ポイント: 一般的な脆弱性と露出（CVE）は、MITREによって維持されている公に開示されたセキュリティ欠陥の標準化されたリストであり、組織が脆弱性を優先し対処するのを助けます。これにより、サイバーセキュリティコミュニティ内でのコミュニケーションが向上し、サイバー攻撃に対する積極的な対策がサポートされます。
- サイバーセキュリティ専門家間のコラボレーションと情報共有を促進します。
- 組織がセキュリティリスクを効果的に管理し軽減できるようにします。
一般的な脆弱性と露出（CVE）は、公に開示されたコンピュータシステムのセキュリティ欠陥のリストです。CVEは、ダウンロードおよび使用が無料の公的リソースです。このリストは、ITチームがセキュリティの取り組みを優先し、情報を共有し、露出や脆弱性の分野に積極的に対処するのに役立ちます。このようにすることで、システムやネットワークがより安全になり、損害を与えるサイバー攻撃を防ぐのに役立ちます。CVEプロジェクトが何であるか、CVEがどのように機能するかを基本的に理解することで、組織はこのリソースをよりよく活用し、貢献することができます。
CVEの背景
CVEは1999年に作成されました。当時、ほとんどのサイバーセキュリティツールはそれぞれのデータベースと脆弱性の名前を使用していました。利用可能な製品が非常に異なっていたため、異なるデータベースが同じ問題を指しているときに判断するのが難しかったのです。これにより、セキュリティのカバレッジにギャップが生じ、異なるデータベースやツール間での相互運用性の良好なシステムを作成するのが難しくなりました。これらの問題に対処するために、CVEは一般的で標準化された識別を提供するために開発されました。そのため、これらの根本的な懸念に対処し、IT専門家が脆弱性についての情報を共有し、協力してそれらの問題を特定し対処できるようにしました。その結果、CVEは脆弱性と露出を特定するための業界標準となり、CVE番号付与機関、CVEボード、および多くの業界をリードする製品やサービスに支持されています。CVEの核心は、異なる製品やサービスが通信できるようにするための参照点を提供することです。これにより、相互運用性とより良いセキュリティカバレッジが実現します。さらに、サービス、ツール、データベースを評価するための基盤を作成します。CVEは、米国政府機関を支援する連邦政府資金による研究開発センターを管理する非営利団体であるMITRE Corporationによって維持されています。MITREはCVE辞書と公的ウェブサイトを維持する責任があります。このプロジェクトは、米国国土安全保障省のサイバーセキュリティおよびインフラストラクチャー庁によって資金提供されています。
CVEの取り組みをリードしているのは誰ですか？
CVEプロジェクトの取り組みの成功の多くは、国際的なサイバーセキュリティコミュニティによる共同作業から来ています。これにより、リストが包括的になり、その結果、より多くの人々がCVEと互換性のあるサービスや製品を使用するようになりました。CVEに貢献する主要なプレーヤーは、CVE番号付与機関、CVEボード、およびCVEスポンサーです。CVE番号付与機関（CNA）は、CVE識別番号を割り当てます。CNAは、発見された問題として割り当てるために、予備のCVE番号のブロックを保持するように与えられます。一般的に約100のCNAがあり、このグループには脆弱性研究者、ベンダーとプロジェクト、国家および業界CERT、バグバウンティプログラムが含まれます。CVEボードは、CVEプログラムがグローバルなサイバーセキュリティコミュニティの脆弱性特定ニーズを満たすことを保証する任務を負っています。CVEについての戦略的方向性についての情報を提供し、CVEの代弁を行います。CVEボードには、サイバーセキュリティ組織、商業セキュリティツールベンダー、学界および研究機関のメンバー、政府部門および機関のメンバー、セキュリティ専門家が含まれます。CVEスポンサーは、米国国土安全保障省のサイバーセキュリティおよびインフラストラクチャーセキュリティ庁です。CISAはCVEプロジェクトの資金提供を担当しています。
サイバーセキュリティにおけるCVEの基本
CVEは、各エントリに識別番号、説明、および公的参照が付けられたリストで構成されています。各CVEは特定の脆弱性または露出をリストします。CVEサイトによれば、脆弱性は、攻撃者にシステムまたはネットワークへの直接アクセスを与えるソフトウェアコードの誤りとして定義されています。このタイプのアクセスにより、攻撃者はスーパーユーザーまたはシステム管理者として完全な権限を持つことができます。対照的に、露出は、攻撃者にシステムまたはネットワークへの間接アクセスを与える誤りです。このタイプのアクセスにより、攻撃者は顧客情報を収集して販売することができます。広義に言えば、CVEプロジェクトは脆弱性と露出を特定し整理するためのシステムを作成します。CVEリストを作成する最初のステップは、脆弱性または露出を特定することです。次に、脆弱性にはCNAによってCVE識別番号が割り当てられます。CNAは、問題の説明を書き、参照を提供します。最後に、完成したCVEエントリがCVEリストに追加され、CVEウェブサイトに掲載されます。CVEは、各特定の露出または脆弱性に対して単一の一意の識別子を提供します。CVEはデータベースよりも辞書に近いことに注意する価値があります。各エントリの説明は簡潔で、技術データ、特定の影響に関する情報、または修正に関する情報は含まれていません。代わりに、その情報は他のデータベースにあります。たとえば、米国国家脆弱性データベース（NVD）やCERT/CC脆弱性ノートデータベースです。
CVE識別子の理解
CVEを参照するとき、人々は通常特定の識別番号を指します。これらの一般的な識別子は、CVE、CVE ID、またはCVE番号と呼ばれ、特定の脆弱性について情報を話し合ったり共有したりする際の一貫性をもたらします。CVE識別子はCNAまたはMITREによって発行されることがあります。毎年数千のCVE IDが割り当てられ、オペレーティングシステムのような単一の複雑なプロジェクトには数百のCVEが存在する可能性があります。CVE識別子が必要な脆弱性または露出は、研究者、ベンダー、または賢いユーザーなど、誰でも特定できます。実際、欠陥の開示を促すために、一部のベンダーは「バグバウンティ」を提供しています。それでも、すべての欠陥にCVEが割り当てられるわけではありません。CVE IDを割り当てるには、問題が次の条件を満たす必要があります：
- 独立して修正可能であり、他のバグとは独立して解決できること
- ソフトウェアまたはハードウェアのベンダーによって承認されるか、または脆弱性報告書で文書化されていること
- 一つのコードベースにのみ影響を与えること。もし欠陥が複数の製品に影響を与えている場合、それぞれに独自のCVE IDが与えられます。
CVEリストの情報がサイバー攻撃者に悪用されないようにするために、場合によっては公的セキュリティアドバイザリーが発行される前にCVEが割り当てられることがあります。脆弱性が特定されると、攻撃のリスクを軽減するために、修正が開発されテストされるまで秘密にされることがよくあります。
CVEの利点
CVEの作成は、サイバーセキュリティコミュニティにさまざまな方法で利益をもたらします：
- 識別の標準化。各脆弱性に一意の識別子を作成することで、サイバーセキュリティ専門家はツール、プラットフォーム、および組織を横断してこれらの問題を追跡する明確で一貫した方法を持つことができます。
- コミュニケーションの向上。CVEは、複数の組織の人々が特定の脆弱性について議論する際に発生する混乱を排除します。
- 相互運用性の向上。CVEは広く信頼され、世界中で使用されているため、ツール間の互換性をサポートします。
- コラボレーションと情報共有の支援。ユーザーとベンダーは協力して脆弱性の報告、パッチの管理、更新の簡素化を行うことができます。
- 積極的なセキュリティの促進。組織はCVEにアクセスして脆弱性を継続的に監視でき、ベンダーは問題を開示し修正するための明確なインセンティブを持っています。
- セキュリティカバレッジの評価。CVEは攻撃パターンの研究に役立ち、脅威インテリジェンスと統合されることで、組織がより認識し、準備が整うのに役立ちます。
- 脆弱性の優先順位付け。脆弱性は共通脆弱性評価システム（CVSS）を使用してスコアリングできるため、組織は重要なリスクにリソースを集中できます。
- 情報へのアクセスの簡素化。脆弱性が集中管理されたリポジトリにあるため、ユーザーはそれらを検索して見つけることができ、脅威に関する情報を得るのにかかる時間を短縮できます。
- 自動化の支援。ユーザーは脆弱性のスキャンとパッチの管理を自動化でき、時間と労力を節約できます。
CVEの未来
CVEプロジェクトは、すべてのIT組織が使用するための素晴らしいリソースです。特に研究者や製品開発者がCVEエントリを利用し、CVEと互換性のある製品やサービスを使用することが重要です。さらに、ソフトウェアの脆弱性を常に探し、オープンソースソフトウェアを使用する際に組織が見つけた脆弱性を共有することも重要です。また、攻撃を防ぎ問題を効率的に解決するために、内部と外部で脆弱性についてコミュニケーションを取ることが重要です。CVEエントリは素晴らしいリソースですが、組織が使用する製品に適用されるすべてのエントリを分析することが重要です。すべての問題がすべての状況に適用されるわけではなく、適用可能な場合はリスクを優先するために脆弱性管理を実施する必要があります。共通脆弱性評価システム（CVSS）は、脆弱性の深刻度を判断し、その後にサイバーセキュリティの取り組みを優先するための人気のある方法です。CVSSは、脆弱性に数値または評価を割り当てるためのオープンスタンダードを提供します。これらの数値は0.0から10.0の範囲で、高い数値ほど深刻度が大きくなります。CVSSまたは同様のシステムを使用することは、脆弱性管理の重要な側面であり、サイバーセキュリティの取り組みを効果的に集中させるのに役立ちます。
セキュリティとコンプライアンスガイド
これらの投稿は私自身のものであり、BMCの立場、戦略、または意見を必ずしも代表するものではありません。