Common Vulnerabilities and Exposures (CVE) は、サイバーセキュリティの脆弱性を特定して公開するための標準システムです。その主な目的は、脆弱性に関するデータの共有と配布を促進して、より良い防御戦略を可能にし、サイバーセキュリティ コミュニティ内でのコラボレーションを促進することです。
CVEの歴史と起源
CVE の概念は、1990 年代後半にコンピューター セキュリティ コミュニティ内で、主に MITRE Corporation の取り組みとして生まれました。このシステムは、1999 年 9 月に、既知のサイバー セキュリティの脆弱性の標準化された識別子のデータベースである最初の CVE リストとともに開始されました。
CVE の本来の目的は、脆弱性に関する情報を議論し共有するための共通言語を提供することでした。 CVE が導入される前は、異なるベンダーや研究者が同じ脆弱性に対して異なる名前や説明を使用しており、混乱や誤解が生じていました。
CVE を理解する
各 CVE エントリには、識別番号、説明、および少なくとも 1 つの公開参照が含まれています。識別番号は、CVE-YYYY-NNNNN という特定の形式に従います。ここで、「YYYY」は CVE ID が割り当てられた年、または脆弱性が公開された年、「NNNNN」はその脆弱性の一意の番号です。
CVE システムは、特定の脆弱性に関連する重大度やリスクに関する情報を提供しません。ただし、これは、National Vulnerability Database (NVD) などの他の組織が、リスク スコアや悪用可能性インデックスなどの追加のメタデータを添付できるベースラインを提供します。
CVE の内部構造と機能
CVE システムは、既知のすべての脆弱性に一意の識別子を割り当てることによって機能します。この識別子は、セキュリティ担当者が共通の言語を使用して特定の脆弱性を参照するのに役立ち、軽減の取り組みに役立ちます。
CVE ID は、CVE 採番機関 (CNA) から要求され、割り当てられます。CNA は、CVE プログラムと提携して、独自の合意された範囲内で製品に影響を与える脆弱性に CVE ID を割り当てる世界中の組織です。
MITRE によって管理されている CVE リストは、これらの新しいエントリで更新されます。 NVD などの脆弱性データベースは、CVE リストからデータを取得して、より詳細な脆弱性リストを作成します。
CVE の主な機能
- 標準化された識別子: 各 CVE ID は固有の脆弱性を参照するため、脆弱性に関する情報を議論したり共有したりする際の混乱を避けることができます。
- 公的にアクセス可能なデータベース: CVE リストは一般に無料で利用できるため、透明性とコラボレーションが促進されます。
- 広範な採用: CVE ID は世界中のサイバーセキュリティ ベンダーや研究者によって広く使用されており、世界的に認められた標準となっています。
- 共通語： 共通の識別子を使用すると、個々の脆弱性について話し合う標準的な方法が提供されるため、サイバーセキュリティの調整とコラボレーションが向上します。
CVE の種類
CVE タイプ自体には正式な分類はありませんが、脆弱性は影響を受ける領域 (例: メモリ、OS、アプリケーション)、脆弱性の悪用方法 (例: リモート、ローカル) などのさまざまな基準に基づいて分類できます。 ）、およびそれらが及ぼす影響（データ漏洩、システムクラッシュなど）。
たとえば、脆弱性がどのように悪用されるかを考えると、次のようなことが考えられます。
| 搾取ベクトル | 説明 |
|---|---|
| 地元 | 攻撃者が脆弱性を悪用するには、物理的なアクセスまたはローカル ユーザー権限が必要です。 |
| 隣接 | 攻撃者が脆弱性を悪用するには、ターゲットシステムと同じネットワークにアクセスできる必要がある。 |
| リモート | 攻撃者はインターネット経由でこの脆弱性を悪用する可能性があります |
CVE は、サイバーセキュリティの専門家によって脆弱性を特定し、その影響を評価し、緩和戦略を考案するために使用されます。ただし、このシステムにも課題がないわけではありません。特に、CVE システムは新しい脆弱性に識別子を割り当てるのが遅く、対応範囲にギャップが生じる可能性があります。さらに、CVE は重大度やリスク情報を提供しないため、組織はこのデータについては他のリソースに依存する必要があります。
これらの問題に対処するために、サイバーセキュリティ コミュニティは補完的なツールとリソースを開発しました。たとえば、National Vulnerability Database は各 CVE の重大度スコアと追加のメタデータを提供しますが、CERT/CC や Zero Day Initiative などの組織は、CVE ID が割り当てられる前に新しい脆弱性に一時的な識別子を割り当てることがよくあります。
類似用語との比較
| 学期 | 説明 | CVEとの比較 |
|---|---|---|
| CVSS | Common Vulnerability Scoring System (CVSS) は、脆弱性の主な特徴を捕捉し、その重大度を表す数値スコアを生成する方法を提供します。 | CVE は脆弱性を特定しますが、CVSS は重大度に基づいて脆弱性をスコア付けします。 |
| CWE | Common Weakness Enumeration (CWE) は、コミュニティが開発した一般的なソフトウェア セキュリティの弱点のリストです。これは、これらの弱点を説明するための共通言語として機能します。 | CVE は特定の脆弱性を特定しますが、CWE は脆弱性につながる可能性のあるセキュリティ上の弱点の種類について説明します。 |
CVEに関する将来展望と技術
サイバーセキュリティの脅威が進化し続けるにつれて、CVE システムも適応する必要があります。 CVE システムの将来の機能強化には、自動化された脆弱性検出とレポート、CNA の範囲の拡大、予測分析のための人工知能 (AI) および機械学習 (ML) テクノロジーとの統合が含まれる可能性があります。
プロキシサーバーとCVE
OneProxy によって提供されるプロキシ サーバーと同様、プロキシ サーバーは、CVE のコンテキストではターゲットにもツールにもなり得ます。プロキシ サーバー ソフトウェアの脆弱性がターゲットとして、セキュリティ リスクを引き起こす場合、独自の CVE ID を受け取る可能性があります。ツールとして、プロキシ サーバーは、既知の CVE に関連する悪意のあるトラフィックをフィルタリングするなど、一部の脆弱性の影響を軽減するように構成できます。
