平成30年度秋期 情報処理安全確保支援士 午前Ⅱ 問2

CVEは“脆弱性ごとの管理番号”だよ

CVEは Common Vulnerabilities and Exposures の略で、見つかった脆弱性に付けられる“名札”のような番号だよ。たとえば落とし物に受付番号を付けて区別するように、個々の脆弱性を一意に識別するために使うんだ。設定項目や製品の種類を表す番号ではない点に注意しよう。

この問題で問われていること

この問題では、CVEをCWEやCPEなどの似た識別子と混同せずに区別できるかが問われているよ。CVEは“どの脆弱性か”、CWEは“どんな種類の弱点か”、CPEは“どの製品か”を表す、と整理しておこう。

CVE の役割

CVE は脆弱性そのものの識別子であり、脆弱性情報ポータルやベンダ情報の突合せに使われる。

CVE\n-> 個々の脆弱性を識別

確認ポイント

• 設定項目の識別子ではありません。
• 製品名やセキュリティ製品自体の識別子でもない。
• 脆弱性を識別する番号を選ぶ。

正解

ウ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

これは不正解だよ。セキュリティ設定項目の識別子は、家でいう『玄関の鍵を二重にする』『窓を閉める』みたいな設定ルールに名札を付けるものだね。CVEは設定項目ではなく、見つかった脆弱性そのものに付く番号だよ。

選択肢イ

これは不正解だよ。改ざんされたWebサイトのスクリーンショットを見分ける番号ではないんだ。写真アルバムの管理番号ではなく、『どんな脆弱性があったのか』をみんなで同じ名前で呼べるようにするのがCVEだよ。

選択肢ウ（正解）

これが正解だよ。CVEは、ソフトや製品に見つかった脆弱性に付ける共通の識別子なんだ。たとえるなら、泥棒に狙われやすい壊れた窓を『この窓の弱点は番号○○』と世界共通で管理するための番号だよ。

選択肢エ

これは不正解だよ。セキュリティ製品を見分ける番号は、たとえばお店の商品型番みたいなもので、CVEの役割ではないんだ。CVEは製品そのものではなく、『この製品にあるこの弱点』に付く整理番号だよ。