JVNなどの脆弱性対策情報ポータルサイトで採用されているCVE(Common Vulnerabilities and Exposures)識別子の説明はどれか。

選択肢

• アコンピュータで必要なセキュリティ設定項目を識別するための識別子
• イ脆弱性が悪用されて改ざんされたWebサイトのスクリーンショットを識別するための識別子
• ウ製品に含まれる脆弱性を識別するための識別子
• エセキュリティ製品の種別を識別するための識別子

正解と解説

正解：ウ 製品に含まれる脆弱性を識別するための識別子

CVEは、個別の製品に存在する脆弱性そのものに一意の識別子（CVE-西暦-連番）を付ける仕組みで、MITREが採番している。異なるベンダーや情報源が同じ脆弱性を指していることを照合できるようにするのが目的であり、JVNやNVDなどのポータルで共通の見出しとして使われる。設定項目の識別はCCE、製品の識別はCPEと、対象ごとに別の体系が用意されている。

選択肢ごとの解説

• アセキュリティ設定項目に付与されるのはCCEである。
• イ改ざんされたサイトの画像に識別子を付ける仕組みは存在しない。
• ウ正解。製品に含まれる個々の脆弱性を一意に識別する。
• エ製品そのものの識別はCPEが担い、CVEの役割ではない。

同じ分野の他の問題

• JVNなどの脆弱性対策ポータルサイトで採用されているCWEはどれか。2024年度 春期 午前II 問9
• JVNなどの脆弱性対策情報ポータルサイトで採用されているCVE(Common Vulnerabilities and E…2018年度 秋期 午前II 問2
• JVNなどの脆弱性対策ポータルサイトで採用されているCVE（Common Vulnerabilities and Exp…2017年度 春期 午前II 問10
• ソフトウェアの脆弱性管理のためのツールとしても利用されるSBOM(Software Bill of Materials)…2024年度 春期 午前II 問17
• 脆弱性管理、測定、評価を自動化するためにNISTが策定した基準はどれか。2023年度 秋期 午前II 問12