CVSSとは？

CVSSの意味

脆弱性の深刻度を共通の尺度で数値化する仕組み。基本評価基準（脆弱性そのものの変化しない特性：攻撃元区分、複雑さ、必要な権限、機密性・完全性・可用性への影響）、現状評価基準（攻撃コードの成熟度や対策の状況といった時間で変わる要素）、環境評価基準（利用者の環境における重要度や緩和策）の3つで構成される。

CVSSの具体例

0.0〜10.0のスコアで表し、緊急・重要・警告・注意といった深刻度に対応づける。

CVSSは試験でどう引っ掛けられる？

基本評価基準は時間が経っても変化しない。攻撃コードが出回った状況を反映するのは現状評価基準、自組織の資産価値を反映するのは環境評価基準。

CVSSと関連する用語

• CVE
• KEV
• 脆弱性管理

CVSSが出た過去問

• 基本評価基準，現状評価基準，環境評価基準の三つの基準で情報システムの脆弱性の深刻度を評価するものはどれか。

  正解：CVSS

  要点：CVSSは基本・現状・環境の3基準で脆弱性を評価する

  CVSSは脆弱性の深刻度を共通の尺度で評価する枠組みで、脆弱性そのものの特性を評価する基本評価基準、攻撃コードの出回りや対策状況といった時間経過で変わる要素を評価する現状評価基準、利用環境における影響度を評価する環境評価基準の三つで構成される。ベンダに依存しない共通指標として脆弱性情報の共有に用いられる。

  出典：平成29年度 秋期 情報処理安全確保支援士試験 am2 問13（IPA）

• CVSS v3の評価基準には,基本評価基準,現状評価基準,環境評価基準の三つがある。基本評価基準の説明はどれか。

  正解：機密性への影響,どこから攻撃が可能かといった攻撃元区分,攻撃する際に必要な特権レベルなど,脆弱性そのものの特性を評価する。

  要点：基本評価基準は脆弱性そのものの不変な性質を測る指標

  CVSS v3の基本評価基準（Base Metrics）は、脆弱性そのものが本質的に持つ特性を、時間や利用環境に左右されない形で評価する指標群である。攻撃元区分（AV）、攻撃条件の複雑さ（AC）、必要な特権レベル（PR）、利用者の関与（UI）といった攻撃可能性の指標と、機密性・完全性・可用性への影響度で構成される。一度算出すれば値は変わらず、CVE等で公表される「深刻度スコア」は通常この基本値を指す。

  出典：平成30年度 春期 情報処理安全確保支援士試験 am2 問1（IPA）

• 基本評価基準、現状評価基準、環境評価基準の三つの基準で情報システムの脆弱性の深刻度を評価するものはどれか。

  正解：CVSS

  要点：CVSSは基本・現状・環境の三基準で脆弱性を点数化する

  CVSSは脆弱性の深刻度を共通の尺度で数値化する評価手法で、脆弱性そのものの特性を評価する基本評価基準、攻撃コードの出回り具合や対策状況といった時間変化を評価する現状評価基準、利用環境における影響度を評価する環境評価基準の三つで構成される。

  出典：令和1年度 秋期 情報処理安全確保支援士試験 am2 問9（IPA）

• 脆弱性管理、測定、評価を自動化するためにNISTが策定した基準はどれか。

  正解：SCAP (Security Content Automation Protocol)

  要点：SCAPは脆弱性管理と評価を自動化するNISTの仕様群

  SCAPは、脆弱性や設定に関する情報を機械可読な形式で表現し、その管理・測定・評価を自動化するためにNISTが定めた仕様群である。脆弱性の識別子であるCVE、深刻度を数値化するCVSS、設定項目の識別子CCE、製品識別子CPEなどの標準を組み合わせて構成される。共通の識別子を用いることで、異なる製品間で脆弱性情報を突き合わせ、自動的に評価できる。

  出典：令和5年度 秋期 情報処理安全確保支援士試験 am2 問12（IPA）

• 様々なサイバー攻撃手法を分類したナレッジベースはどれか。

  正解：MITRE ATT&CK

  要点：MITRE ATT&CKは攻撃の戦術と技術を体系化したナレッジベース

  MITRE ATT&CKは、実際に観測された攻撃者の戦術(Tactics)と技術(Techniques)を体系的に分類・整理したナレッジベースで、防御側が自組織の検知能力を評価する際の共通言語として使われる。よってイが正しい。CVSSは脆弱性の深刻度を数値化する評価指標、STIX/TAXIIは脅威情報の記述形式と交換手順、サイバーキルチェーンは攻撃の段階モデルであり、いずれも手法の分類体系ではない。

  出典：令和6年度 秋期 情報処理安全確保支援士試験 am2 問3（IPA）