38、安全自动化与云计算安全评估：原理、标准与实践

安全自动化与云计算安全评估：原理、标准与实践

1. CM参考架构

在持续监控（CM）实施中，有特定的参考架构。在相关图表里，工作流内具体组件的交互被省略了。由于子系统内的组件共同支持子系统在工作流中对特定需求的实现（例如，任务管理器中的收集控制器发起向收集子系统收集数据的任务），组件的动作被抽象到了子系统层面。

1.1 子系统

子系统规范详细描述了特定子系统为有效实现CM技术参考模型必须支持的需求。这些规范与数据域无关，不与特定的监控域（如资产管理、配置管理、漏洞管理）直接关联，而是描述了各个组件必须支持的能力。例如，任务管理器子系统中的收集控制器具备处理任务（任务处理）和发起数据收集任务（子任务传播）的能力。

1.2 接口

接口规范提供了子系统之间有效通信的标准化机制，使它们能作为独立模块运行，共同支持整个CM技术参考模型。接口通过Web服务定义语言（WSDL）公开，该语言描述了存在接口的子系统内实现的Web服务。例如，“结果报告”接口由数据聚合子系统实现，使其他子系统和组件能够发送资产信息进行存储。WSDL描述了接口支持的服务以及发送资产信息的要求（如资产报告格式ARF）。

2. 安全自动化标准和规范

CM的实施需要使用基于开放且行业支持的标准和规范的工具和技术。这些标准和规范为实现自动化提供了基础，促进了工具集和域边界之间的可移植性和互操作性。

2.1 安全内容自动化协议（SCAP）

SCAP通过一系列规范为支持第2层数据域提供绑定。它是一套规范，标准化了软件缺陷和安全配置信息向机器和人类传达的格式和术语，包括语言（XCCDF、OVAL®、