CVSSスコアリングと脆弱性の優先順位付け

脆弱性スキャンを実行すると、組織のシステム全体で数百、数千もの脆弱性が見つかることがあります。すべてを直ちに修正しようとしても、現実的でも戦略的でもありません。リソースには限りがあり、すべての脆弱性が同じリスクを持つわけではないためです。脆弱性の優先順位付けとは、組織にとっての実際のリスクに基づいて脆弱性を順位付けし、最も危険な問題から対処するプロセスです。効果的な優先順位付けにより、重大なリモートコード実行の脆弱性が対応待ちになっている一方で、軽微な見た目上の問題を修正してしまうという、よくある誤りを防げます。

Common Vulnerability Scoring System (CVSS)は、セキュリティ脆弱性の深刻度を表す標準化された数値スコア（0.0～10.0）を提供するオープンなフレームワークです。CVSSはFIRST (Forum of Incident Response and Security Teams) によって維持されており、NVD (National Vulnerability Database) で使用される主要なスコアリングシステムです。現在のバージョンであるCVSS v3.1では、3つのメトリクスグループに基づいてスコアを算出します。Base（脆弱性固有の特性）、Temporal（時間の経過で変化する要因）、Environmental（組織固有の補正要素）です。必須なのはBase Scoreだけで、その他は任意の補正項目です。

Base Scoreは、2つのメトリクスグループから算出されます。Exploitability metricsは、脆弱性がどのように攻撃されるかを表します。Attack Vector (AV)はNetwork（リモート）、Adjacent、Local、Physicalのいずれか、Attack Complexity (AC)はLowまたはHigh、Privileges Required (PR)はNone、Low、Highのいずれか、User Interaction (UI)はNoneまたはRequiredです。ネットワーク経由で悪用でき、認証もユーザー操作も必要ない脆弱性は、Exploitabilityで最高のスコアになります（AV:N/AC:L/PR:N/UI:N）。これらの要素がImpact metricsと組み合わされ、Base Scoreが算出されます。

Impact metricsは、脆弱性が悪用された場合にCIAトライアドの3つの側面へ及ぶ結果を測定します。Confidentiality Impact (C)はNone、Low、Highのいずれかで、どれだけのデータが開示される可能性があるかを表します。Integrity Impact (I)はNone、Low、Highのいずれかで、どれだけのデータが変更される可能性があるかを表します。Availability Impact (A)はNone、Low、Highのいずれかで、サービスがどの程度中断されるかを表します。Scope (S)はUnchangedまたはChangedのいずれかで、脆弱性の影響が脆弱なコンポーネントの範囲を越えて、他のコンポーネントやシステムに及ぶかどうかを表します。ScopeがChangedの場合、脆弱性が正常に悪用されると初期の範囲を越えてシステムに影響を与えられるため、スコアが大幅に高くなります。

Temporal metricsは、時間の経過で変化する要因に基づいてBase Scoreを調整します。Exploit Code Maturity (E)は、動作するエクスプロイトが存在するかどうかを表します（Unproven、Proof-of-Concept、Functional、High）。一般公開されている実用的なエクスプロイトがある脆弱性は、既知のエクスプロイトがない脆弱性より緊急度が高くなります。Remediation Level (RL)はOfficial Fix、Temporary Fix、Workaround、Unavailableのいずれかです。ベンダーの公式パッチがある脆弱性は、修正方法がない脆弱性に比べて緊急度が低くなります。Report Confidence (RC)はUnknown、Reasonable、Confirmedのいずれかです。確認済みで広く再現されている脆弱性は、未確認の報告より信頼性の高い評価が可能です。

Environmental metricsを使用すると、組織は自組織の具体的な状況に基づいてCVSSスコアをカスタマイズできます。Modified Base Metricsでは、環境を反映するためにBaseの任意のメトリクスを変更できます（たとえば、ネットワークからアクセス可能な脆弱性でも、特定の構成でそのサービスにローカルからしかアクセスできない場合は、AV:Lになることがあります）。CIA Requirementの値（Low、Medium、High）は、CIAの各側面が組織にとってどれほど重要かを表します。たとえば、病院では患者監視システムのAvailabilityをHighと評価する一方、研究機関ではConfidentialityを最も高く評価する場合があります。Environmentalによるスコアリングにより、CVSSは状況を考慮したものとなり、実際の優先順位付けの判断にさらに役立ちます。

CVSSと連携して機能する関連システムが3つあります。CVE (Common Vulnerabilities and Exposures)は、公開されている既知のセキュリティ脆弱性の一覧で、各脆弱性には一意の識別子が付与されます（CVE-2021-44228はLog4Shellです）。CWE (Common Weakness Enumeration)は、ソフトウェアの弱点の種類を分類します（CWE-79はXSS、CWE-89はSQL Injectionです）。特定の脆弱性インスタンスではなく、根本原因を分類するものです。NVD (National Vulnerability Database)は、CVEエントリにCVSSスコア、参照情報、影響を受ける製品の範囲、修正リンクなどを追加します。セキュリティチームは、ソフトウェア資産に関係する新しいCVEの通知を受け取るために、NVDとベンダーのアドバイザリを購読します。

CVSSスコアは技術的な深刻度を単独で表すものであり、組織の状況は考慮しません。リスクベースの優先順位付けでは、次の要素に基づいて修正の緊急度を調整します。資産の重要度（重要なERPシステムはテストサーバーより優先度が高くなります）、実環境での悪用状況（CISAのKEV — Known Exploited Vulnerabilitiesカタログ — には、実際に悪用されているCVEが掲載されています）、公開範囲（脆弱なシステムがインターネットに公開されているか）、代替的な防御策（攻撃経路をWAFがブロックしているか）です。インターネットに公開された重要な業務システムにあるCVSS 7.5の脆弱性で、公開エクスプロイトが存在するものは、隔離された内部テストサーバーにあるCVSS 9.0の脆弱性よりはるかに緊急性が高い場合があります。

いくつかのフレームワークやツールによって、CVSSに基づく優先順位付けをさらに強化できます。EPSS (Exploit Prediction Scoring System)は、脅威インテリジェンスのデータに機械学習を適用し、今後30日以内にCVEが実環境で悪用される確率を推定します。EPSSがHighでCVSSもHighの場合、最優先で対応します。SSVC (Stakeholder-Specific Vulnerability Categorization)は、CISAとCarnegie Mellonによる意思決定ツリーで、悪用状況、安全性や重要インフラへの影響、システムがミッションクリティカルかどうかを考慮します。これらのフレームワークにより、CVSSスコア順に並べるだけでなく、真にリスクを考慮した修正判断を行えるようになります。

セキュリティ担当者は、経営陣の意思決定に役立つよう、技術的なCVSSスコアをビジネスの言葉に置き換える必要があります。「公開WebサーバーにCVSS 9.8の認証不要RCEがあります」と言う代わりに、「インターネット上の攻撃者が認証情報なしで顧客向けWebサイトを完全に制御でき、50万件すべての顧客レコードや決済処理システムにアクセスされる可能性があります。ベンダーのパッチを適用するか、24時間以内にサーバーをオフラインにする必要があります」と伝えます。ビジネスへの影響（リスクにさらされるデータ、金銭的損失、規制上の影響）を示すほうが、生のスコアだけを示すよりも経営陣の迅速な意思決定につながります。

脆弱性の優先順位付けは、効果的なパッチ管理プロセスと連携して初めて価値を発揮します。脆弱性管理のライフサイクルには、Identify（スキャン）、Analyze（CVSSと状況の分析）、Prioritize（リスク順位付けとSLAの設定）、Remediate（SCCM/Intune/Ansibleによるパッチ展開）、Verify（再スキャンによる適用確認）、Report（経営陣への傾向報告）が含まれます。パッチ管理ツールは大規模な展開を自動化し、パッチが適用されたシステムと、依然として脆弱性にさらされているシステムを追跡します。修正SLAの計測は脆弱性が発見された時点で始まるため、スキャン頻度は平均修正時間に直接関係します。

このレッスンでは、次のことを学びました。CVSSは、Base（悪用可能性と影響）、Temporal（エクスプロイトの成熟度と修正方法の提供状況）、Environmental（組織の状況）のメトリクスを使用して、脆弱性を0.0～10.0の尺度で評価します。CISAのKEVカタログとEPSSスコアは、実環境で現在悪用されている脆弱性を特定することで、CVSSに基づく優先順位付けを強化します。また、効果的な脆弱性管理では、スキャン結果を重大度ごとに定義されたSLAを持つパッチ管理ワークフローに結び付けます。これで脆弱性管理モジュールは完了です。次はアプリケーションセキュリティとOWASP Top 10について学びます。