Qualys SCAP Auditor 1.2 は、Qualys Policy Compliance 8.x および Qualys クラウドプラットフォーム経由で提供されるサブスクリプションベースの SaaS（Software as a Service）ソリューションです。SCAP の機能には、Qualys ポータル経由で使用できる他のサービスとは別のバージョン番号が設定されます。Qualys SCAP Auditor のバージョン番号の変更は、SCAP スキャンに関する変更があったことを示しています。Qualys SCAP Auditor 1.2 では、内部システムの USGCB スキャンをグローバル規模でサポートします。
詳細は以下を参照してください。
https://www.qualys.com/solutions/
https://www.qualys.com/docs/qualys-scap-getting-started-guide.pdf
SCAP アプリケーションがアカウントで有効になっている必要があります。有効であるかどうか不明な場合は、「Help」->「Account Info」を選択して、「SCAP Summary」項があるかどうかを確認します。ある場合は、「SCAP」をオンにします。コンプライアンス管理のパーミッションも必要です。すべてのマネージャと監査者に、このパーミッションが与えられています。サブユーザの場合、マネージャがユーザのユーザアカウントを編集して、「Manage PC module」パーミッションを付与できます。
SCAP バージョン 1.2 に準拠しています。これには、XCCDF 1.2、OVAL 5.10、CCE 5、CPE 2.3、CVE、CVSS 2、OCIL 2.0、CCSS 1.0、Asset Identification 1.1、ARF 1.1、TMSAD 1.0 が含まれています。
SCAP バージョン 1.0/1.1 に準拠しています。これには、XCCDF 1.1.4、OVAL 5.3、CCE 5、CPE 2.2、CVE、および CVSS 2 が含まれています。
Qualys の SCAP アプリケーションは、使用例のコンプライアンスチェックの SCAP 1.2 仕様における要件に適合しています（<ds:data-stream> 要素の @use-case 属性を CONFIGURATION に設定）。Qualys では、SCAP コンテンツを利用しています。そのため、既存の SCAP ソースデータストリームのコンテンツを取り込み、処理して有効な SCAP 結果データストリームを作成します。
「CVE」オプション指定の認証された設定スキャナ（Authenticated Configuration Scanner）は、Windows 7（32 ビットおよび 64 ビット）および Red Hat Enterprise Linux（RHEL） 5 Desktop（32 ビットおよび 64 ビット）を評価するための機能です。USGCB 要件に準拠しているかどうかを判別するために、対象システムを監査して評価できます。
SCAP Auditor 1.2 は、Windows XP と Windows Vista の評価のために、SCAP 1.0 と後方互換性があり、USGCB と FDCC 評価をサポートしています。Qualys は、SCAP 1.0 の FDCC スキャナ（FDCC Scanner）、認証された設定スキャナ（Authenticated Configuration Scanner）、認証された脆弱性およびパッチスキャナ（Authenticated Vulnerability and Patch Scanner）、未認証の脆弱性スキャナ（Unauthenticated Vulnerability Scanner）の機能について認定を受けています。
SCAP Auditor は、SCAP 認定の評価機能に加え、Windows 7（32 ビットおよび 64 ビット）、Windows XP（32 ビット）、Windows Vista、Windows 2008、Windows 2012、RHEL 5（32 ビットおよび 64 ビット）および多くの Linux ディストリビューションのシステムを対象とした SCAP コンテンツ（Tier III）にも対応しています。
SCAP スキャンが使用可能になるのは、サブスクリプションに対して SCAP アプリケーションが有効になっており、コンプライアンス管理の権限を有する場合です。
SCAP スキャンは、サブスクリプションでインストールされた Scanner Appliance によって実施され、SCAP スキャン用に有効化されます。SCAP スキャンには、物理的な Scanner Appliance または Virtual Scanner Appliance が設定されます。Scanner Appliance の設定は数分で完了します。ユーザガイドを参照してください。ユーザガイドは、「Help」->「Resources」からダウンロードできます。アカウントにアプライアンスを導入すると、アプライアンスで SCAP を有効にする必要があります。詳細
Scanner Appliance は、SCAP アプリケーションを含むセキュリティサービス用の URL にアクセスできるようにする必要があります。これらの URL は、アカウントの「About」ページに表示されます。上部メニューバーで「Help」->「About」を選択すると、サービスの URL とともに「Scanner Appliances」項が表示されます。ネットワークによっては、アクセスを可能にするためにネットワーク保護システムを変更する必要があります。
認証スキャンには、対象ホストへのリモートアクセスが必要です。スキャンの前に以下の手順に従ってください。
1）対象ホストをコンプライアンスホストとしてアカウントに追加します。詳細
2）スキャン対象のコンプライアンスホストを含むアセットグループを作成します。詳細
3）1 つ以上の SCAP ポリシーをアカウントに追加し、アセットグループを割り当てます。詳細
4）対象ホストの Windows 認証レコードを追加します。詳細