CVSS v3の評価基準｜情報処理安全確保支援士 平成30年 春期午前Ⅱ試験 問1
出典：平成30年春期 午前Ⅱ 問1
分野：セキュリティ ／ セキュリティ技術評価
CVSS v3の評価基準には，基本評価基準，現状評価基準，環境評価基準の三つがある。基本評価基準の説明はどれか。
- ア：機密性への影響，どこから攻撃が可能かといった攻撃元区分，攻撃する際に必要な特権レベルなど，脆弱性そのものの特性を評価する。
- イ：攻撃される可能性，利用可能な対策のレベル，脆弱性情報の信頼性など，評価時点における脆弱性の特性を評価する。
- ウ：脆弱性を悪用した攻撃シナリオについて，機会，正当化，動機の三つの観点から，脆弱性が悪用される基本的なリスクを評価する。
- エ：利用者のシステムやネットワークにおける情報セキュリティ対策など，攻撃の難易度や攻撃による影響度を再評価し，脆弱性の最終的な深刻度を評価する。
TSUNAGARU-ADVICE
まず押さえたいこと
CVSS v3の基本評価基準は、脆弱性そのものがもつ技術的な特性を評価する基準です。攻撃元区分、攻撃条件、必要な特権レベル、利用者関与の要否、機密性・完全性・可用性への影響などを見て、脆弱性自体の深刻度を評価します。
迷ったときの判断軸
攻撃される可能性、対策レベル、情報の信頼性などは現状評価基準です。利用者のシステム環境や対策状況を踏まえて再評価するものは環境評価基準です。また、機会・正当化・動機は不正の3要素であり、CVSSの基本評価基準ではありません。基本評価基準は、時間や利用環境に左右されにくい脆弱性そのものの性質と判断しましょう。
科目Bにつなげるために
科目Bでは、脆弱性情報・CVSSスコア・対策優先度・影響範囲・パッチ適用判断などを組み合わせて問われることがあります。CVSSはスコアだけを見るのではなく、どこから攻撃できるのか、権限が必要か、CIAにどの影響があるかを読み取る視点を持ちましょう。
CVSSは、脆弱性の深刻度を共通の基準で点数化する仕組みです。
脆弱性は、製品やベンダーごとに表現がばらつくと、どれを優先して対応すべきか判断しにくくなります。そこでCVSSでは、脆弱性の危険度を0～10.0のスコアで表し、同じ基準で比較できるようにしています。
基本評価基準は、脆弱性そのものの性質を見る評価です。たとえば、機密性・完全性・可用性への影響、攻撃に必要な条件、必要な権限などをもとに評価します。
現状評価基準は、その脆弱性が今どれくらい危険な状態にあるかを見る評価です。たとえば、攻撃コードが公開されているか、修正パッチがあるか、対策方法が確立しているかなどによって変わります。
環境評価基準は、自社や利用者の環境ではどれくらい影響が大きいかを見る評価です。同じ脆弱性でも、重要なシステムで使っている場合と、影響の小さい環境で使っている場合では、対応優先度が変わります。
つまりCVSSは、「脆弱性がどれくらい危険か」を点数で表し、対応の優先順位を決めやすくするための評価方法です。
したがって、アが適切です。
❌他選択肢が誤りの理由イ：攻撃される可能性，利用可能な対策のレベル，脆弱性情報の信頼性など，評価時点における脆弱性の特性を評価する。
⇒現状評価基準の説明です。攻撃コードの成熟度、利用可能な対策の状況、脆弱性情報の信頼性など、評価時点における変化する要素を評価します。
ウ：脆弱性を悪用した攻撃シナリオについて，機会，正当化，動機の三つの観点から，脆弱性が悪用される基本的なリスクを評価する。
⇒不正のトライアングルに関する説明です。機会、正当化、動機は不正行為が発生する要因を整理する考え方であり、CVSSの基本評価基準ではありません。
エ：利用者のシステムやネットワークにおける情報セキュリティ対策など，攻撃の難易度や攻撃による影響度を再評価し，脆弱性の最終的な深刻度を評価する。
⇒環境評価基準の説明です。利用者固有のシステム構成や重要度、実施済みの対策などを反映して、最終的な深刻度を評価します。