<html xmlns:v="urn:schemas-microsoft-com:vml" xmlns:o="urn:schemas-microsoft-com:office:office" xmlns:w="urn:schemas-microsoft-com:office:word" xmlns:m="http://schemas.microsoft.com/office/2004/12/omml" xmlns="http://www.w3.org/TR/REC-html40"><head><meta http-equiv=Content-Type content="text/html; charset=utf-8"><meta name=Generator content="Microsoft Word 14 (filtered medium)"><style><!--
/* Font Definitions */
@font-face
        {font-family:Calibri;
        panose-1:2 15 5 2 2 2 4 3 2 4;}
@font-face
        {font-family:Tahoma;
        panose-1:2 11 6 4 3 5 4 4 2 4;}
/* Style Definitions */
p.MsoNormal, li.MsoNormal, div.MsoNormal
        {margin:0in;
        margin-bottom:.0001pt;
        font-size:12.0pt;
        font-family:"Times New Roman","serif";
        color:black;}
a:link, span.MsoHyperlink
        {mso-style-priority:99;
        color:blue;
        text-decoration:underline;}
a:visited, span.MsoHyperlinkFollowed
        {mso-style-priority:99;
        color:purple;
        text-decoration:underline;}
span.EmailStyle17
        {mso-style-type:personal-reply;
        font-family:"Calibri","sans-serif";
        color:#1F497D;}
.MsoChpDefault
        {mso-style-type:export-only;
        font-size:10.0pt;}
@page WordSection1
        {size:8.5in 11.0in;
        margin:1.0in 1.0in 1.0in 1.0in;}
div.WordSection1
        {page:WordSection1;}
--></style><!--[if gte mso 9]><xml>
<o:shapedefaults v:ext="edit" spidmax="1026" />
</xml><![endif]--><!--[if gte mso 9]><xml>
<o:shapelayout v:ext="edit">
<o:idmap v:ext="edit" data="1" />
</o:shapelayout></xml><![endif]--></head><body bgcolor=white lang=EN-US link=blue vlink=purple><div class=WordSection1><p class=MsoNormal><span style='font-size:11.0pt;font-family:"Calibri","sans-serif";color:#1F497D'>CRE is for identifying  remediation related actions.  Using CRE-IDs makes for easy references when conveying or describing remediations.<o:p></o:p></span></p><p class=MsoNormal><span style='font-size:11.0pt;font-family:"Calibri","sans-serif";color:#1F497D'>Fixing systems could also leverage this information as the basis to building remediation content in a preferred language or tool.<o:p></o:p></span></p><p class=MsoNormal><span style='font-size:11.0pt;font-family:"Calibri","sans-serif";color:#1F497D'>  <o:p></o:p></span></p><p class=MsoNormal><span style='font-size:11.0pt;font-family:"Calibri","sans-serif";color:#1F497D'>Value I see is in providing a common base upon which fix systems such as Anaconda, Puppet and others could provide consistent remediation.  While bash meets the needs of providing automated scripted remediation for a localhost,  from an enterprise management standpoint we need the flexibility in identifying remediation actions in identifiable way.  <o:p></o:p></span></p><p class=MsoNormal><span style='font-size:11.0pt;font-family:"Calibri","sans-serif";color:#1F497D'><o:p>&nbsp;</o:p></span></p><p class=MsoNormal><span style='font-size:11.0pt;font-family:"Calibri","sans-serif";color:#1F497D'>Users fear the term remediation used with STIGs, it is going to be a hard sell to implement automated remediation in any manner.  CRE is not the silver bullet but it begins the process of accountability on what actions performed on a system.   Side topic: has there been any thought on remediation roll back changes?<o:p></o:p></span></p><p class=MsoNormal><span style='font-size:11.0pt;font-family:"Calibri","sans-serif";color:#1F497D'> <o:p></o:p></span></p><p class=MsoNormal><span style='font-size:11.0pt;font-family:"Calibri","sans-serif";color:#1F497D'>I am looking for ways in which to advance the state of automated remediation, which the SSG project is at the cutting edge.  Scripting is a start, but we need to look at flexible ways to operate in diverse environments. <o:p></o:p></span></p><p class=MsoNormal><span style='font-size:11.0pt;font-family:"Calibri","sans-serif";color:#1F497D'><o:p>&nbsp;</o:p></span></p><p class=MsoNormal><span style='font-size:11.0pt;font-family:"Calibri","sans-serif";color:#1F497D'><o:p>&nbsp;</o:p></span></p><div><div style='border:none;border-top:solid #B5C4DF 1.0pt;padding:3.0pt 0in 0in 0in'><p class=MsoNormal style='margin-left:.5in'><b><span style='font-size:10.0pt;font-family:"Tahoma","sans-serif";color:windowtext'>From:</span></b><span style='font-size:10.0pt;font-family:"Tahoma","sans-serif";color:windowtext'> scap-security-guide-bounces@lists.fedorahosted.org [mailto:scap-security-guide-bounces@lists.fedorahosted.org] <b>On Behalf Of </b>Shawn Wells<br><b>Sent:</b> Tuesday, June 04, 2013 2:22 PM<br><b>To:</b> scap-security-guide@lists.fedorahosted.org<br><b>Subject:</b> Re: [PATCH 0/4] Remediation Templates<o:p></o:p></span></p></div></div><p class=MsoNormal style='margin-left:.5in'><o:p>&nbsp;</o:p></p><div><p class=MsoNormal style='margin-left:.5in'>On 6/4/13 1:43 PM, Nunez, Luis K wrote:<o:p></o:p></p></div><blockquote style='margin-top:5.0pt;margin-bottom:5.0pt'><p class=MsoNormal style='mso-margin-top-alt:auto;mso-margin-bottom-alt:auto;margin-left:.5in'><span style='font-size:11.0pt;font-family:"Calibri","sans-serif";color:#1F497D'>&nbsp;</span><o:p></o:p></p><p class=MsoNormal style='mso-margin-top-alt:auto;mso-margin-bottom-alt:auto;margin-left:.5in'><span style='font-size:11.0pt;font-family:"Calibri","sans-serif";color:#1F497D'>Another way to look at the remediation strategy is to have an independent source for building fix content.&nbsp; The source would provide basic information needed to change a system to a secure state. This information would reside alongside the check information in the XCCDF policy. Having a common source will help in achieving consistency in remedial actions performed by differing scripting languages or fix systems .</span><o:p></o:p></p><p class=MsoNormal style='mso-margin-top-alt:auto;mso-margin-bottom-alt:auto;margin-left:.5in'><span style='font-size:11.0pt;font-family:"Calibri","sans-serif";color:#1F497D'>This method could also be used as a &nbsp;way to check parity in the checking and fixing content for correctness. </span><o:p></o:p></p><p class=MsoNormal style='mso-margin-top-alt:auto;mso-margin-bottom-alt:auto;margin-left:.5in'><span style='font-size:11.0pt;font-family:"Calibri","sans-serif";color:#1F497D'>&nbsp;</span><o:p></o:p></p><p class=MsoNormal style='mso-margin-top-alt:auto;mso-margin-bottom-alt:auto;margin-left:.5in'><span style='font-size:11.0pt;font-family:"Calibri","sans-serif";color:#1F497D'>This is probably a good time to review Common Remediation Enumeration and see if fits into the project objective. CRE was created to identify and provide a reference point for actions necessary to correct a security issue.&nbsp; Based on the CRE-ID one could build remediation scripts and systems in a referenced way.&nbsp; The CRE-ID could also be used for traceability in troubleshooting and change control management. &nbsp;</span><o:p></o:p></p></blockquote><p class=MsoNormal style='margin-left:.5in'><br>Reviewed the examples @ <a href="http://scap.nist.gov/specifications/cre/1.0/cre_examples.xml">http://scap.nist.gov/specifications/cre/1.0/cre_examples.xml</a><br><br>And then the spec @ <a href="http://scap.nist.gov/specifications/cre/1.0/cre_1.0-draft.xsd">http://scap.nist.gov/specifications/cre/1.0/cre_1.0-draft.xsd</a><br><br>Seems like this would be a major schema change, requiring updates to every rule, but I don't particularly see the value. Maybe it's just me being dense =/<br><br>Seems like an interesting approach to have XCCDF express &quot;requirements,&quot; OVAL to check system state, &lt;fix&gt; tags for automated compliance, then CRE for manual remediation. From what I gather, the CRE really is a different way to express SSG's usage of OCIL tags. Can you help explain what value would be gained by changing content to CRE? <o:p></o:p></p></div></body></html>