来处理XML文档。如何使用SCAPSCAP用于测量发现漏洞的系统,并对其进行评分,以估计其可能的影响。SCAP检查表使计算机安全配置与NIST特别出版物800-53(又名SP 800-53)中概述的控制框架之间的连接标准化并实现自动化。今天的SCAP版本处理安全设置的初始测量和持续监控以及相应的sp800-53控制。计划的未来版本预计将标准化并实现SP800-53控件安全设置的实现和更改的自动化。这解释了SCAP如何实现NIST管理框架中描述的实施、评估和监控步骤,这也使得SCAP成为NIST FISMA实施项目的一个组成部分。反过来,FISMA是2002年的联邦信息安全管理法案。FISMA定义了一项立法,要求所有联邦机构制定、记录和实施全面计划,为存放机构资产和支持机构运营的信息和信息系统提供信息安全,包括由其他机构、承包商或其他第三方提供或管理的信息和信息系统。FISMA强调"基于风险的成本效益安全政策",并包括年度安全审查/审计,其结果将报告给管理和预算办公室(OMB)。OMB使用这些数据提供监督,并每年向国会报告机构遵守FISMA的情况。如今,联邦机构每年在确保美国政府整体技术投资方面的支出超过70亿美元。NVD和RiskDB发挥作用的地方NVD不仅是一个政府项目,它还与研究、学术和私营部门的利益进行了大量的投入和互动。整个NVD可以按需即时下载,NIST鼓励对其内容、工具、标记语言和技术进行广泛调查和使用。NVD的主要目标是通过基于风险的评估和优先级实现安全基础设施的智能自动化,因此它对私人和商业用途的软件开发和安全监控同样感兴趣,因为它对公共部门也是如此。此外,NVD旨在为国际社会定义一个引人注目的数据模型。这就是为什么NVD如此引人注目,非常值得深入研究和了解,这也是为什么Risk I/O使用NVD作为RiskDB的主要数据源之一。自动化已成为管理漏洞的必要条件,这仅仅是因为正如风险I/O的Ed Bellis在CSO的故事"脆弱性军备竞赛"中明确而有说服力地指出的那样,信息安全和合规工作向IT组织引入工作的速度超过了他们完成工作的能力。在一定程度上,这完全是因为修补漏洞或实施控制以满足法规遵从性要求和目标所需付出的努力。在某种程度上,这也是因为在缺乏关于什么是最热门的、需要立即采取行动的充分指导的情况下,局域网ddos防御,有大量其他工作要做的it组织必须自己决定如何优先处理、安排和实施漏洞和合规性响应,什么是必须做的,但可以等待一段时间后才作出反应,以及什么可以简单地允许滑动。解决管理漏洞和法规遵从性要求的问题不仅意味着捕获和编目漏洞,企业怎么防御ddos攻击,还意味着评估相关的风险和/或严重程度。这使得自动化变得有效,并允许更多的工作量来应对每月产生的大量信息(根据最近的分析,免费高防cdn有哪些,每月超过600项)。NVD和RiskDB的真正意义在于,它有助于创建数据的整体视图,并使用基于风险的优先方法来推动补救,并确保最严重、最重要的问题得到解决。此外,使用SCAP等标准有助于提供一个更加客观、平衡(和数据驱动)的漏洞视图,并从反应和解决方案中消除下意识因素,而理性评分系统适用于组织内的总体威胁和脆弱性态势。这有助于保持优先顺序,并确保最关键的问题得到他们需要的关注和回应。作者简介:Ed Tittel是一名全职自由撰稿人和研究人员