SCAPとは？

SCAPの意味

脆弱性管理・測定・ポリシー準拠評価を自動化するためにNISTが定めた仕様群。CVE（脆弱性の識別）、CCE（設定項目の識別）、CPE（製品の識別）、CVSS（深刻度の評価）、XCCDF（チェックリスト記述）、OVAL（検査手順の記述）などから構成される。

SCAPの具体例

500台のサーバが設定基準どおりか、手作業のチェックシートで年1回しか確認できていなかった。OVALで記述した検査手順とCPEによる製品識別を用いる構成管理ツールを導入し、日次で自動評価してCVSS 7.0以上の未対応を一覧化した。

SCAPは試験でどう引っ掛けられる？

構成要素の担当を取り違えやすい。CVE＝脆弱性の識別、CCE＝設定項目の識別、CPE＝製品の識別、CVSS＝深刻度の評価、XCCDF＝チェックリストの記述、OVAL＝検査手順の記述。特にCCEとCPE、XCCDFとOVAL（「何を確認するか」と「どう確認するか」）の対応が問われる。SCAP自体は脆弱性を検出する製品ではなく、記述形式を定めた仕様群である点も注意。

SCAPと関連する用語

• CVE
• CVSS
• JVN

SCAPが出た過去問

• 脆弱性管理、測定、評価を自動化するためにNISTが策定した基準はどれか。

  正解：SCAP (Security Content Automation Protocol)

  要点：SCAPは脆弱性管理と評価を自動化するNISTの仕様群

  SCAPは、脆弱性や設定に関する情報を機械可読な形式で表現し、その管理・測定・評価を自動化するためにNISTが定めた仕様群である。脆弱性の識別子であるCVE、深刻度を数値化するCVSS、設定項目の識別子CCE、製品識別子CPEなどの標準を組み合わせて構成される。共通の識別子を用いることで、異なる製品間で脆弱性情報を突き合わせ、自動的に評価できる。

  出典：令和5年度 秋期 情報処理安全確保支援士試験 am2 問12（IPA）