LOGO
Crystal Security Keeper (CSK)

自動化資安治理及合規安控技術解決方案

CSK (Crystal Security Keeper)為一套自動化資安治理及合規安控解決方案。提供程序轉譯及動態檢測方法, 使企業組織所制定的資安規範可以落實到使用者終端平台,並以自動化稽核方式定期作風險管控。CSK可依 企業需求設定安全基準,並透過關聯分析、組態配置Profiling、稽核內容動態解析等機制,管控企業資安符 規狀態、提供量化風險評估,產生出具有可信度的結果報告作為持續性資安風險管控及強化安全控制之依據。

pdf     中文型錄

Controller
CSK中控平台之系統需求
作業系統 :Win XP,Win Vista,Win 7,Win Server 2000 and 2008
資料庫 : MySQL 5.5+
Java版本 : JRE 6+

agent CSK終端檢測軟體之系統需求
無須安裝,常駐系統服務
作業系統 :Win XP,Win Vista,Win 7,Win Server 2000 and 2008

CSK Supports CSK自動化資安治理及合規安控解決方案
安全基準資料庫 :USGCB(FDCC),MS-SCM Baselines(keep updating)
支援的平台 :Win XP,Vista,Win 7,Win Server 2000 and 2008,Win XP and Vista Firewall
稽核範圍 :System Configuration,OS/App vulnerabilities,OS and software Path,software authentication (keep updating)
風險計量方法 :CVSS(Common Vulnerability Scoring System )



CSK Architec CSK Controller :資安風險管控服務平台
可依企業需求設定安全基準,並透過關聯分析、組態配置Profiling、稽核內容動態解析等機制,管控企業資安符規狀態、提供量化風險評估 CSK Agent :資安終端稽核軟體
可自動轉譯查驗基準及動態產生檢測方法,於不同終端系統中檢測OS、網路服務及應用程式之安全狀態並將結果回傳資安治理服務管控介面作進一步風險分析。

CSK提供程序轉譯及動態檢測方法,使資安規範可以落實到使用者終端平台,並以自動化稽核方式定期作風險管控

result

完整安全基準管理 CSK之安全基準設定可支援國際資安基準資 料庫(NCP; National Checklist Program Repository)所定義之規範,如美國USGCB 標準及微軟公開之各終端平台資安基準,同 時內建資安規範關聯矩陣,可產出符合國際 資安管理規範(如ISO 27001 / NIST SP800 /PCI DSS) 之合規檢測報告。 使用者亦可基於標準資安基準,依不同應用 領域需求(如金融、醫療等),作調整並訂定 不同之資安管理規範。

系統軟體組態安全設定檢測 :

資安基準設定包含系統安全性、組態設定、 軟體脆弱性及安全更新等規範,其中組態 設定依循國際資安組態檢測語法XCCDF; The Extensible Configuration Checklist Description Format),並整合標準資訊庫 如設備資訊(CPE; Common Platform Enumeration)、組態資訊(CCE; Common Configuration Enumeration)等,可提供一致性的基準資訊表達並與其他服務介接,強化資安治理涵蓋範圍。

系統軟體漏洞檢測:

在軟體脆弱性合規探測上,CSK以自動解譯機制發展Agentbased探測, 並符合開放性弱點探測語法(OVAL; Open Vulnerability Assessment Language),可擴大軟體脆弱性檢測一致性的基準資訊表達並與其他服務介接,強化資安治理涵蓋範圍。範圍,涵蓋非網路服務型終端軟體及系統脆弱性掃瞄並避免傳統弱點掃瞄存在之誤判問題(false-positive, false-negatives)。除系統安全性基準可自訂外,在組態及軟體脆弱性合規探測上,同樣提供使用者自訂符合企業組織要求之基準Profiles。安全基準更提供匯出與匯入的功能,提供企業機關可以針對不同單位進行相同的檢測基準評估。

reoport

彈性檢測目標與排程控制 企業資安稽核人員可以設定檢測目標,設 定彈性包含單一IP、特定位址範圍或是匯入 已設定之終端系統清單,並根據不同的終 端設備設定權重、電腦類型(一般使用者或 伺服器)。同時為方便企業資安稽核人員正 式稽核檢測執行前掌握CSK Agent佈署狀 況,可在目標管理頁面先就設定之檢測群 組進行終端環境資料蒐集及佈署狀況探測, 企業資安稽核人員再根據終端環境關聯分 析出適用之安全基準,可有效降低傳輸到 稽核軟體之基準資料量,且增進檢測效率。

CSK同時針對不同的檢測任務提供排程功能, 除立即執行檢查外,為避免干擾企業機關 人員的使用操作,企業資安稽核人員可以 設定適當的時間點進行檢測;並可周期性 的執行撿核,提供彈性且有效率的檢查稽 核管控。同時在檢測後可針對當次掃瞄失 敗的終端系統進行自動重掃的功能,強化 即時結果檢視追蹤。




result

終端系統合規結果檢視 每一個檢測的任務可以根據掃描的時間載 入檢測結果,同時為提高資安政策管控效 率,企業資安稽核人員可在檢測後動態選 擇資安基準,比對檢測結果。各終端檢測 結果包含:每台電腦的安裝軟體授權、作業 系統安全性更新、系統安全設定、軟體漏 洞、風險評量(符合CVSS 2.0評量基準)與安 全防護狀態等資訊。並可依基準合規狀態 調整規範值或強化安全控制機制。

除檢測結果檢測清單列表外, CSK Controller同時會分析各項合規基準之整體 檢測狀態統計數據,並以排名及圖表方式 呈現包含:Top 10不合規組態設定、Top 10 高風險弱點、未安裝之安全性更新統計、 系統防護狀態統計等。

檢測結果合規報表 CSK Controller可依檢測任務及關連資安基準產生完整報表,內容包含將各種資訊依圖表、排名以及統計數據呈現,並可匯出PDF與HTML格式,供稽核人員將結果給相關管理單位參考。 除整體分析報表外,CSK同時提供受測主機個別報表,方便被檢測之使用者可直接於終端系統上檢視自己使用設備之資安合規狀況並進行安全強化。

另外,CSK亦可將檢測結果依ISO 27001標準管控要求呈現,提供企業檢視資安政策導入於各控制領域之落實度。除此之外,CSK支援直接以XML方式紀錄檢測結果,並提供結果匯入\匯出及多次檢測結果整合的功能,於大型企業組織應用中,可透過多個CSK Controller分散式進行檢測,並自動匯整結果,使得資訊治理管控不受時間與空間的限制。

reoport

CSK Controller內建Update Server,當安全基準規範更新、或國際檢測標準XCCDF、OVAL、CCE、CVE等資 料庫更新,可同部自動化更新相關檢測機制。同時CSK Agent可設定自動檢測更新頻率及更新主機資訊,當上 述更新機制啟動時自動更新所有佈署於企業組織內之CSK Agent軟體。

資策會資安科技研究所具有專業資安研發團隊,同時與國際資安專家合作,分析最新之網路攻擊趨勢及案例, 並研究檢測之方式,縮短威脅存在時間;為CSK提供可信賴之檢測能力,包含XCCDF、OVAL檢測模組更新, 國際資安基準規範擴充,及檢測相關功能強化。CSK涵蓋安全診測(資訊探測、弱點掃瞄、安全更新)、組態安 控、法規遵循、及風險控管等關鍵技術,將資安防護由偵測防禦進入事前預防,提供企業組織自動化資安治理 整體解決方案。

cve cve cve cve cve cve