CPE（共通プラットフォーム一覧）とは？

CPE（共通プラットフォーム一覧）の意味

製品やOSを「ベンダ:製品名:バージョン」の形で機械可読に識別するための命名規則。脆弱性情報と自組織の資産台帳を突き合わせ、影響を受ける機器やソフトを自動的に洗い出すための共通の鍵になる。

CPE（共通プラットフォーム一覧）の具体例

資産管理ツールが検出したソフトウェアへCPEを付与しておけば、新しい脆弱性が公開された瞬間に該当台数を一覧できる。SBOMのコンポーネント情報と組み合わせれば、同梱ライブラリまで追跡できる。

CPE（共通プラットフォーム一覧）は試験でどう引っ掛けられる？

表記ゆれや粒度の違いから、同じ製品に複数のCPEが割り当てられたり、そもそも付与されなかったりする。CPEが一致しないという理由だけで「影響なし」と結論づけると取りこぼしが生じる。

CPE（共通プラットフォーム一覧）と関連する用語

• CVE
• SCAP
• SBOM

CPE（共通プラットフォーム一覧）が出た過去問

• JVNなどの脆弱性対策情報ポータルサイトで採用されているCVE(Common Vulnerabilities and Exposures)識別子の説明はどれか。

  正解：製品に含まれる脆弱性を識別するための識別子

  要点：CVEは個々の脆弱性に付ける共通の識別番号

  CVEは、個別の製品に存在する脆弱性そのものに一意の識別子（CVE-西暦-連番）を付ける仕組みで、MITREが採番している。異なるベンダーや情報源が同じ脆弱性を指していることを照合できるようにするのが目的であり、JVNやNVDなどのポータルで共通の見出しとして使われる。設定項目の識別はCCE、製品の識別はCPEと、対象ごとに別の体系が用意されている。

  出典：令和3年度 春期 情報処理安全確保支援士試験 am2 問8（IPA）

• 脆弱性管理、測定、評価を自動化するためにNISTが策定した基準はどれか。

  正解：SCAP (Security Content Automation Protocol)

  要点：SCAPは脆弱性管理と評価を自動化するNISTの仕様群

  SCAPは、脆弱性や設定に関する情報を機械可読な形式で表現し、その管理・測定・評価を自動化するためにNISTが定めた仕様群である。脆弱性の識別子であるCVE、深刻度を数値化するCVSS、設定項目の識別子CCE、製品識別子CPEなどの標準を組み合わせて構成される。共通の識別子を用いることで、異なる製品間で脆弱性情報を突き合わせ、自動的に評価できる。

  出典：令和5年度 秋期 情報処理安全確保支援士試験 am2 問12（IPA）