prioritizing-vulnerabilities-with-cvss-scoring

CVSS スコアリングによる脆弱性の優先順位付け

概要

Common Vulnerability Scoring System（CVSS）は、FIRST（Forum of Incident Response and Security Teams）が維持管理する、脆弱性の深刻度を評価するための業界標準フレームワークです。CVSS v4.0（2023 年 11 月リリース）では、より正確なスコアリングを実現するため、指標が改良されています。このスキルでは、CVSS スコアの計算、ベクター文字列の解釈、そして脆弱性の効果的な優先順位付けに向けて、EPSS や CISA KEV などの状況要因と CVSS を併用する方法について説明します。

使用する場面

• CVSS スコアリングによる脆弱性の優先順位付けが必要なセキュリティ運用を管理するとき
• セキュリティプログラムの成熟度と運用プロセスを向上させるとき
• セキュリティチームのワークフローに関する標準化された手順を確立するとき
• 脅威インテリジェンスや脆弱性データを運用に統合するとき

前提条件

• 一般的な脆弱性の種類（バッファーオーバーフロー、インジェクション、XSS など）を理解していること
• ネットワークの概念（攻撃ベクター、プロトコル）に精通していること
• CVE を検索するために NVD（National Vulnerability Database）へアクセスできること
• 優先順位付けが必要な脆弱性スキャンの結果があること

基本概念

CVSS v4.0 の指標グループ

1. 基本指標（本質的な深刻度）

脆弱性が本質的に持つ特性を表します。

悪用可能性の指標：

• 攻撃ベクター（AV）：ネットワーク（N）、隣接（A）、ローカル（L）、物理（P）
• 攻撃の複雑さ（AC）：低（L）、高（H）
• 攻撃要件（AT）：なし（N）、あり（P）— v4.0 で新設
• 必要な特権（PR）：なし（N）、低（L）、高（H）
• ユーザーの関与（UI）：なし（N）、受動的（P）、能動的（A）— v4.0 で拡張

影響度の指標（脆弱なシステム）：

• 機密性（VC）：なし（N）、低（L）、高（H）
• 完全性（VI）：なし（N）、低（L）、高（H）
• 可用性（VA）：なし（N）、低（L）、高（H）

影響度の指標（後続システム）：

• 機密性（SC）：なし（N）、低（L）、高（H）
• 完全性（SI）：なし（N）、低（L）、高（H）
• 可用性（SA）：なし（N）、低（L）、高（H）

2. 脅威指標（動的な状況）

• エクスプロイトの成熟度（E）：攻撃中（A）、概念実証（P）、未報告（U）

3. 環境指標（組織固有）

基本指標をローカルの導入状況に合わせて変更したもの、および以下の指標です。

• 機密性の要件（CR）：高（H）、中（M）、低（L）
• 完全性の要件（IR）：高（H）、中（M）、低（L）
• 可用性の要件（AR）：高（H）、中（M）、低（L）

4. 補足指標（参考情報）

• 安全性（S）：あり（P）、無視可能（X）
• 自動化可能性（AU）：はい（Y）、いいえ（N）
• 復旧（R）：自動（A）、ユーザー（U）、復旧不能（I）
• 価値密度（V）：分散（D）、集中（C）
• 脆弱性への対応に必要な労力（RE）：低（L）、中（M）、高（H）
• プロバイダーの緊急度（U）：赤、黄、緑、クリア

CVSS v4.0 の深刻度評価

スコア範囲	深刻度
0.0	なし
0.1 - 3.9	低
4.0 - 6.9	中
7.0 - 8.9	高
9.0 - 10.0	重大

CVSS v4.0 のベクター文字列形式

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

この例は、ネットワーク経由で悪用可能で、特権もユーザーの関与も攻撃要件も必要とせず、脆弱なシステムの機密性、完全性、可用性に大きな影響を及ぼす脆弱性を表しています。

ワークフロー

ステップ 1：基本指標を評価する

脆弱性ごとに、次の項目を評価します。

Example: CVE-2024-3094 (XZ Utils Backdoor)

Attack Vector:        Network (N)     - Exploitable over network
Attack Complexity:    High (H)        - Specific conditions required
Attack Requirements:  Present (P)     - Specific build/config needed
Privileges Required:  None (N)        - No authentication needed
User Interaction:     None (N)        - No victim action needed

Vulnerable System Impact:
  Confidentiality:    High (H)        - Complete access to SSH keys
  Integrity:          High (H)        - Arbitrary code execution
  Availability:       High (H)        - Full system compromise

Subsequent System Impact:
  Confidentiality:    High (H)        - Lateral movement possible
  Integrity:          High (H)        - Network-wide compromise
  Availability:       None (N)        - No downstream availability impact

Vector: CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:N

ステップ 2：脅威インテリジェンスの状況を適用する

実際の脅威データを使って CVSS を補強します。

Exploit Maturity:     Attacked (A)    - Active exploitation in the wild
EPSS Score:           0.94            - 94% probability of exploitation in 30 days
CISA KEV:            Listed           - Mandatory remediation for federal agencies

ステップ 3：環境スコアを計算する

組織の状況に合わせて調整します。

Confidentiality Req:  High (H)        - Handles PII/financial data
Integrity Req:        High (H)        - Critical business process
Availability Req:     Medium (M)      - Has DR/failover capability

Modified Attack Vector: Network (N)   - Internet-facing deployment

Step 4: 多要素優先順位付けマトリクス

CVSS と追加の優先順位付け要素を組み合わせます:

要素	重み	ソース
CVSS 基本スコア	25%	NVD/スキャナー
EPSS スコア	25%	FIRST EPSS API
資産の重要度	20%	資産インベントリ/CMDB
CISA KEV 掲載	15%	CISA カタログ
ネットワーク露出	15%	ネットワークセグメンテーションデータ

Step 5: 修復 SLA の定義

優先度レベル	CVSS 範囲	EPSS	資産ティア	SLA
P1 - 緊急	9.0-10.0	>0.5	ティア 1	24-48 時間
P2 - 重大	7.0-8.9	>0.3	ティア 1-2	7 日
P3 - 高	7.0-8.9	<0.3	ティア 2-3	14 日
P4 - 中	4.0-6.9	任意	任意	30 日
P5 - 低	0.1-3.9	任意	任意	90 日

ベストプラクティス

1. 優先順位付けに CVSS 基本スコアだけに頼らないでください
2. 脅威インテリジェンス（EPSS、KEV、エクスプロイトデータベース）を常に取り入れてください
3. CMDB で資産の重要度評価を正確に維持してください
4. 特定のデプロイメントコンテキストに合わせて環境メトリクスを調整してください
5. チーム間で正確に情報を伝えるために CVSS v4.0 ベクター文字列を使用してください
6. 監査証跡と一貫性のために、スコアリングの根拠を文書化してください
7. 新しい脅威インテリジェンスが利用可能になったら、スコアを再評価してください
8. 修復チームに、CVSS メトリクスとベクター文字列の読み方をトレーニングしてください

よくある落とし穴

• CVSS 基本スコアを唯一の優先順位付け要素として扱うこと
• 組織のリスクを反映する環境メトリクスを無視すること
• エクスプロイトの成熟度が変わったときに脅威メトリクスを更新しないこと
• CVSS の重大度と実際の組織的リスクを混同すること
• CVSS v3.1/v4.0 ではなく、古い CVSS v2.0 スコアを使用すること
• スキャナーが提供するスコアを検証せずに過度に信頼すること

関連スキル

• prioritizing-patches-with-exploit-prediction-scoring
• implementing-risk-based-vulnerability-management
• implementing-vulnerability-remediation-sla