<html xmlns:v="urn:schemas-microsoft-com:vml" xmlns:o="urn:schemas-microsoft-com:office:office" xmlns:w="urn:schemas-microsoft-com:office:word" xmlns:m="http://schemas.microsoft.com/office/2004/12/omml" xmlns="http://www.w3.org/TR/REC-html40">
<head>
<meta http-equiv="Content-Type" content="text/html; charset=utf-8">
<meta name="Generator" content="Microsoft Word 14 (filtered medium)">
<style><!--
/* Font Definitions */
@font-face
        {font-family:Calibri;
        panose-1:2 15 5 2 2 2 4 3 2 4;}
@font-face
        {font-family:Tahoma;
        panose-1:2 11 6 4 3 5 4 4 2 4;}
@font-face
        {font-family:Consolas;
        panose-1:2 11 6 9 2 2 4 3 2 4;}
/* Style Definitions */
p.MsoNormal, li.MsoNormal, div.MsoNormal
        {margin:0in;
        margin-bottom:.0001pt;
        font-size:12.0pt;
        font-family:"Times New Roman","serif";
        color:black;}
a:link, span.MsoHyperlink
        {mso-style-priority:99;
        color:blue;
        text-decoration:underline;}
a:visited, span.MsoHyperlinkFollowed
        {mso-style-priority:99;
        color:purple;
        text-decoration:underline;}
pre
        {mso-style-priority:99;
        mso-style-link:"HTML Preformatted Char";
        margin:0in;
        margin-bottom:.0001pt;
        font-size:10.0pt;
        font-family:"Courier New";
        color:black;}
span.HTMLPreformattedChar
        {mso-style-name:"HTML Preformatted Char";
        mso-style-priority:99;
        mso-style-link:"HTML Preformatted";
        font-family:Consolas;
        color:black;}
span.EmailStyle19
        {mso-style-type:personal-reply;
        font-family:"Calibri","sans-serif";
        color:#1F497D;}
.MsoChpDefault
        {mso-style-type:export-only;
        font-size:10.0pt;}
@page WordSection1
        {size:8.5in 11.0in;
        margin:1.0in 1.0in 1.0in 1.0in;}
div.WordSection1
        {page:WordSection1;}
--></style><!--[if gte mso 9]><xml>
<o:shapedefaults v:ext="edit" spidmax="1026" />
</xml><![endif]--><!--[if gte mso 9]><xml>
<o:shapelayout v:ext="edit">
<o:idmap v:ext="edit" data="1" />
</o:shapelayout></xml><![endif]-->
</head>
<body bgcolor="white" lang="EN-US" link="blue" vlink="purple">
<div class="WordSection1">
<p class="MsoNormal"><span style="font-size:11.0pt;font-family:&quot;Calibri&quot;,&quot;sans-serif&quot;;color:#1F497D">I’m currently the Navy Validator on a large system accreditation.&nbsp; We have 3 RHEL 6 instances in our system.
<o:p></o:p></span></p>
<p class="MsoNormal"><span style="font-size:11.0pt;font-family:&quot;Calibri&quot;,&quot;sans-serif&quot;;color:#1F497D"><o:p>&nbsp;</o:p></span></p>
<p class="MsoNormal"><span style="font-size:11.0pt;font-family:&quot;Calibri&quot;,&quot;sans-serif&quot;;color:#1F497D">We are using the RHEL 6 SCAP tool as an aid in our testing. &nbsp;We run it first and then import the results into the DISA STIG viewer.&nbsp; We then complete the process
 manually.&nbsp; Thus the SCAP tool is really just an aid to the manual process.&nbsp; I have spot verified the SCAP tool to convince myself as the validator that it is a reasonable tool for this use.&nbsp; Actually, this is the process for any SCAP tool because as I understand
 it, no SCAP completely covers a STIG and some manual steps must be done to complete a STIG test.<o:p></o:p></span></p>
<p class="MsoNormal"><span style="font-size:11.0pt;font-family:&quot;Calibri&quot;,&quot;sans-serif&quot;;color:#1F497D"><o:p>&nbsp;</o:p></span></p>
<p class="MsoNormal"><span style="font-size:11.0pt;font-family:&quot;Calibri&quot;,&quot;sans-serif&quot;;color:#1F497D">Bottom line from my reporting standpoint, we completed the STIG manually with some support from scripts, in the case of RHEL 6 it’s provided by RH and not DISA.<o:p></o:p></span></p>
<p class="MsoNormal"><span style="font-size:11.0pt;font-family:&quot;Calibri&quot;,&quot;sans-serif&quot;;color:#1F497D"><o:p>&nbsp;</o:p></span></p>
<p class="MsoNormal"><span style="font-size:11.0pt;font-family:&quot;Calibri&quot;,&quot;sans-serif&quot;;color:#1F497D">This is exactly the same tact we take with our Solaris 10/11 instances.&nbsp; We have SCAP for Solaris 10 from DISA which covers some STIG checks, we have our own
 in house scripts which cover more STIG checks that the SCAP tool does not, and we have some manual checks.&nbsp; There is no SCAP tool for Solaris 11 so we have built our own scripts to do that checking.&nbsp; But again, bottom line, these are manual STIG checks with
 scripts that automate some of it.<o:p></o:p></span></p>
<p class="MsoNormal"><span style="font-size:11.0pt;font-family:&quot;Calibri&quot;,&quot;sans-serif&quot;;color:#1F497D"><o:p>&nbsp;</o:p></span></p>
<p class="MsoNormal"><span style="font-size:11.0pt;font-family:&quot;Calibri&quot;,&quot;sans-serif&quot;;color:#1F497D">So it does not bother me that it’s not “official” from DISA as long as I think the scripts are valid and accurate.&nbsp; It would bother me if I could not get these
 from Redhat though.<o:p></o:p></span></p>
<p class="MsoNormal"><span style="font-size:11.0pt;font-family:&quot;Calibri&quot;,&quot;sans-serif&quot;;color:#1F497D"><o:p>&nbsp;</o:p></span></p>
<p class="MsoNormal"><span style="font-size:11.0pt;font-family:&quot;Calibri&quot;,&quot;sans-serif&quot;;color:#1F497D">Regards,<o:p></o:p></span></p>
<p class="MsoNormal"><span style="font-size:11.0pt;font-family:&quot;Calibri&quot;,&quot;sans-serif&quot;;color:#1F497D"><o:p>&nbsp;</o:p></span></p>
<p class="MsoNormal"><span style="font-size:11.0pt;font-family:&quot;Calibri&quot;,&quot;sans-serif&quot;;color:#1F497D">Robert Burns<o:p></o:p></span></p>
<p class="MsoNormal"><span style="font-size:11.0pt;font-family:&quot;Calibri&quot;,&quot;sans-serif&quot;;color:#1F497D">Fully Qualified Navy Validator (FQNV) #I0225<o:p></o:p></span></p>
<p class="MsoNormal"><span style="font-size:11.0pt;font-family:&quot;Calibri&quot;,&quot;sans-serif&quot;;color:#1F497D"><o:p>&nbsp;</o:p></span></p>
<div>
<div style="border:none;border-top:solid #B5C4DF 1.0pt;padding:3.0pt 0in 0in 0in">
<p class="MsoNormal"><b><span style="font-size:10.0pt;font-family:&quot;Tahoma&quot;,&quot;sans-serif&quot;;color:windowtext">From:</span></b><span style="font-size:10.0pt;font-family:&quot;Tahoma&quot;,&quot;sans-serif&quot;;color:windowtext"> scap-security-guide-bounces@lists.fedorahosted.org [mailto:scap-security-guide-bounces@lists.fedorahosted.org]
<b>On Behalf Of </b>Shawn Wells<br>
<b>Sent:</b> Tuesday, February 25, 2014 2:47 PM<br>
<b>To:</b> scap-security-guide@lists.fedorahosted.org<br>
<b>Subject:</b> Re: SSG for RHEL 6 (UNCLASSIFIED)<o:p></o:p></span></p>
</div>
</div>
<p class="MsoNormal"><o:p>&nbsp;</o:p></p>
<div>
<p class="MsoNormal">On 2/25/14, 3:44 PM, Bailey, Christopher D CTR USARMY AMRDEC (US) wrote:<o:p></o:p></p>
</div>
<blockquote style="margin-top:5.0pt;margin-bottom:5.0pt">
<pre>Does anyone know if there's been an official approval from DISA for the<o:p></o:p></pre>
<pre>use of SSG content and the openSCAP utility on RHEL 6 systems for<o:p></o:p></pre>
<pre>providing official vulnerability reports to IA inspectors?&nbsp; Our local IA<o:p></o:p></pre>
<pre>folks tell us that SCC is the only DISA approved/provided product that<o:p></o:p></pre>
<pre>we can use for scanning our systems and providing scan results to IA for<o:p></o:p></pre>
<pre>inspection and analysis.&nbsp; However, SCC only provides content up to RHEL<o:p></o:p></pre>
<pre>5, which is of no help with RHEL 6.&nbsp; We have our own homemade script for<o:p></o:p></pre>
<pre>scanning, but that's only good for in-house use. We need something for<o:p></o:p></pre>
<pre>producing official SCAP formatted vulnerability reports. We believe our<o:p></o:p></pre>
<pre>best option for automated scanning is the openSCAP tool with SSG<o:p></o:p></pre>
<pre>content, which is what we want to use, but there doesn't seem to be any<o:p></o:p></pre>
<pre>official acceptance for its use.&nbsp; <o:p></o:p></pre>
<pre><o:p>&nbsp;</o:p></pre>
<pre>Basically, my IA folks want to see something in writing from DISA that<o:p></o:p></pre>
<pre>says they officially approve the use of SSG content and the openSCAP<o:p></o:p></pre>
<pre>tool for proving IA compliance on RHEL 6 systems.&nbsp; I know that the DISA<o:p></o:p></pre>
<pre>FSO is working closely with Red Hat on SSG, but I can't find anything<o:p></o:p></pre>
<pre>like an official release from DISA.<o:p></o:p></pre>
</blockquote>
<p class="MsoNormal"><br>
Short answer: You won't find anything official yet.<br>
<br>
Long answer:<br>
NSA IAD delegates responsibility for DoD STIG work to DISA FSO. Ultimately DISA FSO is the authoritative repo for STIGs. However, it's important to note that the STIGs are DISA FSO's selection of NIST 800-53 controls aligned with refine values (e.g. password
 lengths). The STIG itself is now expressed in XCCDF, aka it's just a policy document. Programs have independence on how to meet this policy, and C&amp;A shops have free range on how to verify compliance.<br>
<br>
SSG was formed to fuse policy (XCCDF) with automation (OVAL) development. DISA FSO calls out that SSG is the policy upstream in Section 1.1 of the STIG Overview [1], which reads:<br>
<br>
<o:p></o:p></p>
<p class="MsoNormal">The consensus content was developed using an open-source project called SCAP Security Guide.
<br>
The project’s website is <a href="https://fedorahosted.org/scap-security-guide/">
https://fedorahosted.org/scap-security-guide/</a>. Except for differences in <br>
formatting to accommodate the DISA STIG publishing process, the content of the RHEL6 STIG
<br>
should mirror the SCAP Security Guide content with only minor divergence as updates from
<br>
multiple sources work through the consensus process<o:p></o:p></p>
<p class="MsoNormal">Because of this upstream nature, many DAAs and C&amp;A teams allow the direct usage of SSG to ensure they're receiving the latest in policy and automation content.
<br>
<br>
Anyway, your direct questions:<br>
<br>
<b><u>(1) OpenSCAP vs SPAWAR SCC vs other SCAP interpreters</u></b><br>
NIST maintains the official U.S. Government listing of validated SCAP scanners (for all operating systems). Today there are no certified SCAP scanners for RHEL6. Nothing. Period. List online @
<a href="http://nvd.nist.gov/scapproducts.cfm">http://nvd.nist.gov/scapproducts.cfm</a>.<br>
<br>
On March 13, 2013, Red Hat publicly disclosed that OpenSCAP was undergoing the SCAP 1.2 certification process. I can't immediately find public information on our status, however those who can comment lurk on the list (Grubb, Jan, Peter, etc). The original PR
 @ <br>
<a href="http://www.redhat.com/about/news/archive/2013/3/red-hat-openscap-under-evaluation-to-meet-scap-1-2-nist-standard">http://www.redhat.com/about/news/archive/2013/3/red-hat-openscap-under-evaluation-to-meet-scap-1-2-nist-standard</a><br>
<br>
Because OpenSCAP is shipped within RHEL (thus supported directly by Red Hat), and we're undergoing SCAP 1.2 certification work, most DAA/C&amp;A shops allow its use.
<br>
<br>
SSG also enjoys a create relationship with Jack Vander Pol, Doug Tanner, and all the SPAWAR SCC guys. I'm currently testing their SCC 3.1.2 RC2 release. Note, however, SPAWAR SCC has never been evaluated by NIST as a Linux SCAP scanner. While not NIST evaluated,
 SPAWAR does provide (in house) support for RHEL5 and 6. You can review their NIST evaluation @
<a href="http://nvd.nist.gov/validation_spawar.cfm">http://nvd.nist.gov/validation_spawar.cfm</a>.<br>
<br>
<br>
<b><u>(2) Formal status of SSG</u></b><br>
- As mentioned above, SSG serves as the upstream for DISA FSO content. FSO is currently working through independent testing of SSG OVAL content. Once complete, FSO will publish to their website. They've no current estimated completion date. Would suggest you
 ping them directly to show customer demand:<br>
<a href="mailto:disa.letterkenny.FSO.mbx.stig-customer-support-mailbox@mail.mil">disa.letterkenny.FSO.mbx.stig-customer-support-mailbox@mail.mil</a><br>
<br>
- NSA IAD is also using SSG to publish their SNAC guide. Jeff Blank &amp; I chatted on the phone this afternoon about just this.... he promised a direct response to the list later today/tomorrow. In short, Jeff's been very public that the RHEL6 SNAC Guide will
 be directly derived from SSG.<br>
<br>
- Red Hat plans to upgrade SSG from EPEL and ship directly within RHEL 6.6&#43;. If you are interested in this happening, PLEASE open an RFE with Red Hat (I can help with this offline). Once shipped within RHEL, SSG will be the official body of SCAP content supported
 by Red Hat. Progress in this area can be tracked publicly:<br>
<a href="https://bugzilla.redhat.com/show_bug.cgi?id=1038655">https://bugzilla.redhat.com/show_bug.cgi?id=1038655</a><br>
<br>
Hopefully this helps you a bit, while waiting for Jeff and FSO to chime in.<br>
<br>
<br>
[1] Authoritative copies within the DISA FSO zip file. However, a direct link to my convienent copy:<br>
<a href="http://people.redhat.com/swells/rhel6stig/U_RedHat_6_V1R2_Overview.pdf">http://people.redhat.com/swells/rhel6stig/U_RedHat_6_V1R2_Overview.pdf</a><o:p></o:p></p>
</div>
</body>
</html>