EPSS(エクスプロイト予測スコアリングシステム)

EPSS は機械学習と実世界の信号(公開済みエクスプロイト、脅威インテリジェンスのテレメトリ、ベンダーアドバイザリ、SNS の言及など)を組み合わせ、各 CVE に対して確率(0〜1)とパーセンタイルの 2 値を出力します。CVSS が「理論的にどれほど深刻か」を示すのに対し、EPSS は「短期間に実際に悪用される可能性はどれほどか」に答えます。脆弱性管理プログラムでは、CVSS が高くても EPSS が極めて低いものは後回しにし、CVSS が中程度でも EPSS が高く KEV にも掲載されているものを優先する、といった大量の積み残しのトリアージに用いられます。スコアは日次で更新されます。