CVE、CWE、CVSSスコアリング

CVE（Common Vulnerabilities and Exposures）は、公開されている脆弱性に付けられる標準化された識別子です。それぞれのCVEには、一意のID（例：CVE-2021-44228）、説明、パッチやアドバイザリへの参照が付与されます。

CVE IDはCVE-YEAR-NUMBERという形式です。番号部分に先頭のゼロは付かず、4桁以上になる場合があります。CVE IDはMITREが割り当て、NVDが深刻度スコアを付加して情報を充実させます。

CWE（Common Weakness Enumeration）は、特定の脆弱性そのものではなく、その根本原因となる弱点の種類を分類します。CVEはCWEに対応付けられます。弱点の種類を理解すると、安全なコードを書いて脆弱性のクラス全体を防止しやすくなります。

CVSS（Common Vulnerability Scoring System）は、深刻度を示す0.0～10.0の数値スコアを提供します。現在の標準はCVSS v3.1で、基本スコア、現状スコア、環境スコアで構成されます。

攻撃可能性のメトリクスは、脆弱性がどれほど簡単に攻撃されるかを測定します。攻撃ベクトル（ネットワーク／隣接ネットワーク／ローカル／物理）、攻撃の複雑さ、必要な権限、ユーザー関与が含まれます。

影響のメトリクスは、攻撃が成功した場合の結果を測定します。機密性への影響、完全性への影響、可用性への影響があり、それぞれ「なし」「低」「高」で評価します。

完全なCVSSベクトルは、すべてのメトリクスを簡潔な文字列にエンコードします。NVDのCVSS計算ツールなどを使うと、スコアを読み解き、環境に合わせて調整できます。

National Vulnerability Database（nvd.nist.gov）は、権威ある情報源です。CVE ID、ベンダー、製品、またはCWEで検索できます。エクスプロイトデータベース（exploit-db.com）では、CVEを実際に動作するエクスプロイトに関連付けています。

EPSS（Exploit Prediction Scoring System）は、CVEが今後30日以内に実環境で悪用される確率を予測します。CVSSが高く、EPSSも高い場合は、直ちにパッチを適用します。

すべてのCriticalなCVEが、環境に対して同じ危険性を持つとは限りません。次の点を基準に優先順位を付けます。脆弱なソフトウェアは実行中か、攻撃ベクトルは該当するか、公開エクスプロイトが存在するか、ビジネスへの影響はどの程度か、という点です。

研究者がバグを発見して報告し（多くの場合は非公開で行います）、ベンダーがパッチをリリースし、その後CVEが公開されます。パッチのリリースから悪用までの期間（パッチギャップ）は数日程度になることも多いため、パッチ管理の速さが重要です。

CVSSスコアがCriticalと見なされる範囲はどれですか。

CVEは特定の脆弱性を識別し、CWEはその根本原因となる弱点の種類を分類し、CVSSは深刻度をスコア化します。これらは、脆弱性管理で使われる共通の言語となります。CVSSスコアとEPSSの確率が高く、環境内に存在することが確認されているCVEを優先します。