<html xmlns:v="urn:schemas-microsoft-com:vml" xmlns:o="urn:schemas-microsoft-com:office:office" xmlns:w="urn:schemas-microsoft-com:office:word" xmlns:m="http://schemas.microsoft.com/office/2004/12/omml" xmlns="http://www.w3.org/TR/REC-html40">
<head>
<meta http-equiv="Content-Type" content="text/html; charset=utf-8">
<meta name="Generator" content="Microsoft Word 14 (filtered medium)">
<style><!--
/* Font Definitions */
@font-face
        {font-family:Calibri;
        panose-1:2 15 5 2 2 2 4 3 2 4;}
@font-face
        {font-family:Tahoma;
        panose-1:2 11 6 4 3 5 4 4 2 4;}
/* Style Definitions */
p.MsoNormal, li.MsoNormal, div.MsoNormal
        {margin:0in;
        margin-bottom:.0001pt;
        font-size:12.0pt;
        font-family:"Times New Roman","serif";}
a:link, span.MsoHyperlink
        {mso-style-priority:99;
        color:blue;
        text-decoration:underline;}
a:visited, span.MsoHyperlinkFollowed
        {mso-style-priority:99;
        color:purple;
        text-decoration:underline;}
p
        {mso-style-priority:99;
        mso-margin-top-alt:auto;
        margin-right:0in;
        mso-margin-bottom-alt:auto;
        margin-left:0in;
        font-size:12.0pt;
        font-family:"Times New Roman","serif";}
span.EmailStyle18
        {mso-style-type:personal-reply;
        font-family:"Calibri","sans-serif";
        color:#1F497D;}
.MsoChpDefault
        {mso-style-type:export-only;
        font-family:"Calibri","sans-serif";}
@page WordSection1
        {size:8.5in 11.0in;
        margin:1.0in 1.0in 1.0in 1.0in;}
div.WordSection1
        {page:WordSection1;}
--></style><!--[if gte mso 9]><xml>
<o:shapedefaults v:ext="edit" spidmax="1026" />
</xml><![endif]--><!--[if gte mso 9]><xml>
<o:shapelayout v:ext="edit">
<o:idmap v:ext="edit" data="1" />
</o:shapelayout></xml><![endif]-->
</head>
<body lang="EN-US" link="blue" vlink="purple">
<div class="WordSection1">
<p class="MsoNormal"><span style="font-size:11.0pt;font-family:&quot;Calibri&quot;,&quot;sans-serif&quot;;color:#1F497D">Greg,<o:p></o:p></span></p>
<p class="MsoNormal"><span style="font-size:11.0pt;font-family:&quot;Calibri&quot;,&quot;sans-serif&quot;;color:#1F497D">This is GREAT!&nbsp; Definitely some eyebrow rising on my part.&nbsp; I’m clearly not as in-touch as I wish and your writeup and the GovReady section on github is definitely
 a welcome addition.&nbsp; Thank you to you and your team for assembling this and advertising it to this community.<o:p></o:p></span></p>
<p class="MsoNormal"><span style="font-size:11.0pt;font-family:&quot;Calibri&quot;,&quot;sans-serif&quot;;color:#1F497D"><o:p>&nbsp;</o:p></span></p>
<p class="MsoNormal"><span style="font-size:11.0pt;font-family:&quot;Calibri&quot;,&quot;sans-serif&quot;;color:#1F497D">Charlie Todd<o:p></o:p></span></p>
<p class="MsoNormal"><span style="font-size:11.0pt;font-family:&quot;Calibri&quot;,&quot;sans-serif&quot;;color:#1F497D">Ball Aerospace &amp; Technologies Corp.<o:p></o:p></span></p>
<p class="MsoNormal"><span style="font-size:11.0pt;font-family:&quot;Calibri&quot;,&quot;sans-serif&quot;;color:#1F497D"><o:p>&nbsp;</o:p></span></p>
<p class="MsoNormal"><b><span style="font-size:10.0pt;font-family:&quot;Tahoma&quot;,&quot;sans-serif&quot;">From:</span></b><span style="font-size:10.0pt;font-family:&quot;Tahoma&quot;,&quot;sans-serif&quot;"> scap-security-guide-bounces@lists.fedorahosted.org [mailto:scap-security-guide-bounces@lists.fedorahosted.org]
<b>On Behalf Of </b>Greg Elin<br>
<b>Sent:</b> Tuesday, April 21, 2015 4:03 PM<br>
<b>To:</b> SCAP Security Guide<br>
<b>Subject:</b> Re: CentOS / PCI DSS / Vulnerability Scans etc<o:p></o:p></span></p>
<p class="MsoNormal"><o:p>&nbsp;</o:p></p>
<div>
<div>
<p class="MsoNormal">Nathanael,<o:p></o:p></p>
</div>
<div>
<p class="MsoNormal"><o:p>&nbsp;</o:p></p>
</div>
<div>
<p class="MsoNormal">I had the same problem getting started with scanning and auditing. Below are a couple of starting points.<o:p></o:p></p>
</div>
<div>
<p class="MsoNormal"><o:p>&nbsp;</o:p></p>
</div>
<div>
<p class="MsoNormal"><b>Getting Started with scanning/auditing CentOS 6 with SCAP-Security-Guide</b><o:p></o:p></p>
</div>
<div>
<p class="MsoNormal"><b>=============================================================</b><o:p></o:p></p>
</div>
<div>
<p class="MsoNormal">For a quick start on auditing CentOS, see the CentOS 6 QuickStart in the README at:
<a href="https://urldefense.proofpoint.com/v2/url?u=https-3A__github.com_GovReady_govready&amp;d=AwMFaQ&amp;c=jF7FvYH6t0RX1HrEjVCgHQ&amp;r=EtM8rzsgMR2aFrLOrhF8eg&amp;m=pdDavVRzS1tWczSl751LiAwBzguAHEMxhEW_sCWQ30E&amp;s=ZaSwIdr__3wjwcpU1yq0BG9hDYONtJyt7RAgM3EvOHU&amp;e=" target="_blank">
https://github.com/GovReady/govready</a><o:p></o:p></p>
</div>
<div>
<p class="MsoNormal"><o:p>&nbsp;</o:p></p>
</div>
<div>
<p class="MsoNormal">The QuickStart installs my pure Bourne shell app, &quot;GovReady,&quot; which installs OpenSCAP, SCAP-Security-Guide (SSG). Follow the QuickStart steps to make the adjustments in the OVAL test so the SSG tests for RedHat will run correctly on CentOS
 instead of returning &quot;not applicable&quot; results.<o:p></o:p></p>
</div>
<div>
<p class="MsoNormal"><o:p>&nbsp;</o:p></p>
</div>
<div>
<p class="MsoNormal">The GovReady toolkit displays all OpenSCAP commands it runs, so it can be helpful little training tool to acquaint you the specifics of using OpenSCAP.<o:p></o:p></p>
</div>
<div>
<p class="MsoNormal"><o:p>&nbsp;</o:p></p>
</div>
<div>
<div>
<p class="MsoNormal"><b>Getting Started with SCAP-Security-Guide in General</b><o:p></o:p></p>
</div>
<div>
<p class="MsoNormal"><b>===========================================</b><o:p></o:p></p>
</div>
</div>
<div>
<p class="MsoNormal">Forgive me if this is too basic, but I think it is good to start from zero.<o:p></o:p></p>
</div>
<div>
<p class="MsoNormal"><o:p>&nbsp;</o:p></p>
</div>
<div>
<p class="MsoNormal"><span style="font-size:9.0pt;font-family:&quot;Arial&quot;,&quot;sans-serif&quot;">The SCAP-Security-Guide project is a project to produced open-source SCAP (Security Content Automation Protocol)&nbsp;for RedHat and now other Linux systems.</span><o:p></o:p></p>
</div>
<div>
<p class="MsoNormal"><o:p>&nbsp;</o:p></p>
</div>
<div>
<p class="MsoNormal"><span style="font-size:9.0pt;font-family:&quot;Arial&quot;,&quot;sans-serif&quot;">SCAP is best thought of machine-readable &quot;security content&quot;. That is, XML content describing machine-readable checks for software configuration and vulnerabilities.
</span><o:p></o:p></p>
</div>
<div>
<p class="MsoNormal"><o:p>&nbsp;</o:p></p>
</div>
<div>
<p class="MsoNormal"><span style="font-size:9.0pt;font-family:&quot;Arial&quot;,&quot;sans-serif&quot;">SCAP is composed of several interrelated XML standards (XCCDF, OVAL, OCIL, ARF, CCE, CPE, CVE, CVSS, CCSS) -- but trying to understand how the why and how of these separate
 standards is confusing.</span><o:p></o:p></p>
</div>
<div>
<p class="MsoNormal"><o:p>&nbsp;</o:p></p>
</div>
<div>
<p class="MsoNormal"><span style="font-size:9.0pt;font-family:&quot;Arial&quot;,&quot;sans-serif&quot;">What you really want to do is audit your CentOS server for vulnerabilities and configuration settings, right? To do that, you&nbsp;need the following:</span><o:p></o:p></p>
</div>
<p class="MsoNormal"><o:p>&nbsp;</o:p></p>
<p style="margin:0in;margin-bottom:.0001pt">1. &quot;scanning software&quot; that non-intrusively ​scans and audits ​server nerd knob settings;&nbsp;<o:p></o:p></p>
<p style="margin:0in;margin-bottom:.0001pt">&nbsp;2. &quot;security content&quot; (or &quot;SCAP content&quot;) that describes the tests to apply to audit the server;&nbsp;<o:p></o:p></p>
<p style="margin:0in;margin-bottom:.0001pt">3. &quot;security report&quot; that indicates which tests passed, which tests failed, and why.&nbsp;<o:p></o:p></p>
<p style="margin:0in;margin-bottom:.0001pt"><o:p>&nbsp;</o:p></p>
<p style="margin:0in;margin-bottom:.0001pt">Examples of &quot;scanning software&quot; include RedHat's OpenSCAP, OpenVAS, FarnHall Ventures's jOVAL and Teneble's Nessus. Most &quot;security content&quot; is provided either by a software vendor or by a third party such as Tenable
 that sells enterprise scanning software. This list, of course, offers SCAP-Security-Guide, which is security content in SCAP format with an open source license (Hurray!).<o:p></o:p></p>
<div>
<p class="MsoNormal">​ ​<o:p></o:p></p>
</div>
<p style="margin:0in;margin-bottom:.0001pt">The &quot;security reports&quot; indicating which tests have passed is generally a module built into the scanning software. Most scanning software also produces standardized XML reporting results so the content can be aggregated
 in other tools.<o:p></o:p></p>
<div>
<p class="MsoNormal"><o:p>&nbsp;</o:p></p>
<div>
<p class="MsoNormal">Scanning/auditing a system is not really any different from installing Virus scanning software and Virus signatures content to scan your computer for viruses.&nbsp; But it's been my experience that SCAP feels much more complicated.&nbsp; I think
 there are three reasons why. First, the government cyber security community is a bit insular by nature. Second, scanning software is designed for scanning thousands of &quot;end points&quot; in the enterprise and a lot of knowledge is assumed. Finally, SCAP has not
 yet been packaged to be user friendly and has a steep learning curve as a standard. (It's easy to get to over 8 standards when you are trying to juggle different platforms, supporting variables, standardized tracking of vulnerabilities, etc.)<o:p></o:p></p>
</div>
<div>
<p class="MsoNormal"><o:p>&nbsp;</o:p></p>
</div>
<div>
<div>
<p class="MsoNormal">Anyway, the whole point of SCAP is to automate security scanning, to have computers check other computers. That process involves the following steps:<o:p></o:p></p>
</div>
<div>
<p class="MsoNormal"><o:p>&nbsp;</o:p></p>
</div>
<div>
<p class="MsoNormal">1. Install NIST-certified SCAP scanning software<o:p></o:p></p>
</div>
<div>
<p class="MsoNormal">2. Download/install desired SCAP Content (e.g. security content) for your platform<o:p></o:p></p>
</div>
<div>
<p class="MsoNormal">3. Choose the correct profile (e.g., checklist of tests)<o:p></o:p></p>
</div>
<div>
<p class="MsoNormal">4. Run the scan<o:p></o:p></p>
</div>
<div>
<p class="MsoNormal">5. Look at results<o:p></o:p></p>
</div>
<div>
<p class="MsoNormal">6. Fix results<o:p></o:p></p>
</div>
<div>
<p class="MsoNormal">7. Repeat as necessary<o:p></o:p></p>
</div>
<div>
<p class="MsoNormal"><o:p>&nbsp;</o:p></p>
</div>
<div>
<p class="MsoNormal">Here are some links that discuss the specifics of these seven steps.&nbsp;<o:p></o:p></p>
</div>
<div>
<p class="MsoNormal"><o:p>&nbsp;</o:p></p>
</div>
<div>
<p class="MsoNormal">- <a href="https://urldefense.proofpoint.com/v2/url?u=http-3A__github.com_govready&amp;d=AwMFaQ&amp;c=jF7FvYH6t0RX1HrEjVCgHQ&amp;r=EtM8rzsgMR2aFrLOrhF8eg&amp;m=pdDavVRzS1tWczSl751LiAwBzguAHEMxhEW_sCWQ30E&amp;s=kVNBGGAnEgfM4buw88-9sdsn87URWS8V_vfz9OUvdW4&amp;e=" target="_blank">
http://github.com/govready</a> - a toolkit designed to make server auditing friendly to developers use to work with Git.<o:p></o:p></p>
</div>
<div>
<p class="MsoNormal">-&nbsp;<a href="https://urldefense.proofpoint.com/v2/url?u=http-3A__myopensourcelife.com_2013_09_08_scap-2Dand-2Dremediation_&amp;d=AwMFaQ&amp;c=jF7FvYH6t0RX1HrEjVCgHQ&amp;r=EtM8rzsgMR2aFrLOrhF8eg&amp;m=pdDavVRzS1tWczSl751LiAwBzguAHEMxhEW_sCWQ30E&amp;s=DNR5cfF4G4EAoUIcqzZzwzGYsiJUeXwVoPyNMLZ2Vek&amp;e=" target="_blank">http://myopensourcelife.com/2013/09/08/scap-and-remediation/</a>
 (ignore the installation information and jump down to &quot;running a scan&quot; to see commands<o:p></o:p></p>
</div>
<div>
<p class="MsoNormal">- <a href="https://urldefense.proofpoint.com/v2/url?u=http-3A__people.redhat.com_swells_docs_en-2DUS_SCAP-5FSecurity-5FGuide_0.1_html-2Dsingle_User-5FGuide_index.html&amp;d=AwMFaQ&amp;c=jF7FvYH6t0RX1HrEjVCgHQ&amp;r=EtM8rzsgMR2aFrLOrhF8eg&amp;m=pdDavVRzS1tWczSl751LiAwBzguAHEMxhEW_sCWQ30E&amp;s=wC1XkZTf6xo-mgo5ciMDC58Q5DfnpM_v2AVIJfpJwu8&amp;e=" target="_blank">
http://people.redhat.com/swells/docs/en-US/SCAP_Security_Guide/0.1/html-single/User_Guide/index.html</a> - the SSG manual<o:p></o:p></p>
</div>
<div>
<p class="MsoNormal"><o:p>&nbsp;</o:p></p>
</div>
<div>
<div>
<p class="MsoNormal">It is pretty easy to install the scanning software of your choice, but it can be a real challenge to finding the SCAP content for your platform. Lots of SCAP is proprietary, but the SCAP-Security-Guide is working to make more scanning content
 available for more platforms under open source licenses. (Or at least, I think of it that way.)<o:p></o:p></p>
</div>
<div>
<p class="MsoNormal"><o:p>&nbsp;</o:p></p>
</div>
<div>
<p class="MsoNormal">A big gotcha that I ran into with SCAP-Security-Guide is the fact that tests are associated with RedHat platform specifically. (One of the SCAP standards, CPE, or Common Platform Enumeration, provides an explicit way of universally identifying
 a platform. And the SSG basic distribution tests for RedHat. So it is necessary to adjust CPE-dictionary file and the associated CPE test in the OVAL XML to get RedHat SSG tests to work properly on CentOS.)<o:p></o:p></p>
</div>
</div>
</div>
<div>
<p class="MsoNormal"><o:p>&nbsp;</o:p></p>
</div>
<div>
<p class="MsoNormal">Send more questions if you have them...<o:p></o:p></p>
</div>
<div>
<p class="MsoNormal"><o:p>&nbsp;</o:p></p>
</div>
<div>
<p class="MsoNormal">best,&nbsp;<o:p></o:p></p>
</div>
<div>
<p class="MsoNormal"><o:p>&nbsp;</o:p></p>
</div>
<div>
<p class="MsoNormal">Greg Elin<o:p></o:p></p>
</div>
<div>
<p class="MsoNormal">GovReady PBC<o:p></o:p></p>
</div>
<div>
<p class="MsoNormal">e gregelin@gitmachines<o:p></o:p></p>
</div>
<div>
<p class="MsoNormal">m 917-304-3488<o:p></o:p></p>
</div>
<div>
<p class="MsoNormal"><o:p>&nbsp;</o:p></p>
</div>
<div>
<p class="MsoNormal"><o:p>&nbsp;</o:p></p>
<div>
<p class="MsoNormal">On Mon, Apr 20, 2015 at 2:24 PM, Nathanael D. Noblet &lt;<a href="mailto:nathanael@gnat.ca" target="_blank">nathanael@gnat.ca</a>&gt; wrote:<o:p></o:p></p>
<p class="MsoNormal">Hello,<br>
<br>
&nbsp; We tend to use CentOS for most of our servers. All legacy servers are<br>
6, we have two new v7 servers.<br>
<br>
&nbsp; I would like to learn how to perform some of these audits that the<br>
guide provides. I looked at it a few months back but never got to the<br>
point of having it work successfully.<br>
<br>
&nbsp; Does anyone know of documentation on how to use the guide with CentOS?<br>
I know v7 isn't quite ready? I'm also wondering if there are public<br>
locations for standards like PCI DSS, HIPAA, or other high security<br>
'generally accepted' standards etc.<br>
<span style="color:#888888"><br>
--<br>
Nathanael<br>
<br>
--<br>
SCAP Security Guide mailing list<br>
<a href="mailto:scap-security-guide@lists.fedorahosted.org" target="_blank">scap-security-guide@lists.fedorahosted.org</a><br>
<a href="https://urldefense.proofpoint.com/v2/url?u=https-3A__lists.fedorahosted.org_mailman_listinfo_scap-2Dsecurity-2Dguide&amp;d=AwMFaQ&amp;c=jF7FvYH6t0RX1HrEjVCgHQ&amp;r=EtM8rzsgMR2aFrLOrhF8eg&amp;m=pdDavVRzS1tWczSl751LiAwBzguAHEMxhEW_sCWQ30E&amp;s=Rfasp2gpxpuQlmetTCsyGoBWOnYIOt26aMzyP0jyE5w&amp;e=" target="_blank">https://lists.fedorahosted.org/mailman/listinfo/scap-security-guide</a><br>
<a href="https://urldefense.proofpoint.com/v2/url?u=https-3A__github.com_OpenSCAP_scap-2Dsecurity-2Dguide_&amp;d=AwMFaQ&amp;c=jF7FvYH6t0RX1HrEjVCgHQ&amp;r=EtM8rzsgMR2aFrLOrhF8eg&amp;m=pdDavVRzS1tWczSl751LiAwBzguAHEMxhEW_sCWQ30E&amp;s=SuYxNsgKmOiZ-fYlZHfAuvn3ZtWcnt4E-OZG4MzSox4&amp;e=" target="_blank">https://github.com/OpenSCAP/scap-security-guide/</a></span><o:p></o:p></p>
</div>
<p class="MsoNormal"><o:p>&nbsp;</o:p></p>
</div>
</div>
</div>
</div>

<DIV>
<BR>
<BR>
This message and any enclosures are intended only for the addressee.  Please <BR>
notify the sender by email if you are not the intended recipient.  If you are <BR>
not the intended recipient, you may not use, copy, disclose, or distribute this <BR>
message or its contents or enclosures to any other person and any such actions <BR>
may be unlawful.  Ball reserves the right to monitor and review all messages <BR>
and enclosures sent to or from this email address.<BR>
</DIV></body>
</html>