OVAL® या "सही स्कैनर का मिथक"

अभिवादन, सहकर्मियों।
सेवाओं के "कॉर्पोरेट" बाजार में स्वचालित सुरक्षा स्कैनर का मुद्दा बहुत तीव्र है।
बेशक, कौन हजारों मेजबानों को मैन्युअल रूप से जांचना चाहता है?
चूंकि मांग आपूर्ति बनाती है, आप उन्हें हर स्वाद, रंग और बजट के लिए पा सकते हैं।
वे समान लक्ष्यों को हल करने के लिए डिज़ाइन किए गए हैं: अनुपालन प्रबंधन।
इस प्रकार निगमों को भारी मात्रा में पीसीआई डीएसएस और इसी तरह के मानकों के मानकीकरण के साथ बचत होती है।
वे सभी इतने अलग हैं, लेकिन फिर भी उनमें एक चीज समान है : रिपोर्ट के प्रारूप, सूची के परिणाम और अद्यतन करने के लिए सामग्री के रूप में सरासर अराजकता और भ्रम । जैसा कि प्रोग्रामरों के प्रत्येक समूह के साथ आया था, वह किया गया था। यह स्थिति सुरक्षा स्कैनर की तुलना करना बेहद कठिन बना देती है। और उत्पाद "ए" के उपयोग के दौरान संचित डेटा का उपयोग करने के तरीके के बारे में बात करते हैं, जब उत्पाद "बी" पर स्विच करना सवाल से बाहर है। खैर: आप जहां भी जाते हैं, हर जगह "वाणिज्यिक रहस्य" और "बौद्धिक संपदा" होता है। समाधान, मेरे प्रिय पाठक, स्पष्ट है: स्कैनर के सभी चरणों में इनपुट और आउटपुट प्रारूपों का मानकीकरण। यह वही है जो ओपन वल्नेरेबिलिटी एंड असेसमेंट लैंग्वेज (OVAL) मानक में वर्णित है।


मूल बातें और बुनियादी शब्दों में फिर से गोता न लगाने के लिए, मैं यह नोट करना चाहूंगा कि मैंने अपने आखिरी लेख में OVAL के बारे में बात की थी। इसलिए, यह शब्दावली में भ्रम से बचने के लिए एक नज़र रखने लायक है।
वास्तव में, व्यक्त किए गए शोधों को सारांशित करते हुए, व्यक्ति निम्नलिखित को समझ सकता है: सूचना सुरक्षा "औसत दर्जे का" बनाने की इच्छा स्कैनर के माध्यम से इसके पारित होने के सभी चरणों में सूचना के पूर्ण मानकीकरण के साथ ही संभव है। यह अब तक क्यों नहीं किया गया? यह उत्तर उतना ही सरल है जितना कि सूचना सुरक्षा के "साबुन के बुलबुले" के ढांचे के भीतर हो सकता है: यह सुरक्षा उत्पादों के रचनाकारों के लिए फायदेमंद नहीं है। जबकि सूचीकरण, कमजोरियों को खोजने और उनके अस्तित्व के बारे में निर्णय लेने की प्रक्रिया प्रत्येक विशेष कंपनी की "काला जादू" बनी हुई है, उनके उत्पाद आलोचना के डर और प्रतिस्पर्धा के आक्रमण के बिना, "बाजार" को मजबूती से पकड़ेंगे।

अन्य मामलों में, हम इतने स्पष्ट नहीं होंगे। प्रत्येक कंपनी के लिए सूचना सुरक्षा में ज्ञान को औपचारिक बनाने की प्रक्रिया में इतने बड़े संसाधनों की आवश्यकता होगी कि यह उन्हें पूरी तरह से सही ठहराए। आखिरकार, 100500 लिपियों को "परिभाषा", "वस्तु", "परीक्षण" और "राज्य" में अनुवाद करना बहुत काम है, जिसमें कई "मानव-महीनों" की आवश्यकता होती है।

तो यह " सही स्कैनर " क्या है? जो नियामकों की सभी आवश्यकताओं को पूरा करेगा और अंत में सुरक्षा को "मापने योग्य" बनाने में सक्षम होगा। इसका उत्तर सतह से एक मीटर गहरा है, और यह OVAL भाषा प्रलेखन में वर्णित है। जीत की कुंजी स्कैनिंग के सभी चरणों में औपचारिक डिजाइन का उपयोग है। और यह मेरी कल्पना नहीं है, बल्कि MITER द्वारा प्रस्तावित एक पूरी तरह कार्यात्मक योजना है:



इस प्रकार, हमें प्रत्येक चरण में एक "टेम्पलेट" डिज़ाइन मिलता है। इसके क्या लाभ हैं? फिर भी, यह स्पष्ट है: हम "ए" स्कैनर के साथ सिस्टम को स्कैन करते हैं, फिर "बी" स्कैनर के साथ और देखते हैं कि विज्ञापित विदेशी उत्पाद को स्थापित कार्यक्रमों का आधा हिस्सा नहीं मिला। और उनके प्रतिद्वंद्वी ने आम तौर पर विंडोज और यूनिक्स को भ्रमित किया।

परिणाम की पारदर्शिता और रिपोर्ट की तुलना इस तरह की योजना के मुख्य लाभ हैं।
एक OVAL- परिभाषा के रूप में पूरे स्कैन अनुक्रम का वर्णन करने के लिए मजबूर, लेखक यह दिखाने में सक्षम होंगे कि एक निर्णय क्यों किया गया है। नहीं "अल्मा! आपके पास CVE-2034-100500 भेद्यता है! ”और एक खुला निर्णय वृक्ष:“ आपके पास CVE-2034-100500 भेद्यता है क्योंकि आपके पास Solaris 15, Firefox 22 संस्करण 1.1.23 स्थापित है और सुरक्षा पैच 13453-10 स्थापित नहीं हैं ” । सहमत, उपयोगकर्ता के दृष्टिकोण से, यह संरेखण बहुत अधिक "स्वादिष्ट" है। एक बोनस के रूप में, हमें ऑडिट और होस्ट इन्वेंट्री परिणामों के लिए दोनों अद्यतन जानकारी की पूर्ण संगतता मिलती है।

"और सुरक्षा घेरा कहाँ है?" आप पूछते हैं। लेकिन वह अपनी जगह पर रहा: कुछ परीक्षण के निष्पादन को लागू करने वाली लिपियों में। एक एक्स्टेंसिबल भाषा होने के नाते, OVAL को अपने स्वयं के अमूर्त प्रकारों को परिभाषित करने की अनुमति है, केवल एक औपचारिक रूप में उनके औपचारिक विवरण की आवश्यकता होती है। इसलिए, "निचले वर्ग" मज़बूती से छिपे हुए हैं। परीक्षण "फ़ाइल / संस्करण / लॉग / संदेश में लिनबकडोर बैकडोर के पदचिह्न की उपस्थिति की जांच करने के लिए" और वह स्क्रिप्ट जो इसे लागू करने योग्य नहीं है।

संक्षेप में : स्कैनिंग के प्रत्येक चरण में OVAL भाषा मानकों के कार्यान्वयन से विक्रेताओं को नुकसान नहीं होगा। लेकिन यह "पारदर्शी" स्कैनिंग के परिणाम देगा और सूचना सुरक्षा उत्पादों की प्रत्यक्ष तुलना करने की अनुमति देगा। इस प्रकार, हम कार्य को प्राप्त करेंगे: सुरक्षा को "औसत दर्जे का" बनाने के लिए।

आपका ध्यान देने के लिए धन्यवाद।