はじめに
脆弱性のニュースを見ていると、CVSS 9.8・CVSS 7.5・CVSS 10.0こんな数字を見かけませんか？
初心者の頃のサナは「9.8って高そうだけど、結局どれくらい危険なの？」と思っていました。
実はこの数字、脆弱性の危険度を10点満点で表した世界共通の通知表なんです。エンジニアの現場では「CVSSが9.8だから優先的に対応しよう」「7.2なら次回メンテナンスで対応しよう」といった判断にも使われています。
今回はCVSSとは何か、危険度ランクとの関係、初心者が覚えるべきポイントをざっくり解説していきます！
📌 なぜ数字（CVSS）が必要なの？
前回の記事ではCritical・Important・Moderate・Lowという危険度ランクについて解説しました。
ただ「Criticalです！」と言われても、どれくらい危険？先週のCriticalより危険？今すぐ対応？という細かい判断はできません。
そこで登場するのがCVSSです。CVSSは危険度を数字で表してくれるので、CVSS 9.8・CVSS 9.0・CVSS 7.2のように比較できるようになります。
サナ的には、「Criticalは通知表の評価、CVSSは点数」と覚えるのがおすすめです！
📌 初心者が覚えるべき数字の境界線
CVSSは0〜10点で評価されます。危険度ランクとの関係はこんな感じです。
| CVSSスコア | 危険度 |
|---|---|
| 9.0〜10.0 | Critical（緊急） |
| 7.0〜8.9 | Important（重要） |
| 4.0〜6.9 | Moderate（警告） |
| 0.1〜3.9 | Low（注意） |
初心者のうちは「7.0以上は要注意」「9.0以上は即確認」これだけ覚えれば十分です！
9.0〜10.0（Critical）
超危険レベルです。システム乗っ取り・情報漏えい・リモート攻撃などにつながる可能性があります。
ニュースで9.8や10.0を見たら、まずは内容を確認しましょう。
7.0〜8.9（Important）
危険度は高めです。緊急対応まではいかなくても、できるだけ早めに対応したいレベルです。
7.0未満
すぐに大騒ぎするレベルではありませんが、放置していいという意味ではありません。
定期的なパッチ適用やメンテナンスで対応していきます。
📌 ちょっと先輩っぽくなれる！CVSSの3つのスコア
実はCVSSには3つの考え方があります。
Base Score（基本値）
脆弱性そのものの危険度です。ニュースで「CVSS 9.8」と書かれている場合、ほとんどがこの基本値です。
Temporal Score（現状値）
現在の状況を考慮したスコアです。攻撃ツールが公開された・実際に悪用されている場合は危険度が上がります。逆に修正パッチ（KB）が公開された場合は危険度が下がることもあります。
Environmental Score（環境値）
会社ごとの環境を考慮したスコアです。ニュースで「CVSS 9.8」と騒がれていても、その機能を自社で使っていなければ影響は少ないかもしれません。逆に一般的には危険度が低くても、自社の重要システムに影響するなら優先度は上がります。
「ニュースの点数＝自社の危険度ではない」ということだけ覚えておけばOKです！
📌 まず覚えるならこれだけ！
初心者のうちは以下の4つだけ覚えておけば十分です。
- CVSSは脆弱性の危険度を数字で表したもの
- 7.0以上は要注意
- 9.0以上は即確認レベル
- ニュースの点数と自社の危険度は違うことがある
まずは「数字が大きいほど危険！」から覚えていきましょう。
まとめ
今回のポイントをまとめると……
- CVSSは脆弱性の危険度を数値化した仕組み
- 7.0以上は要注意、9.0以上は即確認レベル
- Base・Temporal・Environmentalの3種類がある
- ニュースの点数と自社の危険度は違うことがある
これで流れが見えてきたのではないでしょうか。
CVE（脆弱性の管理番号）→ CVSS（危険度の点数）→ Critical（危険度ランク）→ KB（修正プログラム）
ニュースで「CVSS 9.8」という数字を見ても、もう慌てる必要はありません。
まずは数字を見て「これは要注意かな？」と判断できるようになれば十分です！
はぁ……まだ「数字が大きいから危険そう」くらいで止まってたんですか。大丈夫です、サナが一個ずつ噛み砕いて教えてあげますから、ちゃんとついてきてくださいね？
関連記事
コメント