<html xmlns:v="urn:schemas-microsoft-com:vml" xmlns:o="urn:schemas-microsoft-com:office:office" xmlns:w="urn:schemas-microsoft-com:office:word" xmlns:m="http://schemas.microsoft.com/office/2004/12/omml" xmlns="http://www.w3.org/TR/REC-html40"><head><meta http-equiv=Content-Type content="text/html; charset=us-ascii"><meta name=Generator content="Microsoft Word 14 (filtered medium)"><style><!--
/* Font Definitions */
@font-face
        {font-family:Calibri;
        panose-1:2 15 5 2 2 2 4 3 2 4;}
@font-face
        {font-family:Tahoma;
        panose-1:2 11 6 4 3 5 4 4 2 4;}
/* Style Definitions */
p.MsoNormal, li.MsoNormal, div.MsoNormal
        {margin:0in;
        margin-bottom:.0001pt;
        font-size:12.0pt;
        font-family:"Times New Roman","serif";}
a:link, span.MsoHyperlink
        {mso-style-priority:99;
        color:blue;
        text-decoration:underline;}
a:visited, span.MsoHyperlinkFollowed
        {mso-style-priority:99;
        color:purple;
        text-decoration:underline;}
span.EmailStyle17
        {mso-style-type:personal-reply;
        font-family:"Calibri","sans-serif";
        color:#1F497D;}
.MsoChpDefault
        {mso-style-type:export-only;
        font-family:"Calibri","sans-serif";}
@page WordSection1
        {size:8.5in 11.0in;
        margin:1.0in 1.0in 1.0in 1.0in;}
div.WordSection1
        {page:WordSection1;}
--></style><!--[if gte mso 9]><xml>
<o:shapedefaults v:ext="edit" spidmax="1026" />
</xml><![endif]--><!--[if gte mso 9]><xml>
<o:shapelayout v:ext="edit">
<o:idmap v:ext="edit" data="1" />
</o:shapelayout></xml><![endif]--></head><body lang=EN-US link=blue vlink=purple><div class=WordSection1><p class=MsoNormal><span style='font-size:11.0pt;font-family:"Calibri","sans-serif";color:#1F497D'><o:p>&nbsp;</o:p></span></p><p class=MsoNormal><span style='font-size:11.0pt;font-family:"Calibri","sans-serif";color:#1F497D'>Another way to look at the remediation strategy is to have an independent source for building fix content.&nbsp; The source would provide basic information needed to change a system to a secure state. This information would reside alongside the check information in the XCCDF policy. Having a common source will help in achieving consistency in remedial actions performed by differing scripting languages or fix systems .<o:p></o:p></span></p><p class=MsoNormal><span style='font-size:11.0pt;font-family:"Calibri","sans-serif";color:#1F497D'>This method could also be used as a &nbsp;way to check parity in the checking and fixing content for correctness. <o:p></o:p></span></p><p class=MsoNormal><span style='font-size:11.0pt;font-family:"Calibri","sans-serif";color:#1F497D'><o:p>&nbsp;</o:p></span></p><p class=MsoNormal><span style='font-size:11.0pt;font-family:"Calibri","sans-serif";color:#1F497D'>This is probably a good time to review Common Remediation Enumeration and see if fits into the project objective. CRE was created to identify and provide a reference point for actions necessary to correct a security issue.&nbsp; Based on the CRE-ID one could build remediation scripts and systems in a referenced way.&nbsp; The CRE-ID could also be used for traceability in troubleshooting and change control management. &nbsp;<o:p></o:p></span></p><p class=MsoNormal><span style='font-size:11.0pt;font-family:"Calibri","sans-serif";color:#1F497D'><o:p>&nbsp;</o:p></span></p><p class=MsoNormal><span style='font-size:11.0pt;font-family:"Calibri","sans-serif";color:#1F497D'>-ln<o:p></o:p></span></p><p class=MsoNormal><span style='font-size:11.0pt;font-family:"Calibri","sans-serif";color:#1F497D'><o:p>&nbsp;</o:p></span></p><p class=MsoNormal style='margin-left:.5in'><b><span style='font-size:10.0pt;font-family:"Tahoma","sans-serif"'>From:</span></b><span style='font-size:10.0pt;font-family:"Tahoma","sans-serif"'> scap-security-guide-bounces@lists.fedorahosted.org [mailto:scap-security-guide-bounces@lists.fedorahosted.org] <b>On Behalf Of </b>Jeffrey Blank<br><b>Sent:</b> Sunday, June 02, 2013 1:42 PM<br><b>To:</b> scap-security-guide@lists.fedorahosted.org<br><b>Subject:</b> Re: [PATCH 0/4] Remediation Templates<o:p></o:p></span></p><p class=MsoNormal style='margin-left:.5in'><o:p>&nbsp;</o:p></p><div><div><p class=MsoNormal style='margin-left:.5in'>It is not so simple. &nbsp;<o:p></o:p></p></div><div><p class=MsoNormal style='margin-left:.5in'><o:p>&nbsp;</o:p></p></div><div><p class=MsoNormal style='margin-left:.5in'>This is a strategy problem. &nbsp;If there is only one contributor who is capable of fixing OVAL problems, then there should be serious viability concerns about the project. &nbsp;The addition of remediation content, which would logically depend on this checking content, would only compound the problem. &nbsp;I am seeking evidence of community motivation and capability to address the OVAL problems before we move on to any remediation efforts. &nbsp;<o:p></o:p></p></div><div><p class=MsoNormal style='margin-left:.5in'><o:p>&nbsp;</o:p></p></div><div><p class=MsoNormal style='margin-left:.5in'>There was significant irony in observations about how checking content (from Aqueduct, for example) is better than the checking content actually used by system auditors (who may be leveraging OVAL content issued by DISA), yet there seems to be so much interest in producing remediation content. &nbsp;DISA is waiting on our OVAL content to be fully baked so that they can issue it. &nbsp;How much testing of the OVAL content as described at <a href="https://fedorahosted.org/scap-security-guide/wiki/usageguide">https://fedorahosted.org/scap-security-guide/wiki/usageguide</a> has been carried out? &nbsp;Does it work? &nbsp;Is it suitable to base remediation content on?<o:p></o:p></p></div><div><p class=MsoNormal style='margin-left:.5in'><o:p>&nbsp;</o:p></p></div><div><p class=MsoNormal style='margin-left:.5in'>Another interesting note is that in fact tooling support from OpenSCAP for remediation scripts was further ahead than I thought:<o:p></o:p></p></div><div><p class=MsoNormal style='margin-left:.5in'><a href="https://www.redhat.com/archives/open-scap-list/2013-June/msg00001.html">https://www.redhat.com/archives/open-scap-list/2013-June/msg00001.html</a><o:p></o:p></p></div><div><p class=MsoNormal style='margin-left:.5in'>(I again tip my hat to Simon and Peter and the other OpenSCAP devs.)<o:p></o:p></p></div><div><p class=MsoNormal style='margin-left:.5in'><o:p>&nbsp;</o:p></p></div><div><p class=MsoNormal style='margin-left:.5in'>This means that, from a tooling perspective, the ability to automatically generate parameterized remediation scripts is already there (and my next post should put us yet closer to being able to work remediation). &nbsp;But still: if the checks aren't any good, then nobody should trust the remediation scripts generated.<o:p></o:p></p></div><div><p class=MsoNormal style='margin-left:.5in'><o:p>&nbsp;</o:p></p></div><div><p class=MsoNormal style='margin-left:.5in'><o:p>&nbsp;</o:p></p></div><div><p class=MsoNormal style='margin-left:.5in'><o:p>&nbsp;</o:p></p></div></div><div><p class=MsoNormal style='mso-margin-top-alt:0in;margin-right:0in;margin-bottom:12.0pt;margin-left:.5in'><o:p>&nbsp;</o:p></p><div><p class=MsoNormal style='margin-left:.5in'>On Sat, Jun 1, 2013 at 6:58 PM, Shawn Wells &lt;<a href="mailto:shawn@redhat.com" target="_blank">shawn@redhat.com</a>&gt; wrote:<o:p></o:p></p><div><p class=MsoNormal style='margin-left:.5in'>On 6/1/13 6:52 PM, Jeffrey Blank wrote:<o:p></o:p></p><p class=MsoNormal style='mso-margin-top-alt:0in;margin-right:0in;margin-bottom:12.0pt;margin-left:.5in'>Yes, but please hold off on remediation content until the OVAL validates per the schematron, and there is a means of handling parameters/variables in fix content. &nbsp;If you don't eat your meat, you can't have any pudding. &nbsp;But we should be able to have both.<o:p></o:p></p><p class=MsoNormal style='margin-left:.5in'><o:p>&nbsp;</o:p></p></div><p class=MsoNormal style='margin-left:.5in'>The value of working sequentially doesn't make sense for such such a parallel development effort, with members of different skill levels contributing.<br><br>For example: I've no idea how to fix the remaining OVAL issues, so you're telling me and all other would-be contributors to completely stop helping for awhile? What value does that add?<o:p></o:p></p><div><div><p class=MsoNormal style='margin-left:.5in'><br>_______________________________________________<br>scap-security-guide mailing list<br><a href="mailto:scap-security-guide@lists.fedorahosted.org" target="_blank">scap-security-guide@lists.fedorahosted.org</a><br><a href="https://lists.fedorahosted.org/mailman/listinfo/scap-security-guide" target="_blank">https://lists.fedorahosted.org/mailman/listinfo/scap-security-guide</a><o:p></o:p></p></div></div></div><p class=MsoNormal style='margin-left:.5in'><o:p>&nbsp;</o:p></p></div></div></body></html>