近い製品を確認するお問い合わせお探しの内容が見当たらない場合は、ヘルプデスクへお問い合わせください。おいてホストのリスクを分析・評価するために使用される指標で、ホストへの脆弱性の影響を決定するための環境評価と現状評価を行うフレームワークとして機能します。略称で、弊社が脆弱性情報を長年提供してきて培ったノウハウが込められています。サーバの設置場所等の環境を考慮して「システムカテゴリ」という概念を導入し、脆弱性の環境評価基準のプリセットを提供しました。レベルで表示されます。指標による脆弱性の度合いの標準化を図り、リスク分析・評価における手間を省くように設計されています。これによってリスク評価と改善への優先付けが自動的に行われます。必要なのか?ホストにおけるリスクを分析・評価するにあたり、重要なパラメータの一つが影響範囲(環境評価と現状評価)です。特定のホストへの脆弱性の影響を判断するとき、多くの場合、現場の運用担当者によって暗黙的に決定されています。実体に即したリスクとして正しく表現できていない、という問題がありました。「基本評価基準」(攻撃元区分:AV、攻撃条件の複雑さ:AC、攻撃前の認証要否:Au、機密性への影響:C、完全性への影響:I、可用性への影響:A)が脆弱性そのものだけを雛形通りに客観的に評価していることに起因しています。スコアが低く算出されてしまいます。基準である「現状評価基準」や「環境評価基準」に対する評価をシステム管理者が各自行う必要があります。これらの評価は多大な労力を伴うため、現実的には実施することが非常に困難です。System(CVSS)は脆弱性の優先順位付けとリスク評価に広く悪用されています。CVSSスコアリングアルゴリズムは(この目的のためには)形式的にも経験的にも正当化されません。「リスクスコア」として誤用していることは、自分がそれから学んでいると思っていたことを実は学ぶことができていないということを意味してます。計算式の設計上の問題から、その出力が信頼できないことが分かっています。この論文では、機能的な脆弱性の優先順位付けシステムがどのようになるのかを理解するための方法を示します。CVSSの誤用は広まっているように見え、経験的に観察していくべきです。使用、または誤用しているかについて体系的に気付いていません。スコアを誤って使用していますが、これがポリシーになる可能性があります。同様に単純な脆弱性の優先順位付けポリシーを持つ他の多くの組織が観察されています。優先順位付けへの複数の入力のうちの一つとして慎重に考えていますが、利用可能な証拠に基づいて我々の仮説を言うならば、誤用が広まっているということです。ホストの環境や、脆弱性の現状、製品の特性などによる影響を加味し、統一的に定義する仕組みとして生まれた指標です。ホスト登録時に、環境評価に値する「システムカテゴリ」を選択することで自動的にそのホストにおける脆弱性の範囲と影響程度を計算しリスクの評価結果として出力します。おける、環境評価基準のプリセットであるシステムカテゴリは以下のように定義されています。以下いずれかをホスト登録時に選択することで、自動的にその影響を鑑みてリスクの評価結果を返します。公開サーバ信頼できない人間がアクセス可能なネットワークに配置された、信頼できる人間のみがログインできるシステム。クラウドにあるサーバシステムを意味します。サーバ)内部サーバ信頼できる人間や特定の人間のみアクセス可能なネットワークに配置された、信頼できる人間のみがログインできるシステム。基本的にファイアウォールで保護された内側にあるサーバシステムを意味します。サーバ)共用サーバ信頼できない人間がアクセス可能なネットワークに配置された、信頼できない人間がログインできるシステム。サービスを提供するシステムを意味します。(具体例:レンタルサーバ、無料のアカウントを発行するサービスを提供するサーバ、共用端末)モバイル信頼できない人間がアクセス可能なネットワークに配置された、他システムへサービスを提供しないクライアントシステム。接続するノートパソコンやタブレットを意味します。クライアント信頼できる人間や特定の人間のみアクセス可能なネットワークに配置された、クライアントシステム。閲覧やドキュメントの作成などに使用し、外部への持ち出しを行わないノートパソコンやタブレットを意味します。仮想化ホスト信頼できない人間がアクセス可能なネットワークに配置された、仮想サーバを提供する仮想サーバのホストシステム。基本的に仮想サーバのハイパーバイザシステムの動作するシステムを意味します。インタフェースなどは評価の対象となりません。信頼できない人間がアクセス可能なネットワークに配置された、ルータ・スイッチ・ファイアウォールなどのネットワーク機器。信頼できる人間や特定の人間のみアクセス可能なネットワークに配置された、ルータ・スイッチなどのネットワーク機器。レベルが判定されます。レベルは、システムカテゴリによる環境評価と脆弱性情報の現状評価を組み合わせ、以下の基準によって決定します。※詳細が不明なものに限り、情報源が設定したレベルが存在する場合はそれを踏襲する。※対象プロダクトによっては、例外的な評価を行う場合がある。相互に関係性があります。多くの場合その関連性はパターン化されていますが、個々の脆弱性により特別ケースとして基準に該当しない場合もあります。補足情報として理由を示すコメントが表示されます。ある脆弱性として発生するケースを例に、システムカテゴリとの関係性を以下に記載します。