CVSS の計算ツール(v3.1)

CVSS(共通脆弱性評価システム)は、ソフトウェアやハードウェアの脆弱性の深刻度を0.0〜10.0の数値で表す共通の物差しです。8つの基本評価基準を選ぶと、仕様書の式どおりに基本値を計算します。

基本評価基準

例ベクトル文字列(貼り付けても読み込めます) 攻撃元区分(AV) 攻撃条件の複雑さ(AC) 必要な特権レベル(PR) ユーザ関与レベル(UI) スコープ(S) 機密性への影響(C) 完全性への影響(I) 可用性への影響(A)

計算結果

基本値(Base Score): –
深刻度: –
影響度の小計(Impact): –
攻撃容易性の小計(Exploitability): –

ベクトル文字列:

FIRST の CVSS v3.1 仕様書の式で基本値だけを計算します。現状値(Temporal)・環境値(Environmental)と、2023年11月に公開された CVSS v4.0 には対応していません。

CVSS とは

CVSS(Common Vulnerability Scoring System)は、FIRST が管理する、脆弱性の深刻度を評価する共通の方法です。製品や会社が違っても同じ物差しで比べられるように、攻撃のしやすさと、攻撃が成功したときの影響を、決められた基準で選んで0.0〜10.0の数値にします。CVE の番号ごとに、NVD や JVN などのデータベースが基本値とベクトル文字列を公開しており、修正の優先順位を決める目安に使われます。

8つの基本評価基準

攻撃のしやすさを表すのが、攻撃元区分(ネットワーク・隣接・ローカル・物理)、攻撃条件の複雑さ、必要な特権レベル、ユーザ関与レベルの4つです。影響を表すのが、機密性・完全性・可用性への影響(高・低・なし)の3つです。スコープは、攻撃の影響が脆弱な部品の外(たとえばブラウザの外の OS や、仮想マシンの外のホスト)に及ぶかどうかを表します。例「Log4Shell」は、ネットワーク経由・認証なし・スコープ変更ありで影響がすべて高いので、上限の10.0になります。

計算のしかた

まず3つの影響から ISS = 1 −(1 − C)(1 − I)(1 − A)を求め、スコープ変更なしなら影響度 = 6.42 × ISS、変更ありなら 7.52 ×(ISS − 0.029)− 3.25 ×(ISS − 0.02)^15 とします。攻撃容易性は 8.22 × AV × AC × PR × UI です。影響度が0以下なら基本値は0、そうでなければ影響度と攻撃容易性の和(スコープ変更ありは1.08倍)を10で頭打ちにして、小数第1位に切り上げます。必要な特権レベルの係数は、スコープ変更ありのときだけ大きくなります。

基本値だけでは決まらないこと

基本値は、脆弱性そのものの性質から決まる値で、実際にどれだけ攻撃されているかや、自分の環境での重要度は含みません。攻撃コードが出回っているかなどは現状値、自社のシステムでの重要度は環境値で補正します。また、深刻度が高くても、ネットワークにつながっていない機器なら急ぎでないこともあります。基本値は優先順位を決める出発点であり、資産の重要度や攻撃の実態と合わせて判断します。

脆弱性の管理で使われるCVEとCVSSの説明の組み合わせとして正しいものはどれか。

ACVEは個々の脆弱性に付けられる共通の識別番号で、CVSSは脆弱性の深刻度を0.0〜10.0の数値で評価する共通の方法である
BCVEは脆弱性の深刻度を評価する数値で、CVSSは脆弱性の識別番号である
CCVEもCVSSも、ウイルス対策ソフトがマルウェアを見分けるための定義ファイルの名前である

答えと解説を見る

正解：A. CVEは個々の脆弱性に付けられる共通の識別番号で、CVSSは脆弱性の深刻度を0.0〜10.0の数値で評価する共通の方法である

CVE(Common Vulnerabilities and Exposures)は、公開された脆弱性の1つ1つに付けられる「CVE-年-番号」の形の識別番号で、製品や組織が違っても同じ脆弱性を同じ番号で呼べるようにします。CVSS(Common Vulnerability Scoring System)は、攻撃に必要な条件や、機密性・完全性・可用性への影響などから、脆弱性の深刻度を0.0〜10.0の数値で評価する共通の方法です。CVSSの基本の値は脆弱性そのものの性質を表すので、自社の環境で実際にどれだけ危険か(その機器がインターネットから届くか、攻撃が実際に観測されているかなど)も合わせて考え、修正を適用する順番を決めます。脆弱性の管理では、使っているソフトウェアと版の一覧(資産の台帳)を作り、新しい脆弱性の情報を集め、影響を評価し、パッチを適用し、適用されたことを確かめる、という流れを繰り返します。

ゼロデイ攻撃の説明として正しいものはどれか。

Aソフトウェアをインストールした日に限って行われる攻撃
B修正のプログラムが提供されてから長い年月がたった、古い脆弱性だけをねらう攻撃
Cソフトウェアの脆弱性が見つかり、開発元が修正のプログラムを提供する前(または修正が広まる前)に、その脆弱性を悪用して行われる攻撃

答えと解説を見る

正解：C. ソフトウェアの脆弱性が見つかり、開発元が修正のプログラムを提供する前(または修正が広まる前)に、その脆弱性を悪用して行われる攻撃

ゼロデイ攻撃は、脆弱性が開発元に知られていない段階や、知られていても修正のプログラム(パッチ)がまだ提供されていない段階で、その脆弱性を悪用する攻撃です。修正が公開された日を1日目と考えると、それより前(0日目)の攻撃であることから、この名前があります。パッチを当てることができないので、ほかの対策を重ねて被害を抑えることが重要です。例えば、不要なサービスを止めて攻撃される面を減らす、権限を最小にする、ネットワークを分割する、端末の不審な動きを検知して対応する仕組み(EDRなど)を使う、開発元が示す回避策を適用する、といった方法があります。修正が提供された後は、できるだけ早く適用します。

よくある質問

深刻度の区分は?

CVSS v3.1 では、0.0 がなし、0.1〜3.9 が低(Low)、4.0〜6.9 が中(Medium)、7.0〜8.9 が高(High)、9.0〜10.0 が緊急(Critical)です。日本の JVN では、低・中・高・緊急をそれぞれ注意・警告・重要・緊急と呼んでいます。

スコープの「変更あり」とは?

脆弱な部品とは別の権限の範囲(セキュリティの境界)にまで影響が及ぶ場合です。たとえば、Web アプリケーションの脆弱性で利用者のブラウザの中のスクリプトが実行される XSS や、仮想マシンの中から外のホストに影響する脆弱性が当てはまります。変更ありにすると、同じ影響でも基本値が大きくなります。

CVSS v4.0 との違いは?

FIRST は2023年11月に CVSS v4.0 を公開しました。攻撃の前提条件(AT)が加わり、スコープが廃止されて、脆弱なシステムとそれ以外への影響を分けて評価するなど、基準が変わっています。v3.1 と v4.0 の値はそのまま比べられないので、どちらの版の値かを確認して使います。

CVE や NVD との関係は?

CVE は脆弱性ごとに付けられる識別番号で、CVSS はその深刻度を表す数値です。米国の NVD や日本の JVN などのデータベースが、CVE ごとに CVSS の値とベクトル文字列を公開しています。同じ脆弱性でも、評価する組織によって値が違うことがあります。