Lenguaje abierto de evaluación y vulnerabilidad

El Lenguaje Abierto de Evaluación y Vulnerabilidad ( OVAL ) es un estándar comunitario internacional de seguridad de la información que promueve el contenido de seguridad abierto y disponible públicamente, y estandariza la transferencia de esta información en todo el espectro de herramientas y servicios de seguridad. OVAL incluye un lenguaje utilizado para codificar los detalles del sistema y una variedad de repositorios de contenido mantenidos en toda la comunidad. El lenguaje estandariza los tres pasos principales del proceso de evaluación:

1. representar información de configuración de sistemas para pruebas;
2. analizar el sistema para detectar la presencia del estado de máquina especificado (vulnerabilidad, configuración, estado del parche, etc.); y
3. Informar sobre los resultados de esta evaluación.

Los repositorios son colecciones de contenido público y abierto que utilizan dicho lenguaje.

La comunidad OVAL ha desarrollado tres esquemas escritos en Lenguaje de Marcado Extensible ( XML ) que sirven como marco y vocabulario del lenguaje OVAL. Estos esquemas corresponden a las tres etapas del proceso de evaluación: un esquema de Características del Sistema OVAL para representar la información del sistema, un esquema de Definición OVAL para expresar un estado específico de la máquina y un esquema de Resultados OVAL para informar los resultados de una evaluación.

El contenido escrito en el lenguaje OVAL se encuentra en uno de los numerosos repositorios de la comunidad. Uno de ellos, el Repositorio OVAL, está alojado por The MITRE Corporation. Es el punto de encuentro central de la comunidad OVAL para debatir, analizar, almacenar y difundir las definiciones de OVAL. Cada definición en el Repositorio OVAL determina si una vulnerabilidad de software, un problema de configuración, un programa o un parche específico está presente en un sistema.

La comunidad de seguridad de la información contribuye al desarrollo de OVAL participando en la creación del lenguaje OVAL en el Foro de Desarrolladores de OVAL y escribiendo definiciones para el Repositorio OVAL a través del Foro de la Comunidad OVAL. Un Consejo de OVAL, compuesto por representantes de un amplio espectro de organizaciones industriales, académicas y gubernamentales de todo el mundo, supervisa y aprueba el lenguaje OVAL y monitorea la publicación de las definiciones alojadas en el sitio web de OVAL. Esto significa que OVAL, financiado por US-CERT del Departamento de Seguridad Nacional de EE. UU. en beneficio de la comunidad, refleja las perspectivas y la experiencia combinada de la mayor cantidad posible de profesionales de seguridad y administración de sistemas a nivel mundial.

OVAL es utilizado por el Protocolo de Automatización de Contenido de Seguridad (SCAP).

El lenguaje OVAL estandariza los tres pasos principales del proceso de evaluación: representar la información de configuración de los sistemas para su prueba; analizar el sistema para detectar la presencia del estado de máquina especificado (vulnerabilidad, configuración, estado de parches, etc.); e informar sobre los resultados de esta evaluación.

El intérprete OVAL es una implementación de referencia de libre acceso creada para mostrar cómo se pueden recopilar datos de un ordenador para realizar pruebas basadas en un conjunto de definiciones OVAL y, a continuación, evaluarlos para determinar los resultados de cada definición.

El intérprete OVAL demuestra la utilidad de las definiciones OVAL y puede ser utilizado por quienes las redactan para garantizar la sintaxis correcta y el cumplimiento del lenguaje OVAL durante el desarrollo de borradores de definiciones. No es una herramienta de análisis completa y tiene una interfaz de usuario sencilla, pero al ejecutar el intérprete OVAL se obtiene una lista de valores de resultado para cada definición evaluada.

El Repositorio OVAL es el punto de encuentro central de la Comunidad OVAL para debatir, analizar, almacenar y difundir las Definiciones OVAL. Otros repositorios de la comunidad también albergan contenido OVAL, que puede incluir archivos de Características del Sistema OVAL y archivos de Resultados OVAL, así como definiciones. El Repositorio OVAL contiene todas las Definiciones de Vulnerabilidad, Cumplimiento, Inventario y Parches OVAL desarrolladas por la comunidad para los sistemas operativos compatibles. Las definiciones son de uso e implementación gratuitos en productos y servicios de seguridad de la información. El Programa de Premios al Mejor Colaborador del Repositorio OVAL otorga premios trimestralmente a los principales colaboradores del Repositorio OVAL. El Repositorio es un esfuerzo comunitario, y las contribuciones de contenido nuevo y modificaciones son fundamentales para su éxito. Los premios sirven como reconocimiento público al apoyo de una organización al Repositorio OVAL y como incentivo para que otros contribuyan.

Las organizaciones galardonadas recibirán también un logotipo de Colaborador Destacado del Repositorio OVAL que indicará el trimestre en que se otorgó el premio (por ejemplo, Primer Trimestre de 2007) y que podrán utilizar según lo consideren oportuno. Los premios se conceden a las organizaciones que hayan realizado una contribución significativa de contenido nuevo o modificado cada trimestre.

El Consejo de OVAL es un órgano asesor que proporciona información valiosa sobre OVAL al Moderador (actualmente MITRE). Si bien es importante contar con apoyo organizacional para OVAL, son las personas que integran el Consejo, sus aportaciones y su actividad las que realmente marcan la diferencia. Las principales responsabilidades del Consejo son trabajar con el Moderador y la Comunidad para definir OVAL, aportar ideas para su dirección estratégica y promover OVAL en la Comunidad.

• MITRE La Corporación MITRE
• Vulnerabilidades y exposiciones comunes (índice de nombres estandarizados para vulnerabilidades y otros problemas de seguridad)
• XCCDF - Formato de descripción de lista de verificación de configuración extensible
• El protocolo de automatización de contenido de seguridad utiliza OVAL.

• Sitio web de OVAL
• Sitio web corporativo de Gideon Technologies (miembro de la junta directiva de OVAL) archivado el 4 de mayo de 2009 en Wayback Machine.
• www.itsecdb.com Portal para definiciones OVAL de varias fuentes
• oval.secpod.com Archivado el 16/07/2011 en Wayback Machine Definiciones de SecPod OVAL Feed profesional