什么是SCAP/SCAP中文社区
SCAP（SecurityContentAutomationProtocol：安全内容自动化协议）由NIST（NationalInstituteofStandardsandTechnology：美国国家标准与技术研究院）提出，NIST期望利用SCAP解决三个棘手的问题：一是实现高层政策法规（如FISMA，ISO27000系列）等到底层实施的落地，二是将信息安全所涉及的各个要素标准化（如统一漏洞的命名及严重性度量），三是将复杂的系统配置核查工作自动化。SCAP是当前美国比较成熟的一套信息安全评估标准体系，其标准化、自动化的思想对信息安全行业产生了深远的影响。
NIST将SCAP分为两个方面进行解释：Protocol（协议）与Content（内容）。Protocol是指SCAP由一系列现有的公开标准构成，这些公开标准被称为SCAPElement（SCAP元素）。Protocol规范了这些Element之间如何协同工作，Content指按照Protocol的约定，利用Element描述生成的应用于实际检查工作的数据。例如，FDCC（FederalDesktopCoreConfiguration：联邦桌面核心配置）、USGCB（UnitedStatesGovernmentConfigurationbaseline：美国政府配置基线）等官方的检查单数据格式均为SCAPContent。
SCAP版本1.0包含以下六个SCAP元素：XCCDF、OVAL、CVE、CCE、CPE、CVSS。这些标准在SCAP产生之前都已经存在，并在各自的领域发挥着重要作用。其中一些标准我们可能之前有所了解，如CVE、CVSS。当SCAP将它们整合后，其整体标准化的优势变得十分明显。SCAP为安全工具实现标准化提供了解决方案：标准的输入数据格式、标准的处理方法和标准的输出数据格式，这非常有利于安全工具之间实现数据交换。
为什么要建立SCAP中文社区/SCAP中文社区
信息安全评估行业对信息安全相关要素的标准化需求是迫切的，没有规矩无以成方圆，没有标准便无法得出可度量的评估结论。虽然当前事实上的行业标准CVE对已披露漏洞进行了一定程度的规范，但如何检查漏洞、补丁及配置缺陷，如何规范平台名称、脆弱点类别、配置缺陷名称等在国内仍没有可遵循的相关标准。而NIST提出的SCAP在信息安全评估标准化方面先行了一步，它正是为了解决这些标准化的问题而产生。创建SCAP中文社区的目的也在于此，我们希望通过SCAP中文社区的建立，能够进一步促进*信息安全标准化的进程和SCAP系列标准在*的采纳和应用。
SCAP中文社区高度集成了大量信息安全相关的标准和各种漏洞数据库，并深入分析了这些数据之间的联系，形成了独具特色的信息安全数据服务平台，在服务行业的同时，SCAP中文社区也是“职业黑客”们有效的信息来源，在此可以方便地获取有关信息安全漏洞的详尽资料和大量漏洞利用代码。
SCAP中文社区主要内容/SCAP中文社区
CVE中文漏洞信息库
CVE中文漏洞信息查询是SCAP中文社区的一项重要功能，SCAP中文社区与“美国国家漏洞库（NVD），“*国家信息安全漏洞库（CNNVD）”保持实时的同步更新，与Exploit-DB、PacketStorm等漏洞利用程序库保持每日同步更新。为了提供更多有价值的信息，SCAP中文社区的CVE漏洞库与OVAL数据库进行了映射，与Exploit-DB、PacketStorm数据进行了链接，用户可以通过丰富的检索功能查找详尽的漏洞资料。
OVAL中文数据库
OVAL是一种用来描述漏洞检测方法的机器可识别语言，可以用来详细的描述漏洞检测的技术细节，并可导入自动化检测工具中实施漏洞检测工作。OVAL使用XML语言描述，且中间包含了严密的语法逻辑，SCAP中文社区使用XSL转换技术，将OVAL语言XML转换为易于人工阅读的方式，非常适用于漏洞分析人员使用。
CCE中文数据库
CCE是描述软件配置缺陷的一种标准化格式，在信息安全风险评估中，配置缺陷的检测是一项重要内容，使用CCE可以让配置缺陷以标准的方式展现出来，便于配置缺陷评估的可度量化操作。SCAP中文社区与NVD保持实时的更新。
