漏洞扫描软件-openscap使用

1、简介

OpenSCAP 是一个开源的项目，该项目包括一系列的工具及大量的安全策略。SCAP 协议是一个由美国 NIST 维护的标准，OpenSCAP 项目是一组使用和实施该标准的开源工具，在 2014 年获得了 NIST 颁发的 SCAP1.2 认证。使用 OpenSCAP 可以进行安全合规检查修复以及脆弱性评估。

2、术语介绍

• Security Content Automation Protocol（SCAP），安全内容自动化协议，目前 SCAP 协议技术规范是 SCAP 1.3。SCAP是一套用于交换安全自动化内容的规范，用于评估配置遵从性和检测易受攻击软件版本。
  参考链接：​ ​https://csrc.nist.gov/Projects/Security-Content-Automation-Protocol/SCAP-Releases/scap-1-3​​
• Common Configuration Enumeration（CCE）：通用配置枚举，CCE 清单为安全相关的系统配置问题提供了一个唯一的标识符用于改进工作流，通过在大量信息源及工具中的配置数据促进快速和精确的关联。
  参考链接：​ ​https://csrc.nist.gov/Projects/Security-Content-Automation-Protocol/Specifications/Common-Configuration-Enumeration-(CCE)​​
• Common Platform Enumeration（CPE）：通用平台枚举，是一个描述及标识应用、操作系统及硬件设备在当前企业计算资产中的标准方法。CPE 不描述一个系统中特定的产品实例，相反，它描述的是一个抽象的类别。
  参考链接：​ ​https://csrc.nist.gov/Projects/Security-Content-Automation-Protocol/Specifications/cpe​​
• Common Weakness Enumeration（CWE）：CWE 称为通用脆弱性枚举，是由社区开发的软件脆弱性清单。CWE 致力于详细描述已知安全脆弱性及缺陷。同时也提供了阻止、实施及减少脆弱性的相关信息。
  参考链接：​ ​https://cwe.mitre.org/index.html​​
• The Script Check Engine（SCE）：SCAP 的扩展，用于允许 SCAP 策略执行脚本
  参考链接：​ ​http://www.open-scap.org/features/other-standards/sce/​​
  Open Vulnerability and Assessment Language（OVAL）：开放漏洞评估语言，在国际范围内，免费给公众使用，OVAL 是一个信息安全社区致力于标准化如何评估及报告计算机系统的机器状态。OVAL 包括了一种用于编码系统细节的语言，以及社区所维护的内容集。
  参考链接：​ ​https://oval.mitre.org/​​
• The Extensible ConfigurationChecklist Description Format（XCCDF）：可扩展配置清单描述格式，是一种特别的语言用于编写安全检查清单、基线以及类似相关的文档。一个 XCCDF 文档代表了一些目标系统的安全配置规则的结构化集合。
  参考链接：​ ​https://csrc.nist.gov/Projects/Security-Content-Automation-Protocol/Specifications/xccdf​​
• Center for Internet Security（CIS）：互联网安全中心
  参考链接：​ ​https://www.cisecurity.org/​​
• DataStream（DS）：一种用于将 SCAP 组件打包到一个文件的格式，是最常见的一种 SCAP 文件类型，其文件后缀名通常为 ds.xml 。
• Asset Reporting Format（ARF）：资产报告格式，合并了多个结果的文件，包括OVAL结果及XCCDF结果，通常也被称为结果数据流（Result DataStream）
• SCAP Security Guide（SSG）：SSG 是一种使用 SCAP 文档形式写的安全策略。在 SSG 中创建的安全策略包括了很多计算机安全领域以及最佳实践解决方案。包含了描述得非常详细的规则以及证明过的修复脚本。SSG 中的安全策略有各种平台的系统，包括 Fedora、Red Hat、Enterprise Linux、Mozilla Firefox and others。注意，现在没有 CentOS，我在百度上找了一个适合 CentOS 的安全策略。
  参考链接：​ ​http://www.open-scap.org/security-policies/scap-security-guide/​​
• Security Policy 也被称为 SCAP content，或者被称为 content，是所有合规策略的中心，他决定了应该如何设置以及检查什么内容。
  参考链