脆弱性管理とCVE・CVSSとは？

脆弱性管理とCVE・CVSSの意味

自組織の資産に存在する脆弱性を把握し、危険度に応じて優先順位を付けて対処する継続的な活動。個々の脆弱性には共通の識別子（CVE）が振られ、深刻度は基本評価基準・現状評価基準・環境評価基準からなるCVSSで0.0〜10.0の値として表される。

脆弱性管理とCVE・CVSSの具体例

資産管理台帳とソフトウェア構成情報を突き合わせ、CVSSの基本値が9.0以上かつインターネットから到達可能なものを最優先で対処する。同じCVSSでも、内部限定のサーバなら環境評価基準で下方修正し、期限を分けて計画的に処理する。

脆弱性管理とCVE・CVSSは試験でどう引っ掛けられる？

CVSSの基本値は攻撃されやすさと影響の大きさを一般論で示す指標にすぎず、自組織の実リスクではない。値が高い順に機械的に着手するのではなく、公開範囲や実際に攻撃コードが出回っているかを現状評価基準・環境評価基準で加味する点が問われる。またCVEは個別の脆弱性へ振る識別子であって、深刻度を表すものではない点も混同されやすい。

脆弱性管理とCVE・CVSSと関連する用語

• パッチ管理と仮想パッチ
• ペネトレーションテストと脆弱性診断
• サプライチェーン攻撃とSBOM
• ゼロデイ攻撃
• ポートスキャンとフットプリンティング

脆弱性管理とCVE・CVSSが出た過去問

• ソフトウェア製品の脆弱性を第三者が発見し、その脆弱性をJPCERTコーディネーションセンターが製品開発者に通知した。その場合における製品開発者の対応のうち、“情…

  正解：脆弱性情報の公表に関するスケジュールをJPCERTコーディネーションセンターと調整し、決定する。

  要点：製品開発者は調整機関と脆弱性の公表時期を調整する

  早期警戒パートナーシップでは、JPCERT/CCが調整機関として製品開発者と発見者の間に立ち、対策の準備状況を踏まえて公表時期を調整する。製品開発者は修正の見通しを共有しつつ、JPCERT/CCと公表スケジュールを決めるのが適切な対応である。JVNへの掲載や統計の公表は調整機関やIPAが行う役割である。

  出典：令和3年度 秋期 応用情報技術者試験 午前 問38（IPA）

• 基本評価基準、現状評価基準、環境評価基準の三つの基準で情報システムの脆弱性の深刻度を評価するものはどれか。

  正解：CVSS

  要点：CVSSは基本・現状・環境の3基準で脆弱性を採点する

  CVSS（Common Vulnerability Scoring System）は、脆弱性の深刻度を共通の尺度で数値化する仕組みで、脆弱性そのものの特性を表す基本評価基準、時間経過による状況を表す現状評価基準、利用環境を加味した環境評価基準の3つで構成される。ベンダに依存しない共通指標として広く使われている。

  出典：令和3年度 秋期 応用情報技術者試験 午前 問41（IPA）

• JPCERTコーディネーションセンターとIPAとが共同で運営するJVNの目的として、最も適切なものはどれか。

  正解：ソフトウェアの脆弱性関連情報とその対策情報とを提供し、情報セキュリティ対策に資する。

  要点：JVNは脆弱性情報と対策情報を公開するポータル

  JVN（Japan Vulnerability Notes）は、JPCERT/CCとIPAが共同運営する脆弱性対策情報のポータルサイトです。届出のあった製品の脆弱性情報と、修正版の提供状況などの対策情報を対にして公表し、利用者が速やかに対処できるようにすることを目的としています。

  出典：令和4年度 秋期 応用情報技術者試験 午前 問40（IPA）

• ソフトウェアの既知の脆弱性を一意に識別するために用いる情報はどれか。

  正解：CVE（Common Vulnerabilities and Exposures）

  要点：個別の脆弱性はCVE、深刻度はCVSS、種類はCWE

  CVEは、公表されたソフトウェアの脆弱性一つ一つにCVE-西暦-連番という共通の識別子を付ける仕組みである。ベンダーや製品を問わず同じ脆弱性を同じ番号で参照できるため、情報の突合せや対策状況の管理が容易になる。

  出典：令和5年度 春期 応用情報技術者試験 午前 問40（IPA）

• JVNなどの脆弱性情報サイトで採用されているCVE（Common Vulnerabilities and Exposures）識別子の説明はどれか。

  正解：製品に含まれる脆弱性を識別するための識別子

  要点：CVEは個々の脆弱性に付ける世界共通の一意な識別番号

  CVEは、公表された個別の脆弱性に対して世界共通の一意な識別番号（CVE-年-連番）を割り当てる仕組みである。同じ脆弱性を各所が別名で呼ぶ混乱を防ぎ、製品やベンダーをまたいで情報を突き合わせられるようにすることが目的である。

  出典：令和6年度 秋期 応用情報技術者試験 午前 問41（IPA）