Encontré algunas publicaciones que sugieren el uso de Microsoft SCM (Security Compliance Manager) para auditar la seguridad de las soluciones de software de Microsoft:
- Herramienta de análisis de políticas de seguridad de Windows
- ¿Cómo aplico una línea de base de seguridad a Windows 2008 R2?
- Endurecimiento de IIS y SQLServer
Aquí hay una captura de pantalla de muestra de SCM, que muestra "261 configuraciones únicas" para la seguridad de la computadora con Windows 7 SP1:
Loquenoentiendoescómoestas"configuraciones únicas" se auditan . Quiero decir, SCM parece simplemente informar todas las opciones de fortalecimiento, en lugar de verificar (auditar) si se aplican a Windows.
Hasta ahora, encontré la siguiente forma de (automáticamente) auditar la configuración:
- Exportarlos (usando el panel a la derecha de SCM) como SCAP archivos XML.
- Use una herramienta como OVAL o jOVAL para auditar el sistema contra los archivos XML exportados.
En la misma línea, utilizo el siguiente enfoque para aplicar una línea de base:
- Exportar la línea base (o una personalización de la misma) como un GPO.
- Aplicar el GPO.
Mi pregunta es:
¿SCM puede auditar la configuración en sí misma, para que no tenga que exportar archivos XML y luego usar herramientas de terceros?