脆弱性管理のススメ（3）優先度を決める基準のベストプラクティス

第2回の記事で引用した「CVE-2000-0884」の脆弱性は、CVSSv2の基本値が「7.5」でした。しかし、この値はその脆弱性の「重大さ」を示すものですから、攻撃コードが存在するとか、流行のマルウェアが攻撃に利用するとか、そういった「実情」は考慮されていません。しかし、実際の運用を考えると、

「最近流行している○○というマルウェアは、あなたの会社のサーバで見つかったCVE-20xx-xxxxという脆弱性を攻撃してきますよ」

なんてことを言われたとしたら、急いで対処しなければと思いますよね。結局この辺りの「実情」こそが優先度を左右すると思うのです。

例えば、皆さんの家の玄関ドアが「弱い蝶番を使ってますね、これでは蝶番が壊されてドアを外されてしまいますよ」と指摘されたとして、「もっと頑丈なものに替えなきゃ」と思う人は少ないんじゃないでしょうか。

実はCVSSの値にもこの、実情を踏まえる、という考え方があります。それが「CVSS現状値」なのです。ただ、これには考慮点があります。

CVSS現状値とは、いわばCVSS基本値に「攻撃される可能性が低いなら、値を少し小さくする」といった調整を加えた数字です。具体的には、こんな数式と早見表で計算します。

●数式
現状値＝(基本値×攻撃される可能性×利用可能な対策のレベル×脆弱性情報の信頼性)四捨五入または切り上げ

●早見表

例えば「CVE-2000-0884」の場合、（※ここではv2を使って計算しています）

・攻撃される可能性：容易に攻撃可能＝1.00
・利用可能な対策のレベル：正式＝0.87 ※Microsoft社からパッチがリリース済み
・脆弱性情報の信頼性：確認済＝1.00 ※Microsoft社から情報が公開されている
⇒基本値(7.5)×1.00×0.87×1.00＝6.5

となって、基本値「7.5」に対して現状値は「6.5」、値が低くなっています。

さて、ここからが考慮点です。この結果を踏まえて、
「この脆弱性は、基本値は7.5ですが、現状値は6.5です」なんて言われると、どうでしょう。
「なんだ、今の時点では危険性は低いのか」と思ってしまいそうです。
しかも、CVSS基本値と違って、CVSS現状値はNVDからは公開されません。早見表の中で「容易に攻撃可能」なのか、攻撃コードがまだ開発段階で「実証可能」レベルなのか、といった判断を自分でした上で計算しなければならないのも、不安が残ります。
※セキュリティ製品をリリースしているようなメーカは独自に計算した値を公開している場合が多いです

しかも、ここでいう「現状」とは、「その脆弱性が現状どうなのか」を示しているだけで、「優先度」を示しているわけではありません。

また、上の早見表ですが、よく見ると「1.00」を超える数字はありません。つまり、

現状値＝基本値×（最大で1.00）×（最大で1.00）×（最大で1.00）

ということなので、現状値は基本値を超えないようにできています。これも残念な所です。例えば、
「この脆弱性は、基本値は7.5ですがマルウェアが流行っているので現状値は9.0です」
みたいなことを言ってくれるのであれば、「急いで対処しなきゃ」となるのに、本当に惜しいところです。

以上から、CVSS現状値の良い所悪い所を簡単にまとめてみました。考慮点も多いので、CVSS現状値はあまり使われていないのではないかな、と、個人的には思っています。

＜CVSS現状値の良い所／悪い所＞
　○「攻撃される可能性」が考慮されている
　× 基本的には自分で早見表を見て自分で計算しないといけない
　× 現状値が基本値を超えることはないよう設計されている
　× 対処する/しないといった優先度判断には使えない

では、脆弱性の「優先度」を判断できる指標があったとしたら、それはどんなものでしょう？

CVSS基本値が示す「重大度」、これはこれで大事です。重大な脆弱性であれば、優先度は高そうです。しかしそれと同じくらい重要なのは、「攻撃される可能性」です。世の中にピッキング犯が大勢いればピッキング対策の優先度が高くなるように、ある脆弱性に関する攻撃コードがあったり、マルウェアが流行っていたりするなら、対策の優先度も高くなるはずです。なので、CVSS現状値にこの要素が含まれていること自体は正しいのだと思います。

では「攻撃される可能性」を左右するのは何なのか？これが、前回の記事でご紹介しました「脆弱性の利用しやすさ」つまり「攻撃コードの有無」であったり、「その脆弱性を攻撃するマルウェアの有無」であったりするわけですね。CVSS基本値に足し引きする、あるいは掛け合わせて算出するような値が良いのではないかと考えます。

実は、この考え方で「優先度」を示す数字を提供してくれるサービスがあります。脆弱性管理製品の
「Tenable」(tenable.com)が独自に算出している「VPR」（Vulnerability Priority Rating／脆弱性優先度格付け）という数字です。

CVSS基本値や、あるいは各社が独自に計算したCVSS現状値を示してくれる製品はいくつもあるのですが、独自の指標を示す製品は珍しいですね。どのような指標なのかを見てみましょう。

VPRとは、Tenable社のブログではこのように説明されています。

CVSSv3基本値と、「脅威スコア」(Threat Score)を結合したものがVPRである、と説明されていますね。攻撃コードの有無や、ダークウェブの情報などを使ってAIで判断しているそうで、数字（0～10）や区分（致命的/高/中/低）についてはCVSSv3に合わせています。

前々回の記事で、近年世間を騒がせた脆弱性とそのCVSS値の表をご覧頂きましたが、VPRを加えてみました。
見比べてみましょう。

これらは何度もニュースになるくらい攻撃が流行っていましたから、VPR数値も高く出ています。「重大さを考慮しつつ、攻撃を受けそうだったら優先度を高く示す」という考え方が見て取れますね。AIが自動算出した値なのですが、あたかも「攻撃が流行っているから優先的に対処した方がいいよ」と言っているかのようです。

そして今年発見された脆弱性を3件取り上げましたが、こちらもVPRを加えてみました。

これらは先ほどの脆弱性に比べると、そこまでニュース等では取り上げられていないと思っているのですが、
VPRの数値を見ると、かなり高く出ているようで、優先的に対処した方が良さそうです。CVSSの数値だけで、ニュース等でも取り上げられていないのでは、優先度の判断はしにくかったのではないでしょうか。まだパッチが当たっていない、という人がいらっしゃいましたら、早めのWindowsUpdateをお勧めします。