情報セキュリティの基礎
脆弱性の管理で使われるCVEとCVSSの説明の組み合わせとして正しいものはどれか。
- ACVEは個々の脆弱性に付けられる共通の識別番号で、CVSSは脆弱性の深刻度を0.0〜10.0の数値で評価する共通の方法である
- BCVEは脆弱性の深刻度を評価する数値で、CVSSは脆弱性の識別番号である
- CCVEもCVSSも、ウイルス対策ソフトがマルウェアを見分けるための定義ファイルの名前である
答えと解説を見る
正解：A. CVEは個々の脆弱性に付けられる共通の識別番号で、CVSSは脆弱性の深刻度を0.0〜10.0の数値で評価する共通の方法である
CVE(Common Vulnerabilities and Exposures)は、公開された脆弱性の1つ1つに付けられる「CVE-年-番号」の形の識別番号で、製品や組織が違っても同じ脆弱性を同じ番号で呼べるようにします。CVSS(Common Vulnerability Scoring System)は、攻撃に必要な条件や、機密性・完全性・可用性への影響などから、脆弱性の深刻度を0.0〜10.0の数値で評価する共通の方法です。CVSSの基本の値は脆弱性そのものの性質を表すので、自社の環境で実際にどれだけ危険か(その機器がインターネットから届くか、攻撃が実際に観測されているかなど)も合わせて考え、修正を適用する順番を決めます。脆弱性の管理では、使っているソフトウェアと版の一覧(資産の台帳)を作り、新しい脆弱性の情報を集め、影響を評価し、パッチを適用し、適用されたことを確かめる、という流れを繰り返します。
- A. 正しい。CVEは脆弱性の識別番号、CVSSは深刻度を数値で評価する方法です。
- B. 2つの説明が逆です。
- C. どちらも定義ファイルではありません。CVEは識別番号、CVSSは深刻度を評価する方法です。