CVE識別子の説明｜情報処理安全確保支援士 平成30年 秋期午前Ⅱ試験 問2
出典：平成30年秋期 午前Ⅱ 問2
分野：セキュリティ ／ 情報セキュリティ管理
JVNなどの脆弱性対策情報ポータルサイトで採用されているCVE（Common Vulnerabilities and Exposures）識別子の説明はどれか。
- ア：コンピュータで必要なセキュリティ設定項目を識別するための識別子
- イ：脆弱性が悪用されて改ざんされたWebサイトのスクリーンショットを識別するための識別子
- ウ：製品に含まれる脆弱性を識別するための識別子
- エ：セキュリティ製品を識別するための識別子
TSUNAGARU-ADVICE
まず押さえたいこと
CVE識別子は、ソフトウェアやハードウェアなどの製品に含まれる脆弱性を一意に識別するための識別子です。脆弱性情報を共有するときに、同じ脆弱性を指していることを明確にするため、CVE-年-番号の形式で管理されます。
迷ったときの判断軸
セキュリティ設定項目を識別するものはCVEではなく、設定チェックやベンチマークに関係する識別情報です。改ざんされたWebサイトのスクリーンショットや、セキュリティ製品を識別するためのものでもありません。CVEは、脆弱性そのものを識別する共通番号と判断しましょう。
科目Bにつなげるために
科目Bでは、JVN・CVE・CVSS・CPEなどを組み合わせて、脆弱性情報の収集・影響製品の特定・深刻度評価・対策要否の判断が問われることがあります。CVEは脆弱性の識別番号であり、深刻度を表すCVSSや製品を識別するCPEとは役割が異なる点を整理しておきましょう。
CVE識別子は、ソフトウェアやハードウェアなどの製品に含まれる、個別の脆弱性を一意に識別するための識別子です。
同じ脆弱性が複数のベンダや脆弱性情報サイトで異なる名称で扱われることを防ぎ、共通の番号で情報を対応付けられるようにします。一般に「CVE-西暦-番号」の形式で表されます。
したがって、ウが適切です。
❌他選択肢が誤りの理由ア：コンピュータで必要なセキュリティ設定項目を識別するための識別子
⇒CCEの説明です。CCEは、OSやソフトウェアなどのセキュリティ設定項目を識別するための識別子です。CVEは設定項目ではなく、製品に含まれる脆弱性を識別します。
イ：脆弱性が悪用されて改ざんされたWebサイトのスクリーンショットを識別するための識別子
⇒CVEに、改ざんされたWebサイトのスクリーンショットを識別する機能はありません。CVEは、脆弱性そのものに共通の識別番号を付与する仕組みです。
エ：セキュリティ製品を識別するための識別子
⇒CVEは、セキュリティ製品の種類や製品名を識別するものではありません。ソフトウェアやハードウェアなどに存在する個別の脆弱性を識別するために用いられます。