2．脆弱性関連情報の収集

Copyright © 2024 独立行政法人情報処理推進機構

0脆弱性関連情報の収集

脆弱性関連情報とは？
- 脆弱性対策を実施する際の判断要素となる情報- 情報の内容も、情報元も様々
製品ベンダサイト

ニュースサイト

注意喚起サイト

脆弱性対策情報Copyright © 2024 独立行政法人情報処理推進機構

システム管理者

脆弱性情報DB

攻撃情報

1

脆弱性関連情報の収集例えば、脆弱性対策の参考となる情報として以下のものが考えられる。
情報

内容

活用例

脆弱性情報

脆弱性の内容、脆弱性の深刻度、影響を受けるバージョン、対策の有無、対策方法など

脆弱性の深刻度の評価、影響の調査、対策や回避策の実施

攻撃情報

攻撃コードの公開状況、実際の攻撃の有無など対策の緊急度の調査

Copyright © 2024 独立行政法人情報処理推進機構

2

脆弱性関連情報の収集先（1/4）

ベンダアドバイザリ
 ベンダ（開発者）が製品の脆弱性情報・対策情報を提供- 製品ベンダのサイトやブログ（セキュリティアドバイザリ）

Copyright © 2024 独立行政法人情報処理推進機構

出典： https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-24880

3

脆弱性関連情報の収集先（2/4）

注意喚起サイト
 広く使われている製品の脆弱性を周知し、対策を呼び掛ける- 国内：JPCERT/CC、警察庁、IPA等- 海外：CISA等

Copyright © 2024 独立行政法人情報処理推進機構

出典： https://jvn.jp/jp/JVN89259622/index.html

4

脆弱性関連情報の収集先（3/4）

ニュース記事
 話題になっているセキュリティ情報を確認するのに便利- 国内：ZDNet Japan、SecurityNext、CNET、ITMedia等- 海外：Register、ComputerWorld等

 話題性に欠ける製品や脆弱性は基本的に扱われない
Copyright © 2024 独立行政法人情報処理推進機構

出典： https://japan.zdnet.com/article/35144536/

5脆弱性関連情報の収集先（4/4）

脆弱性情報データベース
 脆弱性情報をデータベース化して提供
検索機能などにより、ピンポイントでの情報収集が可能- 国内：JVN iPedia等- 海外：NVD等

Copyright © 2024 独立行政法人情報処理推進機構

出典：https://jvndb.jvn.jp/

6

脆弱性関連情報の収集

攻撃情報等も脆弱性対策の参考となる
情報

内容

活用例

脆弱性情報

脆弱性の内容、脆弱性の深刻度、影響を受けるバージョン、対策の有無、対策方法など

脆弱性の深刻度の評価、影響の調査、対策や回避策の実施

攻撃情報

攻撃コードの公開状況、実際の攻撃の有無など対策の緊急度の調査

Copyright © 2024 独立行政法人情報処理推進機構

7

攻撃情報の収集先（1/3）

ベンダアドバイザリ・注意喚起サイト
 脆弱性情報の一部として、攻撃の発生状況や攻撃コードの有無に関する情報を公開していることがある- ベンダアドバイザリ：Microsoft、Adobe、Oracle等- 注意喚起サイト：JPCERT/CC、警察庁、IPA等

悪用可能性評価より→悪用 ありCopyright © 2024 独立行政法人情報処理推進機構

出典： https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-24880

8攻撃情報の収集先（2/3）

ニュース記事 組織等への攻撃に使われた脆弱性の場合、ニュース記事やセキュリティベンダの分析レポート等に記載されることがある- ニュース：ZDNet Japan、SecurityNext、CNET、マイナビ等

攻撃の具体的な内容

Copyright © 2024 独立行政法人情報処理推進機構

出典： https://japan.zdnet.com/article/35144536/

9攻撃情報の収集先（3/3）

攻撃コードデータベース
 脆弱性等を悪用する攻撃コード（Exploit：エクスプロイト）をデータベース化して提供- Metasploit、Exploit DB等※攻撃情報を検証する場合は、他に影響を与えないようにご注意ください。
Copyright © 2024 独立行政法人情報処理推進機構

出典： https://www.rapid7.com/ja/db/10

脆弱性関連情報の収集

あちこち見てはみたけれど・・・

Copyright © 2024 独立行政法人情報処理推進機構

11

脆弱性関連情報の収集～タイムリーかつ効率的に対策を行うために～

脆弱性情報の収集に役立つ
キーワードについて知ろう

Copyright © 2024 独立行政法人情報処理推進機構

12知っていますか？CVE、CWE、CVSS
 脆弱性情報を効率的に収集する為に有効なキーワード
・・・脆弱性を一意に識別する番号
・・・脆弱性のタイプを体系的に分類する番号
・・・脆弱性の深刻度を評価する数値指標

製品ベンダのアドバイザリ、セキュリティサイトの注意喚起、ニュース記事等でも広く使用される
Copyright © 2024 独立行政法人情報処理推進機構

これらのキーワードの解説資料
https://www.ipa.go.jp/security/vuln/scap/index.html

13

CVEとは～発見された脆弱性に一意の番号を割り当て、識別を可能に～

 Common Vulnerabilities and Exposures（共通脆弱性識別子）

 様々な情報元が公開する脆弱性情報について、- 同じ脆弱性に関する情報なのかを見分ける- CVEを介して情報を紐づける

Copyright © 2024 独立行政法人情報処理推進機構

出典： https://japan.zdnet.com/article/35144536/

14

CWEとは～脆弱性のタイプを体系立てて分類し、どんな脆弱性か示す～

 Common Weakness Enumeration（共通脆弱性タイプ一覧）
 タイプから脅威や危険性の想定も可能【CWE-79】 クロスサイトスクリプティング：
・正規サイトにおける偽ページの表示・他の不正サイトへ誘導させられる【CWE-89】 SQLインジェクション：
・データベースを不正に操作される

Copyright © 2024 独立行政法人情報処理推進機構

15

CVSSとは～脆弱性の深刻度を数値で示す～

 Common Vulnerability Scoring System（共通脆弱性評価システム）
 脆弱性の深刻度を0.0～10.0のスコアで評価

Copyright © 2024 独立行政法人情報処理推進機構

16まとめ（2章)
 脆弱性関連情報の収集
 脆弱性情報の収集

 ベンダアドバイザリ
 注意喚起サイト
 ニュース記事
 脆弱性情報データベース

 攻撃情報の収集

 ベンダアドバイザリ
 注意喚起サイト
 ニュース記事
 攻撃コードデータベース

 キーワード CVE、CWE、CVSS

Copyright © 2024 独立行政法人情報処理推進機構

17