脆弱性.

脆弱性とは、コード・設定・設計・運用慣行のいずれかに存在し、悪用されれば情報システムの機密性・完全性・可用性を損なう可能性のあるあらゆる欠陥や弱点を指します。脆弱性はソフトウェアのバグ(メモリ安全性の誤り、入力検証の欠如)、設定ミス、弱いまたは既定のままの認証情報、安全でない設計、未修正の依存ライブラリなどから生じます。

公に知られた脆弱性は MITRE によって CVE 識別子でカタログ化され、NIST の National Vulnerability Database で情報が拡充されます。根本原因の分類は CWE で記述され、深刻度は CVSS でスコア付けされ(その v4.0 改訂版は 2023 年 11 月 1 日に FIRST から公開されました)、近い将来に悪用される確率は EPSS で推定されます。スキャナは日常的に数千件もの検出結果を挙げるため、現場では実世界での悪用状況に基づく優先順位付けがますます重視されています。CISA の Known Exploited Vulnerabilities (KEV) カタログは、実際に悪用が確認された欠陥を列挙するもので、Binding Operational Directive 22-01(2021 年 11 月)により米国連邦政府機関に対応が義務付けられています。Log4Shell(CVE-2021-44228、CVSS 10.0)は、たった一つの依存ライブラリの脆弱性が、公表から数時間のうちに数百万ものシステムを危険にさらしうることを示しました。

脆弱性の管理には、継続的な発見(スキャン、SAST/DAST、SCA)、リスクに基づく優先順位付け、パッチ適用または代替的統制、そして修正が資産インベントリ全体で有効かつ持続的であることの検証が必要です。

flowchart LR
  A[弱点の混入<br/>コード / 設定 / 設計] --> B[発見<br/>スキャン・SAST/DAST・情報公開]
  B --> C[カタログ化<br/>CVE・CWE]
  C --> D[優先順位付け<br/>CVSS・EPSS・CISA KEV]
  D --> E{悪用可能か?}
  E -->|はい| F[エクスプロイト / 実際の悪用]
  E -->|パッチまたは緩和| G[修正対応]
  F --> G
  G --> H[修正の検証と<br/>インベントリ更新]