SCAP中文社区

SCAP中文社区简介

漏洞库,信息安全,VULHUB

SCAP（Security Content Automation Protocol：安全内容自动化协议）由NIST（National Institute of Standards and Technology：美国国家标准与技术研究院）提出，NIST期望利用SCAP解决三个棘手的问题：一是实现高层政策法规（如FISMA，ISO27000系列）等到底层实施的落地，二是将信息安全所涉及的各个要素标准化（如统一漏洞的命名及严重性度量），三是将复杂的系统配置核查工作自动化。SCAP是当前美国比较成熟的一套信息安全评估标准体系，其标准化、自动化的思想对信息安全行业产生了深远的影响。

NIST将SCAP 分为两个方面进行解释：Protocol（协议）与Content（内容）。Protocol是指SCAP由一系列现有的公开标准构成，这些公开标准被称为SCAP Element（SCAP元素）。Protocol规范了这些Element之间如何协同工作，Content指按照Protocol的约定，利用Element描述生成的应用于实际检查工作的数据。例如，FDCC（Federal Desktop CoreConfiguration：联邦桌面核心配置）、USGCB（United States Government ConfigurationBaseline：美国政府配置基线）等官方的检查单数据格式均为SCAP Content。

SCAP版本1.0包含以下六个SCAP元素：XCCDF、OVAL、CVE、CCE、CPE、CVSS。这些标准在SCAP产生之前都已经存在，并在各自的领域发挥着重要作用。其中一些标准我们可能之前有所了解，如CVE、CVSS。当SCAP将它们整合后，其整体标准化的优势变得十分明显。SCAP为安全工具实现标准化提供了解决方案：标准的输入数据格式、标准的处理方法和标准的输出数据格式，这非常有利于安全工具之间实现数据交换。

信息安全评估行业对信息安全相关要素的标准化需求是迫切的，没有规矩无以成方圆，没有标准便无法得出可度量的评估结论。虽然当前事实上的行业标准CVE对已披露漏洞进行了一定程度的规范，但如何检查漏洞、补丁及配置缺陷，如何规范平台名称、脆弱点类别、配置缺陷名称等在国内仍没有可遵循的相关标准。而NIST提出的SCAP在信息安全评估标准化方面先行了一步，它正是为了解决这些标准化的问题而产生。创建SCAP中文社区的目的也在于此，我们希望通过SCAP中文社区的建立，能够进一步促进中国信息安全标准化的进程和SCAP系列标准在中国的采纳和应用。

SCAP中文社区高度集成了大量信息安全相关的标准和各种漏洞数据库，并深入分析了这些数据之间的联系，形成了独具特色的信息安全数据服务平台，在服务行业的同时，SCAP中文社区也是“职业黑客”们有效的信息来源，在此可以方便地获取有关信息安全漏洞的详尽资料和大量漏洞利用代码。

CVE中文漏洞信息查询是SCAP中文社区的一项重要功能，SCAP中文社区与“美国国家漏洞库（NVD）"，“中国国家信息安全漏洞库（CNNVD）”保持实时的同步更新，与Exploit-DB、PacketStorm等漏洞利用程序库保持每日同步更新。为了提供更多有价值的信息，SCAP中文社区的CVE漏洞库与OVAL数据库进行了映射，与Exploit-DB、PacketStorm数据进行了链接，用户可以通过丰富的检索功能查找详尽的漏洞资料。

OVAL是一种用来描述漏洞检测方法的机器可识别语言，可以用来详细的描述漏洞检测的技术细节，并可导入自动化检测工具中实施漏洞检测工作。OVAL使用XML语言描述，且中间包含了严密的语法逻辑，SCAP中文社区使用XSL转换技术，将OVAL语言XML转换为易于人工阅读的方式，非常适用于漏洞分析人员使用。

CCE是描述软件配置缺陷的一种标准化格式，在信息安全风险评估中，配置缺陷的检测是一项重要内容，使用CCE可以让配置缺陷以标准的方式展现出来，便于配置缺陷评估的可度量化操作。SCAP中文社区与NVD保持实时的更新。

SCAP中文社区是电脑网络黑客安全行业领先的网站，SCAP中文社区于2020年11月被世界网址收录于目录下，网站创办者是：SCAP中文社区，SCAP中文社区网站网址是：http://www.scap.org.cn，世界网址综合分析SCAP中文社区网站的价值和可信度、百度搜索排名、Alexa世界排名、百度权重等基础信息，为您能准确评估SCAP中文社区网站价值做参考！

标签：mobile信息安全漏洞漏洞库vulhub

官方信息

• 

  Facebook

• 

  微博

• 

  YouTube

• 

  微博

• 

  Twitter