はじめに
脆弱性のニュースを見ていると、Critical・Important・Moderate・Lowこんな単語を見かけませんか？
初心者の頃のサナは「Criticalって書いてあるからヤバそうだけど、結局どれくらい危険なの？」って思ってました。
実はこれ、「今すぐ対応した方がいいかどうかを判断するための危険度ランク」なんです。今回はCriticalって何？ImportantとCVSSとの違いは？この辺を初心者向けにざっくり解説していきます！
📌 危険度は全部で4ランク！
脆弱性の危険度は一般的に次の4段階で表現されます。
| 危険度 | イメージ |
|---|---|
| Critical | 今すぐ対応レベル |
| Important | 早めに対応 |
| Moderate | 注意 |
| Low | 影響は比較的小さい |
初心者のうちはCriticalとImportantだけ覚えておけばOKです。まずは「Criticalと書いてあったら急ぐ」これだけ覚えておきましょう！
📌 Critical（緊急）が最高に危険な理由
Criticalは危険度が最高レベルの脆弱性です。場合によってはパソコンを乗っ取られる・サーバーを勝手に操作される・情報を盗まれるといった被害につながることがあります。
実際に過去のCritical事例として、Windowsの「PrintNightmare」という脆弱性では、印刷機能を悪用してシステムを乗っ取られる攻撃が世界中で確認されました。修正パッチが出た直後から攻撃が急増したケースで、対応の速さが明暗を分けた典型例です。
中にはネットに繋がっているだけで攻撃される可能性がある脆弱性も存在します。そのためCriticalが公開された場合は「後でやろう」は禁句です。できるだけ早くアップデートを検討しましょう。
📌 Important（重要）も油断できない
Importantは Criticalの一つ下の危険度です。でも「Criticalじゃないから大丈夫」という意味ではありません。実際にサイバー攻撃で悪用される脆弱性の中にもImportantはたくさんあります。
サナ的にはCriticalとImportantは同じくらい真面目に見るくらいでちょうど良いと思っています。Importantも早めの対応がおすすめです。
📌 危険度ランクとCVSSは繋がってる
実はCritical・Importantといった危険度ランクは、CVSS（Common Vulnerability Scoring System）というスコアをもとに決まっています。CVSSは脆弱性の危険度を10点満点で数値化したもので、スコアが高いほど危険度が高くなります。
| CVSSスコア | 危険度ランクの目安 |
|---|---|
| 9.0〜10.0 | Critical（緊急） |
| 7.0〜8.9 | Important（重要） |
| 4.0〜6.9 | Moderate（注意） |
| 0.1〜3.9 | Low（低） |
ニュースでCVSS 9.8みたいな数字を見たら「これCriticalクラスだ」と判断できます。CVSSについては別記事で詳しく解説予定です！
📌 まず覚えるならこれだけ！
初心者のうちは以下の4つだけ覚えておけば十分です。
✅ Criticalは最優先で対応
✅ Importantも後回しにしない
✅ CVSS 9以上は警戒
✅ アップデートを放置しない
全部を理解しようとすると大変なので、まずは「危険そうかどうかを判断できるようになる」ことを目指しましょう。
まとめ
今回のポイントをまとめると……
- Critical → 危険度最高レベル、最優先で対応
- Important → 油断できない、早めに動く
- CVSS → 危険度を数字で表したスコア（9以上は要警戒）
- アップデートの放置は危険
CVEで問題を知り、危険度（Critical/CVSS）を確認し、KBで修正する。 この流れが分かれば、脆弱性ニュースの見え方が大きく変わります。ここまで読んでくれた人はもうセキュリティ初心者じゃないです！
はぁ……まだ「Criticalってなんかヤバそう」くらいで止まってたんですか。大丈夫です、サナが一個ずつ噛み砕いて教えてあげますから、ちゃんとついてきてくださいね？
関連記事
コメント