OVAL — Open Vulnerability and Assessment Language

Was ist OVAL?

OVAL steht für Open Vulnerability and Assessment Language. Es ist ein offener Standard, mit dem sich in einer maschinenlesbaren Form (XML) beschreiben lässt, wie man den Sicherheitszustand eines Computersystems prüft: Ist ein bestimmtes Software-Update installiert? Steht eine Einstellung auf dem vorgesehenen Wert? Ist ein Programm in einer verwundbaren Version vorhanden?

Entstanden ist OVAL ab etwa 2002 bei der Organisation MITRE. Heute ist OVAL ein Bestandteil von SCAP, dem Security Content Automation Protocol des amerikanischen NIST. Wer das Projekt aktuell pflegt und welche Inhalte noch aktualisiert werden, sollte man auf den unten genannten Projektseiten nachlesen, der Stand ändert sich.

Aufbau: Definitionen, Systemdaten, Ergebnisse

OVAL trennt drei Dinge. Die Definitionen beschreiben die Prüflogik, also was geprüft wird. Die Systemdaten (System Characteristics) halten fest, was auf dem geprüften Rechner tatsächlich gefunden wurde. Die Ergebnisse (Results) sagen je Definition, ob die Bedingung erfüllt war: wahr, falsch, Fehler, unbekannt, nicht ausgewertet oder nicht anwendbar.

Eine Definition gehört einer Klasse an: Schwachstelle (vulnerability), Patch, Konfiguration (compliance), Inventar (inventory) oder Sonstiges (miscellaneous). Technisch besteht sie aus Kriterien, die auf Tests verweisen; jeder Test kombiniert ein Objekt (was wird untersucht, z. B. ein Paket oder ein Registry-Schlüssel) mit einem Zustand (welcher Wert wird erwartet).

OVAL, CVE, CVSS und SCAP — wer macht was?

Die Begriffe werden oft verwechselt. CVE vergibt Kennungen für bekannte Schwachstellen (z. B. CVE-2024-12345). CVSS bewertet deren Schwere auf einer Skala. CPE benennt Produkte und Versionen einheitlich. XCCDF beschreibt Prüflisten für Konfigurationen. OVAL liefert die technische Prüflogik: Woran erkenne ich auf einem System, dass genau diese Schwachstelle noch offen ist?

SCAP fasst diese Standards zu einem Rahmenwerk zusammen (NIST SP 800-126). OVAL ist also kein Scanner und keine Datenbank von Schwachstellen, sondern eine Sprache, in der Prüfregeln aufgeschrieben werden.

Ein vereinfachtes Beispiel

Das folgende Fragment zeigt die Idee, nicht ein lauffähiges Dokument: Eine Definition der Klasse Patch verweist auf einen Test, der prüft, ob ein bestimmtes Paket in mindestens einer bestimmten Version installiert ist. Namen und Versionen sind frei gewählt.

<definition id="oval:example:def:1" version="1" class="patch">
  <metadata>
    <title>Paket beispiel-lib ist mindestens in Version 2.4.1 installiert</title>
  </metadata>
  <criteria>
    <criterion test_ref="oval:example:tst:1"/>
  </criteria>
</definition>

<!-- Test: verknüpft ein Objekt (Paketname) mit einem Zustand (Version) -->
<rpminfo_test id="oval:example:tst:1" version="1" check="all"
              comment="beispiel-lib >= 2.4.1">
  <object object_ref="oval:example:obj:1"/>
  <state state_ref="oval:example:ste:1"/>
</rpminfo_test>

Werkzeuge und Datenquellen

Zum Auswerten von OVAL-Definitionen gibt es freie Werkzeuge, bekannt ist OpenSCAP mit dem Kommandozeilenprogramm oscap. Mehrere Linux-Hersteller haben OVAL-Daten zu ihren Sicherheitsmeldungen veröffentlicht; ob und in welchem Umfang das für eine bestimmte Distribution aktuell der Fall ist, steht bei dem jeweiligen Hersteller.

Ein Scan mit OVAL-Definitionen prüft nur, was in den Definitionen steht. Er ersetzt weder einen Penetrationstest noch eine Gesamtbewertung der IT-Sicherheit.

Einordnung: Cyber-Versicherung

Cyber-Versicherer wollen vor Vertragsschluss und bei der Verlängerung das Risiko einschätzen. Üblich sind Fragebögen zu Maßnahmen wie Datensicherung, Mehrfaktor-Anmeldung und Patch-Management; manche Anbieter verlangen oder nutzen zusätzlich technische Prüfungen. Maschinenlesbare Ergebnisse, etwa aus einem OVAL-Scan, können grundsätzlich dazu dienen, den Patch-Stand zu belegen.

Ob ein Versicherer solche Nachweise anerkennt und ob sie sich auf Bedingungen oder Beiträge auswirken, entscheidet allein der jeweilige Versicherer, und zwar im Einzelfall. Diese Seite macht dazu keine Zusagen und stellt keinen Anspruch auf Nachlässe in Aussicht. Verbindliche Auskünfte geben der Versicherer oder ein Versicherungsmakler.