EPSS(エクスプロイト予測スコアリングシステム).

EPSS は機械学習と実世界の信号(公開済みエクスプロイト、脅威インテリジェンスのテレメトリ、ベンダーアドバイザリ、SNS の言及など)を組み合わせ、各 CVE に対して確率(0〜1)とパーセンタイルの 2 値を出力します。CVSS が「理論的にどれほど深刻か」を示すのに対し、EPSS は「短期間に実際に悪用される可能性はどれほどか」に答えます。脆弱性管理プログラムでは、CVSS が高くても EPSS が極めて低いものは後回しにし、CVSS が中程度でも EPSS が高く KEV にも掲載されているものを優先する、といった大量の積み残しのトリアージに用いられます。スコアは日次で更新されます。

このモデルは FIRST の EPSS 特別関心グループ(Special Interest Group)によって運営されており、これまで繰り返し再学習されてきました。v1(2019 年)はわずかな特徴量に対するロジスティック回帰を用い、v2(2022 年 2 月)と v3(2023 年 3 月)は 1,000 を超える特徴量を持つ勾配ブースティングモデル(XGBoost)へ移行しました。そして 2025 年 3 月 17 日にリリースされた v4 では、マルウェアおよびエンドポイント検知のテレメトリが追加され、現在では毎月 10,000 を超える CVE の悪用状況を追跡しています。FIRST は日次スコアを無償の CSV ダウンロードと JSON API として公開しています。設計上の重要な点は、EPSS が影響度の指標ではなく 直近の活動の予測 であるということです。そのため、単独で用いるよりも、資産のコンテキストや CVSS、CISA の KEV カタログと組み合わせて使うのが最適です。スコアは新たなインテリジェンスの到来とともに変動するため、今日 EPSS 0.02 の CVE が、公開された概念実証(PoC)から数日のうちに 0.9 を超えて急上昇することもあります。これが、チームがスナップショットで済ませず日次でフィードを取得し直す理由です。

flowchart LR
  A[新規 CVE 公開] --> B[EPSS 日次モデル実行]
  C[Exploit DB / PoC コード] --> B
  D[IDS / ハニーポットのテレメトリ] --> B
  E[マルウェアと EDR の信号] --> B
  B --> F[確率 0-1]
  B --> G[パーセンタイル順位]
  F --> H{EPSS が高く KEV 掲載済み?}
  G --> H
  H -- はい --> I[今すぐ修正 / 優先対応]
  H -- いいえ --> J[延期し日次で再確認]