CVE識別子の説明｜情報処理安全確保支援士 平成29年 春期午前Ⅱ試験 問10
出典：平成29年春期 午前Ⅱ 問10
分野：セキュリティ ／ 情報セキュリティ管理
JVN（Japan Vulnerability Notes）などの脆弱性対策ポータルサイトで採用されているCVE（Common Vulnerabilities and Exposures）識別子の説明はどれか。
- ア：コンピュータで必要なセキュリティ設定項目を識別するための識別子である。
- イ：脆弱性を利用して改ざんされたWebサイトのスクリーンショットを識別するための識別子である。
- ウ：製品に含まれる脆弱性を識別するための識別子である。
- エ：セキュリティ製品を識別するための識別子である。
TSUNAGARU-ADVICE
まず押さえたいこと
CVE識別子は、製品に含まれる脆弱性を一意に識別するための識別子です。JVNなどの脆弱性対策ポータルサイトでは、脆弱性情報を整理し、関係者が同じ脆弱性について共通の番号で参照できるようにするために使われます。ポイントは、脆弱性そのものを識別する番号であることです。
迷ったときの判断軸
セキュリティ設定項目を識別するものではなく、改ざんされたWebサイトのスクリーンショットやセキュリティ製品を識別するものでもありません。CVEは「Common Vulnerabilities and Exposures」という名称どおり、公開された脆弱性情報を共通IDで管理する仕組みと判断しましょう。
科目Bにつなげるために
科目Bでは、JVN・CVE・CVSS・パッチ適用・脆弱性管理台帳・影響調査などと絡めて問われることがあります。CVEで脆弱性を特定し、CVSSで深刻度を確認し、自組織の製品やバージョンに影響するかを調べるという、脆弱性対応の流れを押さえておきましょう。
CVE識別子は、ソフトウェアやハードウェアなどの製品に含まれる、個々の脆弱性を一意に識別するための共通識別子です。
「CVE-西暦年-番号」という形式で付与され、異なる脆弱性情報サイトやセキュリティ製品の間でも、同じ脆弱性を共通の番号で特定できるようにします。
したがって、ウが適切です。
また、脆弱性対策関連の用語として下記もよく問われます。あわせて理解しておきましょう。おきましょう。- CCE：共通セキュリティ設定一覧
- CWE：共通脆弱性タイプ一覧
- CPE：共通プラットフォーム一覧
- CVSS：共通脆弱性評価システム
❌他選択肢が誤りの理由ア：コンピュータで必要なセキュリティ設定項目を識別するための識別子である。
⇒セキュリティ設定項目を識別する識別子には、CCEなどがあります。CVEは設定項目ではなく、製品に含まれる個々の脆弱性を識別します。
イ：脆弱性を利用して改ざんされたWebサイトのスクリーンショットを識別するための識別子である。
⇒CVEは、改ざんされたWebサイトの画像やスクリーンショットを管理するものではありません。脆弱性そのものに付与される識別子です。
エ：セキュリティ製品を識別するための識別子である。
⇒CVEは、セキュリティ製品を識別する番号ではありません。ベンダーや製品が異なっていても、共通する特定の脆弱性を識別するために利用されます。