Benchmark Development Course

Phase 2: Augmenting Rules1 2 3 4 5 2 3Approved for Public Release. Distribution Unlimited. Case 08‐14932MITRE©2008 The MITRE Corporation. All rights reservedAdd Additional Information to Rules• References– Pointers to further information• Assessment Categories– How can the rule be tested or verified?©2008 The MITRE Corporation. All rights reserved 3Why Add References?• Facilitate communication between  benchmark author and audience• Clearly indicate applicable platform• Cite precise configuration controls• Refer to widely‐recognized regulatory  frameworks4©2008 The MITRE Corporation. All rights reservedCommon References• CPE: Common Platform Enumeration• CCE: Common Configuration Enumeration• NIST Special Publication 800‐53:  Recommended Security Controls for Federal  Information Systems5©2008 The MITRE Corporation. All rights reservedCommon Platform Enumeration (CPE)• Standard names for platform types• Unambiguous indication of benchmark target• Sections can be labeled as appropriate– Functionality only available in a specific version– For a supporting applicationhttp://cpe.mitre.org/6©2008 The MITRE Corporation. All rights reservedCPE Examples• Operating Systems– cpe:/o:redhat:enterprise_linux:5.0• Applications– cpe:/a:microsoft:excel:2003:sp2• Hardware– cpe:/h:apple:iphone:1.1.27©2008 The MITRE Corporation. All rights reservedCommon Configuration Enumeration (CCE)• ...