共通脆弱性評価システム(CVSS)の特徴として、適切なものはどれか。

選択肢

• アCVSS v2とCVSS v3.0は、脆弱性の深刻度の算出方法が同じであり、どちらのバージョンで算出しても同じ値になる。
• イ脆弱性の深刻度に対するオープンで汎用的な評価手法であり、特定ベンダに依存しない評価方法を提供する。
• ウ脆弱性の深刻度を0から100の数値で表す。
• エ脆弱性を評価する基準は、現状評価基準と環境評価基準の二つである。

正解と解説

正解：イ 脆弱性の深刻度に対するオープンで汎用的な評価手法であり、特定ベンダに依存しない評価方法を提供する。

CVSSは、脆弱性の深刻度を共通の物差しで評価するためのオープンな枠組みで、特定のベンダや製品に依存しない評価を可能にする。評価は基本評価基準、現状評価基準、環境評価基準の3つからなり、スコアは0.0から10.0で表される。バージョンによって評価項目や算出方法が異なるため、v2とv3のスコアを直接比較することはできない。

選択肢ごとの解説

• アv2とv3では評価項目も算出方法も異なり、同じ値にはならない。
• イ正解。ベンダに依存しないオープンで汎用的な深刻度評価手法である。
• ウスコアの範囲は0.0〜10.0であり、0〜100ではない。
• エ評価基準は基本・現状・環境の3つであり、2つではない。

同じ分野の他の問題

• 外部から侵入されたサーバ及びそのサーバに接続されていた記憶媒体を調査対象としてデジタルフォレンジックスを行うことになった…2025年度 秋期 午前II 問25
• 多要素認証疲労攻撃の例はどれか。2025年度 秋期 午前II 問23
• 公開された実証コード（PoC：Proof of Concept）を使って、インターネットからWebサーバを狙う攻撃がある…2024年度 秋期 午前II 問25
• JPCERTコーディネーションセンター“CSIRTガイド”におけるインシデントマネジメントの業務のうち、インシデントハン…2024年度 秋期 午前II 問24
• 複数のシステムやサービスの間で利用されるSAMLはどれか。2024年度 秋期 午前II 問23