作甚SCA？听听一枚产物汪的纯干货分享

刚结业就成为了一名产物汪，照旧高端大气上档次的收集安详行业（此处省略100字），并且还认真了一款重量级产物——设置核查体系，小妹又兴奋又惧怕，只能立志进修，全力全力再全力！以下就是这段时刻我对SCA的一些熟悉了，分享给各人，请大佬们多多指教。起首来看一下SCA的界说。

一 、SCA的界说

Gartner把SCA界说为Security Configuration Assessment，翻译过来是安详设置评估，对其的声名是：提供了长途评估和验证设置的成果，譬喻Windows域组计策中的暗码伟大性；常常用于实现礼貌遵从性，譬喻PCI或内部安详计策合规性。

从字面意思看Gartner把其界说为“成果”，这种“成果”的浸染是举办“长途评估”和“验证设置”，固然文中穷乏“安详”两字，可是从实例说明，以及佐以Gartner文中其他的代价、成果和厂商等先容，我们可以以为属于安详领域。

而海内常用的是安详设置核查，界说为对信息体系设置操纵，譬喻操纵体系、收集装备、数据库、中间件等多类装备的搜查。

虽然一些互联网厂商也将SCA用作Security Checklist Analysis的简称,界说为举办安详搜查、发明隐藏伤害、督促各项安详礼貌、制度、尺度实验的一个较为有用的器材。

本文首要参照了前两种方法来领略SCA。同时，Gartner给出了8个具有代表性的SCA厂商：Amazon，Tenable，Rapid7，BeyondTrust，Tripwire，IBM Bigfix，Tanium，Qualys，接下来对这几个厂商举办更具体的一个说明。

二 、SCA的代表厂商及详细支持成果

以下挑了Gartner保举中的5个厂商：BeyondTrust，Qualys，Rapid7，Tenable以及Tripwire，对其首要成果举办了综合比拟说明，拜见下表（按首字母排序）：

从上表可知，Gartner以为一个尺度的SCA至少必要以下几大成果：

• 合用于尽也许多种类的操纵体系，数据库，中间件；

• 支持敏捷相应；

• 支持自动化设置搜查；

• 支持天生报表；

• 合规性遵从，好比：FISMA，STIG，HIPPA，CIS，SCAP。

那么每个厂商详细的SCA相干产物先容又是什么，以下举办别离的先容：

1.BeyondTrust

资料来历：BeyondTrust官网

Retina设置合规性模块可以轻松地按照内部计策或外部最佳实践考核设置，同时齐集陈诉以用于监控和禁锢目标。

首要特性

• 开箱即用的设置考核，陈诉和警报；

• 用于Windows操纵体系的模板，以及用于FDCC，NIST，STIGS，USGCB和Microsoft应用措施的模板；

• 审计和安详配置，用户权限，日记记录设置等的评估；

• 内置陈诉并与Retina CS集成，用于增量，趋势和其他说明；

• OVAL 5.6 SCAP认证的扫描引擎息争释器。

Retina禁锢陈诉模块使您可以或许有用地赏识伟大的礼貌遵从情形。 该模块通过将收集的特定裂痕映射到相干的公司政策，当局礼貌和行业尺度，逾越了通用合规陈诉。

首要特性

• 与Retina CS和Retina设置合规性模块无缝集成；

• PCI，HIPAA，SOX，GLBA，NIST，FERC / NERC，MASS 201，ISO，COBiT，ITIL，HITRUST等礼貌的合规陈诉；

• 将裂痕和设置题目映射到节制方针和使命；

• 合规性仪表板具有向下钻取成果，可以当即同等地相应合规性违规；

• 一连更新新发明的裂痕和禁锢节制的变革。

2. Qualys

资料来历：Qualys官网

包围面广

Qualys SCA是Qualys裂痕打点的附加项, 可让您按照Internet安详(CIS)基准的中心评估、陈诉、监督和批改与安详相干的设置题目。它支持操纵体系、数据库、应用措施和收集装备的最新的 CIS 基准宣布。

节制责任

Qualys SCA节制由Qualys安详专家在内部开拓和验证, 并由 CIS 认证。这些控件针对机能、可伸缩性和精确性举办了优化。Qualys SCA可以在任何巨细的 IT 情形中行使, 从小的到最大的。

易用性

SCA的CIS评估是通过基于web的用户界面和从 Qualys 云平台提供的, 从而实现齐集化打点, 陈设开销最小。可以按照组织的安详计策选择和自界说 CIS 控件。这就消除了与传统的用于设置打点的软件点产物相干的本钱、资源和陈设题目。

陈诉和仪表板

SCA 用户可以布置评估, 自动建设可下载的设置题目陈诉, 并查察仪表板以进步其安详态势。这就带来了Qualys SCA 在领先基准之后的安详最佳做法的自动化, 并让保密团队对数字营业安详采纳主动的要领。

3. Rapid7

资料来历：Rapid7官网

满意裂痕打点合规性要求：Nexpose使组织可以或许始终遵守PCI DSS,NERC CIP,FISMA(USGCB/FDCC),HIPPAA/HITECH,Top20 CSC,DISA STIGS和风险/裂痕/设置打点的CIS尺度。与其他也许是收集承担多次扫描的办理方案差异，Nexpose的快速，同一的安详性和合规性评估通过为您提供完备的风险和合规性状态来进步安详打算的机能。

4. Tenable

资料来历：Tenable官网

扫描成果：

• 包围范畴：收集装备的离线设置考核；

• 合规性：辅佐满意当局，禁锢和企业扫描要求；

• 有助于对安详设置实验PCI DSS要求；

威胁：僵尸收集/恶意，历程/反病毒审计；

• 设置考核：CERT,CIS,COBIT/ITIL,DISA STIG,FDCC,ISO,NIST,NSA,PCI。

（编辑：河北网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!