「CVSS」
CVSSの定義
Common Vulnerability Scoring System (CVSS) は、ソフトウェアの脆弱性の深刻度を評価し伝達するための標準化されたフレームワークです。これは、組織やセキュリティ専門家に対し、その潜在的な影響に基づいて脆弱性の修正を優先するための共通言語を提供します。
CVSSは、スコアリングシステムを使用して0.0から10.0の範囲で脆弱性を評価し、より高いスコアはより深刻な脅威を示します。このスコアリングシステムは、機密性、完全性、可用性への影響、および攻撃しやすさ、攻撃の複雑さなどの要素を考慮します。脆弱性に得点を付けることにより、CVSSは組織がセキュリティ対策を優先し、リソースを効果的に割り当てるのを助けます。
CVSSの仕組み
CVSSは、Base、Temporal、およびEnvironmentalの3つのメトリックグループを利用します。各グループは評価される脆弱性に対し、独自の観点を提供します。
Base Metrics
Baseメトリックは脆弱性の特性の基本的な指標です。これらのメトリックには以下が含まれます：
- Attack Vector: ローカルネットワークや隣接ネットワークなど、脆弱性がどのように悪用されるかを定義します。
- Attack Complexity: 脆弱性を悪用するのに必要な専門知識のレベルを示します。
- Privileges Required: 脆弱性を悪用するために攻撃者が持たなければならない権限のレベルを指定します。
- User Interaction: 脆弱性を悪用するためにユーザーの操作が必要かどうかを示します。
- Scope: 脆弱性が影響を受けるのは脆弱なコンポーネントのみか、それ以上の影響があるかを決定します。
- Confidentiality, Integrity, and Availability (CIA) Impact: 情報セキュリティのこれら3つの側面への影響を測定します。
これらのメトリックに基づいて、各脆弱性は0.0から10.0のスコアを受け取り、10.0が最も深刻です。このスコアは脆弱性の全体的なリスク評価を反映します。
Temporal Metrics
Temporalメトリックは、脆弱性の時間に基づく特性を捉えます。これらのメトリックには以下が含まれます：
- Exploit Code Maturity: 悪用が開発され、利用可能になる可能性を表します。
- Remediation Level: 脆弱性に対する修正または回避策の利用可能性を示します。
- Report Confidence: 脆弱性の存在と利用可能な情報の正確さに対する信頼レベルを反映します。
これらのメトリックにより、脆弱性の進化する性質と対抗策の利用可能性を反映するために、Baseスコアを調整できます。
Environmental Metrics
Environmentalメトリックは、環境の特有の特性に基づいてCVSSスコアをカスタマイズすることを可能にします。考慮される要因には以下が含まれます：
- Collateral Damage Potential: 脆弱性の即時範囲を超えたシステムやデータへの潜在的な影響を評価します。
- Target Distribution: 環境における脆弱なコンポーネントの普及度を考慮します。
- Confidentiality Requirement: 影響を受けるシステムやデータの機密性の重要性を反映します。
- Integrity Requirement: 影響を受けるシステムやデータの完全性の重要性を反映します。
- Availability Requirement: 影響を受けるシステムやデータの可用性の重要性を反映します。
これらの要因を考慮することで、組織は特定の状況に応じてCVSSスコアを調整し、それに応じて修正努力の優先順位を付けることができます。
予防のヒント
組織内でCVSSを効果的に活用するには、以下の予防のヒントを考慮してください：
定期的に脆弱性を評価しスコアを付ける: CVSSフレームワークを使用して、システム内の脆弱性を特定、分類、および評価する脆弱性評価を行います。この継続的なプロセスにより、環境内の脆弱性を最新の状態で把握できます。
より高いスコアの脆弱性に焦点を当てる: より高いスコアの脆弱性の修正を優先し、それらがシステムに対するより大きなリスクを表すためです。これらの脆弱性に焦点を当てることで、資源を効果的に割り当て、潜在的な脅威をより効率的に軽減できます。
最新のCVSSバージョンを常に更新する: CVSSは新たな課題を解決し、精度を向上させるために継続的に進化しています。最新のCVSSバージョンについて情報を把握し、脆弱性評価が最新の基準と最善の慣行に一致していることを確認することが重要です。
これらの予防のヒントに従うことで、CVSSフレームワークを効果的に活用し、組織のシステム内の脆弱性を評価し優先順位付けすることができ、全体的なセキュリティ体制を強化できます。
関連用語
- Vulnerability Assessment: コンピュータシステム内の脆弱性を特定、分類、および優先順位付けするプロセス。
- Exploitability: 脆弱性が悪用される可能性と、それがどれだけ容易に実施できるか。