CVSS と VPR
Tenable は、脆弱性のリスクと緊急性を定量化するために、CVSS スコアと動的な Tenable で計算された 脆弱性優先度格付け (VPR) を使用しています。
注意: これらのメトリクスをプラグイン別に整理された分析ページ (たとえば、
VPR およびその他の Tenable Lumin のメトリクスに関する、Tenable Lumin 特有の情報については、Tenable Lumin のメトリクスを参照してください。
CVSS
Tenable は脆弱性に関連するリスクの説明に、サードパーティーが National Vulnerability Database (NVD) から入手した共通脆弱性評価システム (CVSS) の値を使用・表示しています。
注意: 脆弱性の関連プラグインに CVSS 手法がある場合、リスクファクターはその CVSSv2 手法に基づいて計算され、CVSSv2 スコアの深刻度に等しくなります。プラグインに CVSS 攻撃元区分がない場合、Tenable は独自でリスクファクターを計算します。
Tenable One Vulnerability Management は、スキャンで脆弱性が検出されるたびに CVSS スコアをインポートします。
CVSS ベースの深刻度
Tenable は、すべての脆弱性に静的 CVSS スコア (CVSS のバージョンは設定により異なります) に基づく深刻度 (情報、低、中、高、緊急) を割り当てます。
Tenable One Vulnerability Management の分析ページには、次の CVSS カテゴリに基づく脆弱性に関する概要情報が表示されます。
|
深刻度 |
CVSSv2 の範囲 | CVSSv3 の範囲 | CVSSv4 の範囲 |
|---|---|---|---|
| 緊急 |
プラグインの最も高い脆弱性 CVSSv2 スコアは 10.0 です。 |
プラグインの最も高い脆弱性 CVSSv3 スコアは 9.0～10.0 です。 |
プラグインの最も高い脆弱性 CVSSv4 スコアは 9.0～10.0 です。 |
| 重要 | プラグインの最も高い脆弱性 CVSSv2 スコアは 7.0～9.9 です。 | プラグインの最も高い脆弱性 CVSSv3 スコアは 7.0～8.9 です。 | プラグインの最も高い脆弱性 CVSSv4 スコアは 7.0～8.9 です。 |
| 警告 | プラグインの最も高い脆弱性 CVSSv2 スコアは 4.0～6.9 です。 | プラグインの最も高い脆弱性 CVSSv3 スコアは 4.0～6.9 です。 | プラグインの最も高い脆弱性 CVSSv4 スコアは 4.0～6.9 です。 |
| 注意 |
プラグインの最も高い脆弱性 CVSSv2 スコアは 0.1～3.9 です。 |
プラグインの最も高い脆弱性 CVSSv3 スコアは 0.1～3.9 です。 |
プラグインの最も高い脆弱性 CVSSv4 スコアは 0.1～3.9 です。 |
| 情報 |
プラグインの最も高い脆弱性 CVSSv2 スコアは 0 です。 -または- プラグインは脆弱性の検索を行いません。 |
プラグインの最も高い脆弱性 CVSSv3 スコアは 0 です。 -または- プラグインは脆弱性の検索を行いません。 |
プラグインの最も高い脆弱性 CVSSv3 スコアは 0 です。 -または- プラグインは脆弱性の検索を行いません。 |
CVSS ベースのリスクファクター
各プラグインについて、Tenable はプラグインに関連した脆弱性の CVSS スコアを考慮し、プラグインに対して全体的なリスク要因 (低、中、高、または緊急) を割り当てます。[Vulnerability Details] (脆弱性の詳細) ページでは、脆弱性が関連付けられているすべてのプラグインについて、最も高いリスク要因の値を表示します。
ヒント: [情報] プラグインのリスク要因は なし になります。CVSS スコアが付いていないその他のプラグインについては、関連するセキュリティアドバイザリで提供される情報に基づいて、カスタマイズされたリスク要因が付与されます。
脆弱性優先度格付け
Tenable は、ほとんどの脆弱性について動的な VPR を計算します。Tenable が VPR を更新して現在の脅威の状況を反映させるため、VPR は脆弱性のCVSSスコアが示すデータに、動的に追従します。VPR の値の範囲は 0.1 から 10.0 で、値が大きいほど悪用の可能性が高くなります。
| VPR カテゴリ | VPR 範囲 |
|---|---|
| 重大 |
9.0～10.0 |
| 高 | 7.0～8.9 |
| 中 | 4.0～6.9 |
| 低 |
0.1～3.9 |
注意: CVE がない脆弱性 (深刻度が情報である多くの脆弱性など) に対しては、VPR は付けられません。Tenable では、CVSS に基づく深刻度に応じてこれらの脆弱性を修復することを推奨します。
注意: VPR 値は編集できません。
Tenable One Vulnerability Management は、ネットワーク上で最初に脆弱性をスキャンするときに VPR 値を提供します。その後 Tenable One Vulnerability Management は、毎日自動的に新規または更新された VPR 値を提供します。
Tenable では、VPR が最も高い脆弱性から解決することをお勧めします。
- Tenable が提供する [脆弱性管理の概要] ダッシュボード
- [検出結果の調査] ページ
- [プラグイン別脆弱性] ページ
VPR の主な要因
脆弱性の VPR を説明する主な要因には以下が含まれますが、これらに限定されません。
注意: Tenable は、これらの値を特定の企業向けにカスタマイズしません。VPR の主な要因は、脆弱性のグローバルな脅威の状況を反映します。
|
主な要因 |
説明 |
|---|---|
| exploitChain |
エクスプロイトチェーンのタイプ (コンマ区切りリスト)。 |
| exploitCodeMaturity |
エクスプロイトコードの成熟度レベル: 高、機能的、概念実証、未実証。 |
| exploitProbability |
エクスプロイトが利用される確率 (0～100%)。 |
| inTheNewsIntensityLast30 |
過去 30 日間のニュース報道の激しさ: 非常に低い、低、中、高、非常に高い。 |
| inTheNewsRecency |
ニュース報道の日数単位での最新度 (範囲としてフォーマット)。 |
| inTheNewsSourcesLast30 |
過去 30 日間の情報源可能な値: サイバーニュースとメディア、サイバーセキュリティベンダー、セキュリティリサーチ、ツールとリソース、ブログと個人リサーチエンジニア、主流報道とメディア、政府および規制機関、フォーラムとコミュニティのプラットフォーム、学術および研究機関、コードリポジトリ、テクノロジー企業、その他。 |
| malwareObservationsIntensityLast30 |
過去 30 日間のマルウェア観察の激しさ: 非常に低い、低、中、高、非常に高い。 |
| malwareObservationsRecency |
マルウェア観察の日数単位での最新度 (範囲としてフォーマット)。 |
| onCisaKev |
脆弱性が CISA の既知の悪用された脆弱性 (KEV) リストに載っているかどうかを示します: はいまたはいいえ。 |
| score |
VPR スコア (小数点以下 1 桁が含まれる数値)。 |
| targetedIndustries |
脆弱性のターゲットとなる業界のリスト (27 の業界タイプがある)。 |
| targetedRegions |
脆弱性のターゲットとなるリージョンのリスト (40 以上のリージョンがある)。 |
| vprPercentile |
VPR パーセンタイルランキング (0～100%)。 |
| vprSeverity |
VPR 深刻度レベル: 低、中、高、重大。 |
一般的な脅威イベントには次のようなものがあります。
- 脆弱性の悪用
- 公開リポジトリにおける脆弱性の悪用コードの投稿
- メインストリームメディアにおける脆弱性のディスカッション
- 脆弱性に関するセキュリティリサーチ
- ソーシャルメディアチャネルにおける脆弱性のディスカッション
- ダークウェブとアンダーグラウンドにおける脆弱性のディスカッション
- ハッカーフォーラムにおける脆弱性のディスカッション