優先順位付け：CVSS、EPSS、KEV

一般的なエンタープライズスキャンでは、数千件の検出結果が返されます。一度にすべてを修正することはできないため、優先順位付けによって最初に是正する対象を決めます。適切に行えば実際のリスクを素早く削減できますが、誤ると理論上の問題に労力を費やし、悪用されているバグを未修正のままにしてしまいます。

現代の優先順位付けの基盤となるデータソースは、CVSS、EPSS、KEVの3つです。

共通脆弱性評価システム（CVSS）は、脆弱性の本質的な深刻度を0.0から10.0の尺度で評価します。攻撃ベクトル、攻撃の複雑さ、必要な権限、機密性・完全性・可用性への影響を考慮します。

CVSSが答えるのは、悪用された場合、どの程度深刻かです。悪用される可能性を示すものではありません。

CVSSには3つの指標グループがあります。

• 基本 — 本質的で変化しない特性（多くの人が口にするスコア）。
• 時間 — 時間の経過によって変化する要素（エクスプロイトの成熟度、修正レベル）。
• 環境 — 固有のコンテキスト（資産の重要度、緩和策）。

ほとんどのチームは基本スコアしか使わず、環境スコアを無視しています。しかし、優先度を調整すべきなのはまさにこのコンテキストです。

CVSSだけを基準にパッチを適用すると、チームに過大な負荷がかかります。CVEの大部分はHighまたはCriticalのスコアですが、実際に現実世界で悪用されるのはごく一部です。

すべての9.8を同じように優先すると、ランサムウェア攻撃で現在悪用されている脆弱性よりも、到達しにくい脆弱性を先に修正することになりかねません。深刻度は必要ですが、それだけでは不十分です。

悪用予測スコアリングシステム（EPSS）は、現実世界の脅威データと機械学習に基づき、今後30日間に脆弱性が現実世界で悪用される確率（0～1）を推定します。

EPSSが答えるのは、これが近いうちに実際に攻撃される可能性はどの程度かです。CVSSが同じであっても、EPSSが0.001のCVEより、0.92のCVEのほうがはるかに緊急に対応する価値があります。

EPSSは、確率とパーセンタイル（すべてのCVEに対する順位）の2つの数値を示します。パーセンタイルが0.99の場合、悪用される可能性が最も高いものの1つであることを意味します。

EPSSは閾値フィルターとして使用します。たとえば、CVSSに関係なく、設定した確率を超えるものをすべてエスカレーションします。脅威の状況に応じてEPSSは毎日更新されるため、定期的に再評価してください。

CISAは既知の悪用された脆弱性（KEV）カタログを管理しています。これは、現実世界での悪用が確認・観測されたCVEの一覧です。

CVEがKEVに含まれている場合、それは理論上の脅威ではなく、攻撃者が現在利用している脆弱性です。KEVは、是正を急ぐべきことを示す単一のシグナルとして最も強力であり、米国の連邦政府機関には、定められた期限内にKEV項目を修正することが義務付けられています。

シグナルは互いに補完し合います:

• KEV — 実際に悪用されていることが確認済み（今すぐ修正）。
• EPSS — 近い将来に悪用される可能性の予測。
• CVSS — 悪用された場合の影響。

実務上のルールは次のとおりです: KEVに含まれるものは最優先とし、その後は資産コンテキストを加味して、EPSSが高くCVSSも高いものから順位付けします。

同じCVEでも、資産によって実際のリスクは異なります。技術的なスコアに資産コンテキストを掛け合わせて評価します:

• 資産はインターネットに公開されていますか、それとも内部専用ですか?
• 機密データを保持している、または重要なサービスを実行していますか?
• 代替制御（WAF、セグメンテーション）は導入されていますか?

これはCVSSのEnvironmental（環境）という考え方をプログラムで適用したものです: 孤立したテスト用ボックスよりも、外部公開された重要資産を優先します。

実用的なスコアリングモデル:

• KEVに含まれるか → 即時対応とし、他のすべてに優先します。
• EPSSがしきい値を超え、かつインターネットに公開されているか → 緊急対応。
• CVSSは高いがEPSSは低く、内部向けか → 通常のキュー。
• すべて低いか → 通常のパッチ適用とまとめて処理。

優先順位付けが場当たり的ではなく、一貫性があり説明可能になるよう、モデルを文書化します。

避けるべき落とし穴:

• CVSS Baseをリスク全体の判断材料とみなすこと。
• CVSSが中程度に見えるからとKEVを無視すること（KEVの登録項目には9以上でないものもあります）。
• 再評価しないこと: EPSSとKEVは変化するため、定期的に順位を付け直します。
• 資産コンテキストを忘れること。これによって検出結果の深刻度が低から重大へ変わる場合があります。

各シグナルが実際に何を測定しているか確認します。

優先順位付けでは、影響に対するCVSS、悪用される可能性の予測に対するEPSS、実際に悪用されていることの確認に対するKEVという、3つのシグナルを組み合わせます。KEVに含まれる項目には直ちに対応し、それ以外は資産の公開状況と価値を加味して、EPSSとCVSSの順位に基づいて対応します。

CVSSだけでパッチ適用を決めることは避け、データの変化に応じて順位を付け直し、モデルを文書化します。次は、パッチ管理とSLAによって、優先順位付けした検出結果を修正完了まで導きます。