脆弱性検査と脆弱性管理

脆弱性検査は、ソフトウェアや機器に潜む欠陥を見つけ出し、攻撃者に悪用される前に対処するための活動である。脆弱性管理は、検査結果や公開された脆弱性情報を継続的に把握し、修正や影響の抑止を計画的に進める取組み全体を指す。両者は、見つけることと管理して直すことの違いとして整理すると理解しやすい。

検査手法の仕組み

ファジングは、ソフトウェアのデータの入出力に注目し、問題を引き起こしそうなデータを大量かつ多様なパターンで入力して挙動を観察する手法である。異常終了などの挙動から脆弱性を見つける点が特徴である。

ファジングの本質は、実際に入力を与えて実行時の挙動を監視することにある。ソースコードの構文や構造を調べる静的な方法とは、検査の対象と時点が異なる。

ペネトレーションテストは、攻撃者と同じように実際に侵入を試み、ファイアウォールや公開サーバに弱点がないかを検証する検査である。

既知の脆弱性に対する修正状況は、導入済みのソフトウェアのバージョンやパッチの適用状況を確認することで把握できる。この確認は、入力データを与えて挙動を調べる手法とは性質が異なる。

評価と判断の基準

CVSSは、脆弱性の深刻度を共通の基準で評価する手法である。特定のベンダに依存せず、オープンで汎用的な評価方法を提供する点が特徴である。

CVSSの評価は、基本、現状、環境の三つの評価基準から成り、スコアは0.0から10.0の範囲で表される。CVSSのバージョンが異なると算出の基準も異なるため、数値を比較する際にはバージョンを確認する必要がある。

CVEは、公開された脆弱性を個別に識別するための識別子である。JVNなどの脆弱性情報サイトでも採用されており、複数の情報源で同じ脆弱性を突き合わせる際の共通の手がかりとなる。