NIST SP 800-219（ドラフト）macOSセキュリティ・コンプライアンス・プロジェクト（mSCP）による自動化された安全な構成のガイダンス
こんにちは、丸山満彦です。
NISTが、「SP 800-219（ドラフト）macOSセキュリティ・コンプライアンス・プロジェクト（mSCP）による自動化された安全な構成のガイダンス」を公表し、意見募集をしていますね。。。
● NIST - ITL
・2022.02.17 SP 800-219 (Draft) Automated Secure Configuration Guidance from the macOS Security Compliance Project (mSCP)
| SP 800-219 (Draft) Automated Secure Configuration Guidance from the macOS Security Compliance Project (mSCP) | SP 800-219（ドラフト）macOSセキュリティ・コンプライアンス・プロジェクト（mSCP）による自動化された安全な構成のガイダンス |
| Announcement | 発表内容 |
| This publication provides resources that system administrators, security professionals, security policy authors, information security officers, and auditors can leverage to secure and assess macOS desktop and laptop system security in an automated way. It introduces the mSCP, describes use cases for leveraging the mSCP content, and gives an overview of the resources available on the project’s GitHub site. The GitHub site provides practical, actionable recommendations in the form of secure baselines and associated rules, and it is continuously curated and updated to support each new release of macOS. | 本書は、システム管理者、セキュリティ専門家、セキュリティポリシーの作成者、情報セキュリティ担当者、監査人が、自動化された方法でmacOSのデスクトップおよびラップトップシステムのセキュリティを確保、評価するために活用できるリソースを提供します。mSCPの紹介、mSCPのコンテンツを活用したユースケース、プロジェクトのGitHubサイトで利用できるリソースの概要を説明しています。GitHubサイトでは、実用的な推奨事項がセキュアベースラインと関連するルールの形で提供されており、macOSの各新リリースをサポートするために継続的にキュレーションとアップデートが行われています。 |
| Abstract | 概要 |
| The macOS Security Compliance Project (mSCP) provides resources that system administrators, security professionals, security policy authors, information security officers, and auditors can leverage to secure and assess macOS desktop and laptop system security in an automated way. This publication introduces the mSCP and gives an overview of the resources available from the project’s GitHub site, which is continuously curated and updated to support each new release of macOS. The GitHub site provides practical, actionable recommendations in the form of secure baselines and associated rules. This publication also describes use cases for leveraging the mSCP content. | macOSセキュリティ・コンプライアンス・プロジェクト（mSCP）は、システム管理者、セキュリティ専門家、セキュリティ・ポリシー作成者、情報セキュリティ・オフィサー、監査人が、自動化された方法でmacOSデスクトップおよびラップトップ・システムのセキュリティを確保・評価するために活用できるリソースを提供しています。本書では、mSCPを紹介するとともに、プロジェクトのGitHubサイトで利用できるリソースの概要を説明しています。GitHubサイトは、macOSの各新リリースをサポートするために継続的に管理・更新されています。GitHubサイトでは、安全なベースラインと関連するルールの形で、実用的で実行可能な推奨事項を提供しています。本書では、mSCPのコンテンツを活用したユースケースについても紹介しています。 |
・[PDF] SP 800-219 (Draft)
| Executive Summary | エグゼクティブサマリー |
| The National Institute of Standards and Technology (NIST) has traditionally published secure configuration guides for Apple desktop/laptop operating system versions as prose-based Special Publications (SPs), such as NIST SP 800-179 Revision 1, Guide to Securing Apple macOS 10.12 Systems for IT Professionals: A NIST Security Configuration Checklist. In order to provide security configuration guidance to organizations more quickly and in a machine-consumable format, NIST has established the open-source macOS Security Compliance Project (mSCP). Instead of NIST producing a prose SP guidance document for each macOS release, the mSCP will continuously curate and update machine-consumable macOS guidance. | 米国国立標準技術研究所（NIST）は、従来、アップル社のデスクトップ／ラップトップオペレーティングシステムのバージョンに対応したセキュリティ設定ガイドを、「SP 800-179 ITプロフェッショナルのためのApple OS X 10.10システムのセキュリティに関するガイド：NISTセキュリティ構成チェックリスト」として発行してきました。NISTは、セキュリティ設定に関するガイダンスをより迅速に、かつ機械で消費可能な形式で組織に提供するために、オープンソースのmacOSセキュリティ・コンプライアンス・プロジェクト（mSCP）を設立しました。NISTは、macOSのリリースごとにSPガイダンスドキュメントを作成するのではなく、mSCPは、マシンで消費可能なmacOSガイダンスを継続的に収集・更新します。 |
| The mSCP seeks to simplify the macOS security development cycle by reducing the amount of effort required to implement security baselines. Security baselines are groups of settings used to configure a system to meet a target level or set of requirements, or to verify that a system complies with requirements. The mSCP, a collaboration among federal agencies, minimizes duplicate effort that would otherwise be needed for these agencies to administer individual security baselines. Additionally, the secure baseline content provided is easily extensible by other parties to implement their own security requirements. | mSCPは、セキュリティベースラインの実装に必要な労力を削減することで、macOSのセキュリティ開発サイクルを簡素化することを目的としています。セキュリティベースラインとは、目標とするレベルや一連の要件を満たすようにシステムを構成したり、システムが要件に準拠しているかどうかを検証したりするために使用される設定のグループです。mSCPは、連邦政府機関のコラボレーションにより、各機関が個別にセキュリティベースラインを管理する際に必要となる重複した作業を最小限に抑えます。さらに、提供されたセキュリティベースラインのコンテンツは、他の当事者が独自のセキュリティ要件を実装するために容易に拡張することができます。 |
| This document provides a high-level overview of the mSCP, its components, and some common use cases. Readers seeking more detailed information on mSCP content or the content itself should visit the mSCP GitHub page and wiki. | このドキュメントでは、mSCP の概要、構成要素、および一般的な使用例について説明しています。mSCP コンテンツやコンテンツ自体についてより詳細な情報は、mSCP の GitHub ページおよび wikiをご覧ください。 |
| Organizations using mSCP content, particularly security baseline examples, should take a riskbased approach for selecting the appropriate settings and defining setting values that takes into account the context under which the baseline will be utilized. | mSCP のコンテンツ、特にセキュリティ・ベースラインの例を使用する組織は、ベースラインが利用される状況を考慮して、リスクベースのアプローチで適切な設定を選択し、設定値を定義する必要があります。 |
目次...
| Executive Summary | エグゼクティブサマリー |
| 1 Introduction | 1 はじめに |
| 1.1 Purpose and Scope | 1.1 目的と範囲 |
| 1.2 Audience | 1.2 対象者 |
| 1.3 Document Structure | 1.3 文書の構成 |
| 2 Project Description | 2 プロジェクトの説明 |
| 2.1 Project Goals | 2.1 プロジェクトの目標 |
| 2.2 mSCP Content Use | 2.2 mSCPコンテンツの使用 |
| 3 mSCP Components | 3 mSCPのコンポーネント |
| 3.1 Security Baseline Files | 3.1 セキュリティベースラインファイル |
| 3.1.1 Rule File Composition | 3.1.1 ルールファイルの構成 |
| 3.1.2 Rule File Categories | 3.1.2 ルールファイルのカテゴリー |
| 3.2 Configuration Profiles and Scripts | 3.2 構成プロファイルとスクリプト |
| 3.3 Content Generation Scripts | 3.3 コンテンツ生成スクリプト |
| 3.3.1 Generate Baseline Script | 3.3.1 ベースラインスクリプトの生成 |
| 3.3.2 Generate Guidance Script | 3.3.2 ガイダンススクリプトの生成 |
| 3.3.3 macOS Security Compliance Tool | 3.3.3 macOSセキュリティコンプライアンスツール |
| 3.3.4 OVAL Generation Script | 3.3.4 OVAL生成スクリプト |
| 3.3.5 Generate Mapping Script | 3.3.5 マッピングスクリプトの生成 |
| 3.4 Customization | 3.4 カスタマイゼーション |
| 3.5 Directories | 3.5 ディレクトリー |
| References | 参考文献 |
| Appendix A— mSCP User Roles | 附属書 A- mSCP ユーザーの役割 |
| Appendix B— Example of mSCP Usage by a Security Professional | 附属書 B- セキュリティ専門家によるmSCPの使用例 |
| Appendix C— Example of mSCP Usage by an Assessment Tool Vendor | 附属書 C- アセスメント・ツール・ベンダーによるmSCPの使用例 |
| Appendix D— Acronyms | 附属書 D- 頭字語 |
Supplemental Material:
Comments