<html>
<head>
<meta http-equiv="Content-Type" content="text/html; charset=utf-8">
<meta name="Generator" content="Microsoft Exchange Server">
<!-- converted from rtf -->
<style><!-- .EmailQuote { margin-left: 1pt; padding-left: 4pt; border-left: #800000 2px solid; } --></style>
</head>
<body>
<font face="Consolas, monospace" size="2">
<div>At a minimum, I would suggest that such a table would contain </div>
<ol style="margin-top: 0pt; margin-bottom: 0pt; margin-left: 36pt; ">
<li>a unique identifier such as the Group ID (Vulid) or the Rule Version (STIG-ID), </li><li>the CCE number currently detailed in the SCAP results and </li><li>the Severity (CAT).&nbsp; </li></ol>
<div>With this all can be easily linked back to the pertinent STIG.&nbsp; The IA Control was also presented in the prior iteration of the UNIX Checklist and earlier versions of the RHEL5 XCCDF.</div>
<div>&nbsp;</div>
<div>&nbsp;</div>
<div>An IAC is the 'Information Assurance Control' as defined in DoDD 8500.01 and enumerated in DoDI 8500.2.&nbsp; </div>
<div>&nbsp;</div>
<div>The definition detailed in paragraph E2.1.19 of Directive states that &quot;an IA Control is an objective IA condition of integrity, availability or confidentiality achieved through the application of specific safeguards or through the regulation of specific
activities that is expressed in a specified format, i.e., a control number, a control name, control text, and a control class. Specific management, personnel, operational, and technical controls are applied to each DoD information system to achieve an appropriate
level of integrity, availability, and confidentiality in accordance with reference&quot;</div>
<div>&nbsp;</div>
<div>The following is an excerpt of a couple of them as displayed in this Instruction, where the 5 digit identifier is the IAC (IE: 'DCCB-2')</div>
<div>&nbsp;</div>
<div style="padding-left: 36pt; ">DCCB-2 Control Board</div>
<div style="padding-left: 36pt; ">All information systems are under the control of a chartered Configuration Control Board</div>
<div style="padding-left: 36pt; ">that meets regularly according to DCPR-1. The IAM is a member of the CCB.</div>
<div style="padding-left: 36pt; ">&nbsp;</div>
<div style="padding-left: 36pt; ">DCCS-2 Configuration Specifications</div>
<div style="padding-left: 36pt; ">A DoD reference document such as a security technical implementation guide or security</div>
<div style="padding-left: 36pt; ">recommendation guide constitutes the primary source for security configuration or</div>
<div style="padding-left: 36pt; ">implementation guidance for the deployment of newly acquired IA- and IA-enabled IT</div>
<div style="padding-left: 36pt; ">products that require use of the product's IA capabilities. If a DoD reference document is</div>
<div style="padding-left: 36pt; ">not available, the system owner works with DISA or NSA to draft configuration guidance</div>
<div style="padding-left: 36pt; ">for inclusion in a Departmental reference guide.</div>
<div style="padding-left: 36pt; ">&nbsp;</div>
<div style="padding-left: 36pt; ">DCCT-1 Compliance Testing</div>
<div style="padding-left: 36pt; ">A comprehensive set of procedures is implemented that tests all patches, upgrades, and</div>
<div style="padding-left: 36pt; ">new AIS applications prior to deployment.</div>
<div>&nbsp;</div>
<div>&nbsp;</div>
<div>BTW:&nbsp; apologize for my prior hijacking of subject lineā€¦</div>
<div>&nbsp;</div>
<div>v/r</div>
<div>&nbsp;</div>
<div>David Moessbauer</div>
<div>(410) 627-5633 (M)</div>
<div>&nbsp;</div>
<div>The Information contained in or attached to this communication may be confidential and privileged proprietary intended only for the individual/s or entity to whom/which it is addressed. Any unauthorized use, distribution, copying or disclosure of this
information is strictly prohibited. If you have received this communication in error please contact the sender immediately and delete from your system.</div>
<div>&nbsp;</div>
<div>&nbsp;</div>
<div>-----Original Message-----<br>

From: scap-security-guide-bounces@lists.fedorahosted.org [<a href="mailto:scap-security-guide-bounces@lists.fedorahosted.org">mailto:scap-security-guide-bounces@lists.fedorahosted.org</a>] On Behalf Of Jeffrey Blank<br>

Sent: Tuesday, September 03, 2013 9:30 PM<br>

To: scap-security-guide@lists.fedorahosted.org<br>

Subject: (nwl) mappings to DISA STIG identifiers</div>
<div>&nbsp;</div>
<div>I have started a new subject/thread for this discussion.</div>
<div>&nbsp;</div>
<div>Please note: Subscribers to the list should never reply to any message, particularly one with a complex subject, and move to an off-topic discussion.&nbsp; It quickly results in confusion for mail clients which perform threaded display, as well as the list's
web archives.</div>
<div>&nbsp;</div>
<div>As to David's question, there has been some informal discussion, but we have also not fully settled on how to do this.&nbsp; This will be a topic of an upcoming discussion, and it will also be key to ensuring that there is good correspondence between the STIG
profile in SSG and the STIG which FSO releases.</div>
<div>&nbsp;</div>
<div>The CAT level should be identified as Severity (and this should be present in scan results).</div>
<div>&nbsp;</div>
<div>Assuming your desired output is a table, can you describe what columns would be in it?</div>
<div>&nbsp;</div>
<div>What's an IAC?</div>
<div>&nbsp;</div>
<div>&nbsp;</div>
<div>&nbsp;</div>
<div>On Tue, Sep 3, 2013 at 6:25 PM, Moessbauer, David &lt;<a href="mailto:david.moessbauer@progeny.net">david.moessbauer@progeny.net</a>&gt; wrote:</div>
<div>&gt; A crucial piece of the current C&amp;A Package is the need to appropriately identify any vulnerabilities found via scans, inclusive of the CAT level, both of which are identified in the STIG.&nbsp; Aside from this, the STIG ID provides means to identify the IAC
of a given vulnerability as well.</div>
<div>&gt;</div>
<div>&gt; CCI mapping would help, however, as these are not unique, it does not fully accomplish the task at hand.</div>
<div>&gt;</div>
<div>&gt; Speaking as one that completes C&amp;A Packages for purposes of ATO acquisition, I would argue that this is a critical mapping.</div>
<div>&gt;</div>
<div>&gt; v/r</div>
<div>&gt;</div>
<div>&gt; David Moessbauer</div>
<div>&gt; (410) 627-5633 (M)</div>
<div>&gt;</div>
<div>&gt; The Information contained in or attached to this communication may be confidential and privileged proprietary intended only for the individual/s or entity to whom/which it is addressed. Any unauthorized use, distribution, copying or disclosure of this
information is strictly prohibited. If you have received this communication in error please contact the sender immediately and delete from your system.</div>
<div>&gt;</div>
<div>&gt;</div>
<div>&gt; -----Original Message-----</div>
<div>&gt; From: <a href="mailto:scap-security-guide-bounces@lists.fedorahosted.org">scap-security-guide-bounces@lists.fedorahosted.org</a> </div>
<div>&gt; [<a href="mailto:scap-security-guide-bounces@lists.fedorahosted.org">mailto:scap-security-guide-bounces@lists.fedorahosted.org</a>] On Behalf </div>
<div>&gt; Of Shawn Wells</div>
<div>&gt; Sent: Tuesday, September 03, 2013 3:25 PM</div>
<div>&gt; Cc: <a href="mailto:scap-security-guide@lists.fedorahosted.org">scap-security-guide@lists.fedorahosted.org</a></div>
<div>&gt; Subject: Re: Possibility of Fedora SCAP content to be served by SCAP security guide repository (either as subdirectory or via separated branch)?</div>
<div>&gt;</div>
<div>&gt; On 9/3/13 2:22 PM, Moessbauer, David wrote:</div>
<div>&gt;&gt; Is there a matrix that can be referenced that will map the DISA </div>
<div>&gt;&gt; STIG-ID (or Group ID) to the CCE Audit IDs?&nbsp; ...or any other mapping </div>
<div>&gt;&gt; that can be deduced</div>
<div>&gt;&gt;</div>
<div>&gt;&gt; In Example:</div>
<div>&gt;&gt; Group ID (Vulid):&nbsp; V-38487</div>
<div>&gt;&gt; Group Title:&nbsp; SRG-OS-000103</div>
<div>&gt;&gt; Rule ID:&nbsp; SV-50288r1_rule</div>
<div>&gt;&gt; Rule Version (STIG-ID):&nbsp; RHEL-06-000015</div>
<div>&gt;</div>
<div>&gt;</div>
<div>&gt; That metadata hasn't been added... to be honest, nobody has found the mappings meaningful enough to do. Can you help us understand how it'd benefit you?</div>
<div>&gt;</div>
<div>&gt; Right now SSG rules are mapped back to the CCIs through various &lt;ref&gt; tags, e.g.:</div>
<div>&gt; &lt;ref nist=&quot;AC-6,AU-9&quot; disa=&quot;22,32&quot; /&gt;</div>
<div>&gt;</div>
<div>&gt; We could easily extend this to include a &quot;stigid&quot; name-pair value, </div>
<div>&gt; should (a) the community be convinced this would help end-users, and </div>
<div>&gt; (b) volunteers to perform the mapping </div>
<div>&gt; _______________________________________________</div>
<div>&gt; scap-security-guide mailing list</div>
<div>&gt; <a href="mailto:scap-security-guide@lists.fedorahosted.org">scap-security-guide@lists.fedorahosted.org</a></div>
<div>&gt; <a href="https://lists.fedorahosted.org/mailman/listinfo/scap-security-guide">https://lists.fedorahosted.org/mailman/listinfo/scap-security-guide</a></div>
<div>&gt; _______________________________________________</div>
<div>&gt; scap-security-guide mailing list</div>
<div>&gt; <a href="mailto:scap-security-guide@lists.fedorahosted.org">scap-security-guide@lists.fedorahosted.org</a></div>
<div>&gt; <a href="https://lists.fedorahosted.org/mailman/listinfo/scap-security-guide">https://lists.fedorahosted.org/mailman/listinfo/scap-security-guide</a></div>
<div>_______________________________________________</div>
<div>scap-security-guide mailing list</div>
<div><a href="mailto:scap-security-guide@lists.fedorahosted.org">scap-security-guide@lists.fedorahosted.org</a></div>
<div><a href="https://lists.fedorahosted.org/mailman/listinfo/scap-security-guide">https://lists.fedorahosted.org/mailman/listinfo/scap-security-guide</a></div>
<div>&nbsp;</div>
</font>
</body>
</html>