XCCDF — это спецификационный язык на основе XML для описания контрольных листов настроек безопасности (security configuration checklists) и других подобных документов. XCCDF является одним из языков Протокола автоматизации контента безопасности (Security Content Automation Protocol, SCAP). XCCDF — важный инструмент для специалистов, связанных с автоматизацией процессов информационной безопасности. На этом языке описаны, к примеру, обязательные требования по настройке рабочих станций федеральных агентств США и их контрагентов (программа FDCC/USGCB). В этой статье мы рассмотрим, каким образом описываются контрольные листы настроек безопасности на языке XCCDF — на примере USGCB-контента для RedHat Enterprise Linux.
Читать полностью »
Рубрика «OVAL»
Введение в XCCDF
2012-04-11 в 12:54, admin, рубрики: linux, OVAL, redhat, SCAP, Блог компании Positive Technologies, информационная безопасность, метки: linux, OVAL, redhat, SCAPРеализация инструментов для создания контента OVAL® на Python
2012-03-15 в 10:52, admin, рубрики: OODB, OVAL, python, SCAP, Блог компании Positive Technologies, информационная безопасность, метки: OODB, OVAL, python, SCAP Приветствую, коллеги! 
В процессе исследования языка OVAL и концепции SCAP-сканера я столкнулся с довольно серьезной проблемой, а именно с отсутствием удобных инструментов для создания контента на языке OVAL. Нет, я не утверждаю, что нет совсем ничего. Есть небольшой набор утилит, представленных на официальном сайте. Большая часть из них платная, остальные же представляют собой не очень удобные решения, больше всего похожие на XML-Notepad. В итоге я решил создать небольшой необходимый мне для работы инструмент самостоятельно, используя в качестве языка Python.
Информационная безопасность / OVAL® или «миф об идеальном сканере»
2012-03-02 в 18:22, admin, рубрики: OVAL, SCAP, security, security scanner, метки: OVAL, SCAP, security, security scanner 
Приветствую, коллеги.
Вопрос автоматических сканеров безопасности стоит весьма остро на «корпоративном» рынке услуг.
Конечно, кому же хочется проверять тысячи хостов вручную?
Поскольку спрос рождает предложение, вы можете найти их на любой вкус, цвет и бюджет.
Они призваны решать одни и те же цели: комплайнс-менеджмент.
Тем самым сэкономить корпорации огромное количество денег при массовой стандартизации PCI DSS и подобным стандартам.
Они все такие разные, но все же у них есть одна общая черта: полнейшая анархия и разброд в формате отчетов, результатовЧитать полностью »