平成27年度春期 情報処理安全確保支援士 午前Ⅱ 問7

午前II 問07

CVE識別子は、ソフトウェアや製品の中で見つかった「個別の脆弱性」に付ける共通の番号だよ。たとえるなら、迷子札みたいなもの。同じ脆弱性について、JVNなど別々のサイトや資料を見ても「これは同じ問題のことだね」と追いかけられるようにしているんだ。

この問題で問われていること

この問題では、CVE識別子が製品名や設定項目を表す番号ではなく、「脆弱性そのもの」を共通して指すための識別子だと分かるかを確認しよう。

CVE の対象

脆弱性情報はベンダやデータベースごとに表現が違っても、CVE 番号があれば同じ脆弱性として対応付けられます。識別対象は製品そのものではありません。

脆弱性 -> CVE 番号\n各サイトで共通参照

確認ポイント

• 製品識別子や設定識別子ではありません。
• 改ざんサイトのスクリーンショット識別とも無関係です。
• JVN が扱う情報の中心が脆弱性だと考えます。

正解

ウ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

これは不正解だよ。セキュリティ設定項目を識別するものはCCEの説明に近いんだ。たとえば「玄関の鍵を二重にする」「窓を閉める」みたいなチェック項目に番号を付ける話で、CVEが扱う「鍵穴に欠陥がある」という弱点番号とは別物だよ。

選択肢イ

これは不正解だよ。CVEは改ざんされたWebサイトの証拠写真やスクリーンショットに付ける番号ではないんだ。泥棒に入られた後の写真を管理する番号ではなく、「どの窓の構造に弱点があって侵入されたのか」を共通で示す番号だと考えよう。

選択肢ウ（正解）

これは正解だよ。CVEは、ソフトウェアや製品に含まれる脆弱性を世界中で同じ名前で呼べるようにする識別子なんだ。たとえば「この鍵穴の欠陥はCVE-XXXXだね」と番号を付けておけば、メーカー、利用者、セキュリティ会社が同じ弱点について話しているとすぐ分かるよ。

選択肢エ

これは不正解だよ。CVEは「弱点そのもの」に付ける番号であって、セキュリティ製品の名札ではないんだ。たとえるなら、壊れた鍵穴に付ける修理番号がCVEで、防犯カメラや金庫の商品番号を表すものではないよ。