何为SCA？听听一枚产品汪的纯干货分享

刚毕业就成为了一名产品汪，还是高端大气上档次的网络安全行业（此处省略100字），而且还负责了一款重量级产品——配置核查系统，小妹又高兴又惶恐，只能发奋学习，努力努力再努力！以下就是这段时间我对SCA的一些认识了，分享给大家，请大佬们多多指教。首先来看一下SCA的定义。

一 、SCA的定义

Gartner把SCA定义为Security Configuration Assessment，翻译过来是安全配置评估，对其的说明是：提供了远程评估和验证配置的功能，例如Windows域组策略中的密码复杂性；经常用于实现法规遵从性，例如PCI或内部安全策略合规性。

从字面意思看Gartner把其定义为“功能”，这种“功能”的作用是进行“远程评估”和“验证配置”，虽然文中缺少“安全”两字，但是从实例分析，以及佐以Gartner文中其他的价值、功能和厂商等介绍，我们可以认为属于安全范畴。

而国内常用的是安全配置核查，定义为对信息系统配置操作，例如操作系统、网络设备、数据库、中间件等多类设备的检查。

当然一些互联网厂商也将SCA用作Security Checklist Analysis的简称,定义为进行安全检查、发现潜在危险、督促各项安全法规、制度、标准实施的一个较为有效的工具。

本文主要参照了前两种方式来理解SCA。同时，Gartner给出了8个具有代表性的SCA厂商：Amazon，Tenable，Rapid7，BeyondTrust，Tripwire，IBM Bigfix，Tanium，Qualys，接下来对这几个厂商进行更详细的一个分析。

二 、SCA的代表厂商及具体支持功能

以下挑了Gartner推荐中的5个厂商：BeyondTrust，Qualys，Rapid7，Tenable以及Tripwire，对其主要功能进行了综合对比分析，参见下表（按首字母排序）：

从上表可知，Gartner认为一个标准的SCA至少需要以下几大功能：

• 适用于尽可能多种类的操作系统，数据库，中间件；

• 支持迅速响应；

• 支持自动化配置检查；

• 支持生成报表；

• 合规性遵从，比如：FISMA，STIG，HIPPA，CIS，SCAP。

那么每个厂商具体的SCA相关产品介绍又是什么，以下进行分别的介绍：

1.BeyondTrust

资料来源：BeyondTrust官网

Retina配置合规性模块可以轻松地根据内部策略或外部最佳实践审核配置，同时集中报告以用于监控和监管目的。

主要特征

• 开箱即用的配置审核，报告和警报；

• 用于Windows操作系统的模板，以及用于FDCC，NIST，STIGS，USGCB和Microsoft应用程序的模板；

• 审计和安全设置，用户权限，日志记录配置等的评估；

• 内置报告并与Retina CS集成，用于增量，趋势和其他分析；

• OVAL 5.6 SCAP认证的扫描引擎和解释器。

Retina监管报告模块使您能够有效地浏览复杂的法规遵从环境。 该模块通过将网络的特定漏洞映射到相关的公司政策，政府法规和行业标准，超越了通用合规报告。

主要特征

• 与Retina CS和Retina配置合规性模块无缝集成；

• PCI，HIPAA，SOX，GLBA，NIST，FERC / NERC，MASS 201，ISO，COBiT，ITIL，HITRUST等法规的合规报告；

• 将漏洞和配置问题映射到控制目标和任务；

• 合规性仪表板具有向下钻取功能，可以立即一致地响应合规性违规；

• 持续更新新发现的漏洞和监管控制的变化。

2. Qualys

资料来源：Qualys官网

覆盖面广

Qualys SCA是Qualys漏洞管理的附加项, 可让您根据Internet安全(CIS)基准的中心评估、报告、监视和修正与安全相关的配置问题。它支持操作系统、数据库、应用程序和网络设备的最新的 CIS 基准发布。

控制责任

Qualys SCA控制由Qualys安全专家在内部开发和验证, 并由 CIS 认证。这些控件针对性能、可伸缩性和准确性进行了优化。Qualys SCA可以在任何大小的 IT 环境中使用, 从小的到最大的。

易用性

SCA的CIS评估是通过基于web的用户界面和从 Qualys 云平台提供的, 从而实现集中化管理, 部署开销最小。可以根据组织的安全策略选择和自定义 CIS 控件。这就消除了与传统的用于配置管理的软件点产品相关的成本、资源和部署问题。

报告和仪表板

SCA 用户可以安排评估, 自动创建可下载的配置问题报告, 并查看仪表板以提高其安全态势。这就带来了Qualys SCA 在领先基准之后的安全最佳做法的自动化, 并让保密团队对数字业务安全采取主动的方法。

3. Rapid7

资料来源：Rapid7官网

满足漏洞管理合规性要求：Nexpose使组织能够始终遵守PCI DSS,NERC CIP,FISMA(USGCB/FDCC),HIPPAA/HITECH,Top20 CSC,DISA STIGS和风险/漏洞/配置管理的CIS标准。与其他可能是网络负担多次扫描的解决方案不同，Nexpose的快速，统一的安全性和合规性评估通过为您提供完整的风险和合规性状态来提高安全计划的性能。

4. Tenable

资料来源：Tenable官网

扫描功能：

• 覆盖范围：网络设备的离线配置审核；

• 合规性：帮助满足政府，监管和企业扫描要求；

• 有助于对安全配置实施PCI DSS要求；

威胁：僵尸网络/恶意，进程/反病毒审计；

• 配置审核：CERT,CIS,COBIT/ITIL,DISA STIG,FDCC,ISO,NIST,NSA,PCI。

（编辑：东莞站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!