システムエンジニアについてまじめに考えるブログシステムエンジニアについてまじめに考えるブログ30半ばの中堅SEがITの話題や日々思うことなどエンジニアとして成長するために役立つ情報を自由気ままに綴っているブログです。今の時代、セキュリティに対する意識は高くもたないと、大惨事になりかねません。情報漏洩のニュースを最近良く耳にしますが、明日は我が身とはまさにこのことです。企業の情報システム部やセキュリティエンジニアは、ソフトウェアベンダーの予防保守サイトやセキュリティのニュースサイトなどで、自身が管理するシステムで利用しているソフトウェアの脆弱性情報を日々チェックしている方も多いと思います。最近では、TwitterなどのSNSを活用する方も多いですね。利用しているソフトウェアの脆弱性が発見されたら、その脅威がどれほどのものかいち早く判定し、必要に応じて対策を講じなければいけません。脆弱性の脅威がどれほどのものかをエンジニアはどのように判定しているのでしょうか。世の中にはいろいろな判定方法がありますが、今は、CVSSを活用することが多いと思います。今回は、そのCVSSとは何なのかを詳しく取り上げていきます。System)とは共通脆弱性評価システムのことで以下3つの基準でIT製品のセキュリティ脆弱性の深刻さを評価するものです。ソフトウェアベンダが配信する脆弱性情報では、同じような脆弱性でもベンダごとに評価が異なってしまうことは往々にしてあり、本当のところどれほど深刻なのか判断できない問題がありました。CVSSはベンダに依存せずオープンで包括的、汎用的な同一基準で評価することができます。CVSSを用いた評価であれば、脆弱性の深刻度を同一の基準のもとで定量的に比較できるようになり、上記の問題点を克服できるというわけです。Score)と呼ばれる結果を出力します。この基準による評価結果は固定であり、時間の経過や利用環境の異なりによって変化しません。現在の深刻度を評価するものです。攻撃コードの有無や対策の有無などを基準に評価して、CVSS現状値を出力します。脆弱性の深刻度を評価するもので、利用者の利用環境などが加味されます。各々の利用環境における対象製品の使用状況や、二次被害の大きさなどを評価して、CVSS環境値を出力します。対象システムの利用者が自らの環境における深刻度を評価するために用いるもので、利用者によって結果は異なります。利用者が脆弱性への対応を決めるための判断材料として、とても有用な基準と言えます。CVSSを活用するメリットCVSSのポイントのひとつとして、対象の脆弱性の深刻度が数値であるスコアとして出力され、その数値の大小で判断できるという点です。3種類の指標を0.0から10.0までのスコアで表し、値が高いほど、深刻度が高くなります。対象の脆弱性について、対策した方が良いのか、それは緊急で対応しなければいけないのか、といったことがスコアとして表されるので、とてもわかりやすいというのがメリットと言えるでしょう。スコアが「9.0」以上であれば、緊急で対策するといったような、わかりやすい判断基準を設けておくことができます。そのスコアが評価者によって違ってしまっては、その信ぴょう性は疑わしいと言わざるを得ません。CVSSは、システムの種類や開発元の違い、評価者の違いなどよらず共通の尺度で深刻度を表すことができ、脆弱性についての情報と一定水準以上のセキュリティ知識があれば、誰が評価しても結果に差が出にくいという特徴があります。CVSSのスコアは誰がどうやって算出する?CVSSで出したスコアは、本当に誰が評価しても同じになるのでしょうか。私でもできるんですか?そういうのって、セキュリティのスペシャリスト的な人がやるものだと思ってました。脆弱性について評価するには、当然、その脆弱性がどのようなものなのかという情報を持っていなければいけません。そのため、基本評価基準と現状評価基準はベンダーや脆弱性を公表する専門組織が評価することになります。その脆弱性によりどのような被害を被るのかは、利用者(ユーザー自身)しかわかりません。そのため、環境評価基準は製品利用者自身が評価する基準となっています。CVSSの特徴のひとつとして、脆弱性についての情報と一定水準以上の知識があれば、誰が評価しても結果に差が出にくい点が挙げられます。差が出にくいのか、それはスコアを出す上での判断基準が明解だからです。スコアは下記サイトから算出できます。明解なのか、実際に算出してみればイメージが湧くと思います。Calculatorhttps://jvndb.jvn.jp/cvss/ja/v31.html例えば、基本評価基準のひとつである「攻撃元区分」について考えてみます。これはどこから攻撃できるかを評価します。ネットワークインターネットなど、ネットワーク経由でリモートから攻撃可能である隣接ローカルIPサブネット、ブルートュースなど、隣接ネットワークから攻撃する必要があるローカルローカルアクセス権限での攻撃やワープロのアプリケーションに不正なファイルを読み込ませる攻撃など、ローカル環境から攻撃する必要がある物理USB経由など、物理アクセス環境から攻撃する必要があるその脆弱性がどのようなものか知ってる人であれば、上記選択肢のどれに該当するかは一目瞭然というわけです。我々、利用者が評価する環境評価基準についてもひとつ考えてみましょう。ここでは「緩和策後の攻撃元区分」について見てみます。これはどこから攻撃できるかを、現状(緩和策や対策後の利用環境)に合わせて再評価します。選択肢は、基本評価基準の「攻撃元区分」とまったく同じです。ポイントは、利用環境に応じた評価をするという点です。ネットワーク経由で攻撃可能な脆弱性であったとしても、脆弱性を持つ対象機器がFW内にあるのであれば、選択肢から「ネットワーク」をはずすことができます。環境評価基準は、最終的な脆弱性の深刻度を評価するものであるというのもポイントで、何らかの緩和策を行ったのであれば、その後で、改めて再評価することで、その脆弱性の対策が十分なものであるかどうかの最終評価を下すことができます。脆弱性の深刻度スコアが高いほどキケンなことはわかりました。どのくらいキケンなのか、イマイチわかりません。スコアから見る深刻度の目安は以下のようになります。スコアが小さくなっていきます。環境評価基準で出したスコアが緊急や重要であれば、それは、リモートからシステムを乗っ取られたり、外部に情報が漏洩してしまう可能性があるということなので、すぐにでも対策を講じるべきと言えます。警告以下であれば、予算と相談ということになるでしょう。CVSSのスコアはどこで確認できる?CVSSのスコアは前述のとおり、基本評価基準と現状評価基準はベンダーや脆弱性を公表する組織が評価し、算出することになります。誰が評価しても差が出にくいとは言え、その脆弱性について正確な情報を持ち、正しく判定できる人が評価し、算出したスコアでないと意味がありません。脆弱性についての対策を講じると言葉では簡単に言えても、それにかかるコストが膨れ上がってしまうことは多いです。対策のひとつとして、セキュリティパッチを適用することが挙げられますが、パッチひとつ適用するにしても、システムに影響がないか、リグレッションテストを実施しなければいけません。それに、脆弱性は日々、見つかっており、その度に、対策していてはキリがありません。そのため、スコアの精度はとても重要なのです。我々エンジニアはどのようなところから情報を収集しているのでしょうか。脆弱性についての情報を一番持っているのは、そのソフトウェアの開発元であるベンダーと言えますので、まずは、ベンダーが公開するスコアを確認します。客観的な評価となる第3者のスコアも確認した方が良いです。iPedia(脆弱性情報データベース)に公開しています。)が管理している脆弱性情報データベースであるNVDでも、CVSS基本値を算出し、公開しています。iPdeiaは日本の脆弱性情報に焦点を置いたものであるのに対し、NVDは世界中の脆弱性情報が集まっています。いった組織・団体が算出したスコアも確認し、対策要否を判定することになります。iPediaNVDセキュリティこの記事を書いている人ツナマヨシステムエンジニアとして働きだしてから約15年。30代半ばの中年現役エンジニア。必須サイト次回のコメントで使用するためブラウザーに自分の名前、メールアドレス、サイトを保存する。コメントツナマヨシステムエンジニアとして働きだしてから約15年。30代半ばの中年現役エンジニア。出版しましたエンジニアはどんな仕事?プログラミングの勉強方法は?図解、対話を用いて解説!こちらも併せてご確認ください。システムエンジニアについてまじめに考えるブログシェアTOPへ。