平成25年度秋期 情報処理安全確保支援士 午前Ⅱ 問5

午前II 問05

CVEは、見つかった脆弱性に付けられる“共通の名前札”みたいな番号だよ。

この問題で問われていること

この問題では、CVEが何を表す番号なのかを確認しよう。製品の型番や設定項目の番号ではなく、「この脆弱性のことだよ」と世界中で同じものを指せるようにするためのIDだと押さえればOKだよ。

CVE の用途

脆弱性情報は複数のベンダやデータベースで共有されるため、同じ脆弱性を同じ番号で参照できる必要があります。その役割を担うのが CVE 識別子です。

脆弱性情報\n-> CVE 番号を付与\n-> 各ポータルで共通参照

確認ポイント

• 識別対象は製品カテゴリではなく、脆弱性そのものです。
• 設定項目を識別する番号ではありません。
• JVN が何を公開しているかを思い出し、脆弱性 ID に結び付けましょう。

正解

ウ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

これは不正解だよ。セキュリティ設定項目を識別する番号ではないんだ。設定項目は『玄関の鍵を二重にする』『窓を閉める』みたいな対策リストだけど、CVEは『この鍵には壊されやすい弱点がある』という脆弱性そのものを指す番号だよ。

選択肢イ

これは不正解だよ。Webサイトの改ざん画面ショットに付ける番号、という説明になっているけど、CVEはそういう“写真の管理番号”ではないんだ。たとえるなら、泥棒に入られた家の写真に番号を付けるのではなく、『どの窓の鍵が壊れていたか』を識別するための番号だよ。

選択肢ウ（正解）

これは正解だよ。CVEは、ソフトウェアや製品に見つかった脆弱性を世界共通で識別するための番号なんだ。たとえるなら、『この型番のドアの鍵にはこういう弱点がある』とみんなが同じ番号で呼べるようにする整理番号だよ。

選択肢エ

これは不正解だよ。セキュリティ製品を識別する番号ではないんだ。ウイルス対策ソフトやファイアウォールに付ける商品番号ではなく、CVEはそれらが守る対象にある“弱点”を識別する番号だよ。