脆弱性情報収集の基礎知識

この記事はみらい翻訳のカレンダー | Advent Calendar 2023 - Qiita の 23 日目です。

こんにちは。プラットフォーム開発部でリードエンジニアをしている chance です。

今回は脆弱性の情報収集についてお話をします。

はじめに

システム開発・運用において、言うまでもなく脆弱性対策は必須ですよね。

と言っても、やるべきことは色々とあります。

設計・開発段階での防御の実装
静的コード解析によるリスク分析
脆弱性診断による検知
システムやソフトウェアの適切なアップデート
新たに発見された脆弱性の情報収集と対処

今回はこの中でも最後に挙げた最新情報の収集について見ていきます。というのも、脆弱性に関しては様々な情報源があり、似たような用語もたくさんあるため、情報をまとめておきたいと思ったためです。

脆弱性情報収集プロセスのベストプラクティスはIPAのサイトなどをご参照頂くとして、

www.ipa.go.jp

本稿では脆弱性に関連するシステムや組織などをリファレンス的にまとめます。概要とワードが掴めれば詳細はそれぞれ調べることができるので、なるべく広範に情報整理できればと思います。

TL; DR

図にまとめてみました。なんとなくイメージしやすく画像を付けましたが、まったく他意はありません。

概要

まず全体像を眺めます。

日々新しく報告され続ける脆弱性に対して国や組織を跨いで一意な識別をするため、CVE で一意な ID を振り、NVD で詳細情報（脆弱性の内容や対策、CWE,CPE,CVSS,KEVなど）が公開されます。これらは MITRE社と NIST によって管理されています。

また日本においては IPA と JPCERT/CC によって、JVN というポータルサイトと JVN iPedia という脆弱性情報データベースが運営されています。

脆弱性に関連する組織は他にも、KEV を策定している CISA、SSVC を策定している CERT/CC、CVSS や EPSS を策定している FIRST などがあります。また、コミュニティとしては OWASP なども有名です。

それでは、各用語について整理していきます。

脆弱性リスト／データベース

名称	超概要	情報収集
CVE	世界的に一意な脆弱性情報リスト	-
NVD	CVEに詳細情報を付けたデータベース	https://nvd.nist.gov/vuln/data-feeds
KEV	既に悪用が確認された脆弱性リスト	https://www.cisa.gov/about/contact-us/subscribe-updates-cisa
JVN	日本の脆弱性情報ポータルサイト	https://jvn.jp/rss/jvnrss.html
JVN iPedia	日本の脆弱性情報データベース	https://jvndb.jvn.jp/ja/feed/

CVE (Common Vulnerabilities and Exposures)

cve.mitre.org

脆弱性情報に一意な ID を割り当てるもので、アメリカの MITRE Corporation が管理しています。CVE の目的は「脆弱性を一意に識別すること」とされるため、詳細情報は NVD などを参照する必要があります。

例：発行された西暦と通番で表現されます。 CVE-2023-XXXXXX

CVE Reference Key/Maps

CVE では世界中の様々な脆弱性データベースを参照しています（CVE - CVE Reference Key/Maps）。例えば、APPLE や Microsoft といった企業、DEBIAN や UBUNTU といった団体、日本からも JVN と JVNDB が含まれています。

CNA (CVE Numbering Authorities)

CVE は MITRE社に認定を受けた世界中の様々な組織や企業が採番できます（CVE Website）。2023 年 12 月現在で日本からは 11 の団体が認定を受けていて JPCERT/CC も含まれています。

NVD (National Vulnerability Database)

nvd.nist.gov

CVE を分析して詳細情報を決定し、検索可能なデータベースとして公開されています。管理される情報には、その脆弱性の技術的な内容、対策や修正情報、脆弱性の分類（CWE）、影響を受ける対象（CPE）、深刻度やリスク（CVSS）、悪用された実績（KEV）などが含まれます。NIST (アメリカ国立標準技術研究所) という組織が管理しています。

NIST から API による情報収集が可能です。RSS Feed も提供されていましたが、廃止されるとのことでした。

NVD - Data Feeds

CWE（Common Weakness Enumeration）

脆弱性を体系的に識別するためのカテゴリです（CWE - CWE List Version 4.14）。MITRE により管理されています。

例：SQL インジェクション CWE-89: Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection')

CPE（Common Platform Enumeration）

ハードウェアや OS、アプリケーションなどを識別するための名称です（NVD - CPE）。NIST により管理されてます。

例：Red Hat Enterprise Linux 4.0 Update 4 の場合 cpe:/o:redhat:enterprise_linux:4:update4

CVSS（Common Vulnerability Scoring System）

脆弱性の深刻さを定量評価するためのスコアです。後述します。

KEV（Known Exploited Vulnerabilities catalog）

www.cisa.gov

既に悪用が確認された脆弱性の一覧です。CVSS スコアによらず「実際に悪用されているかどうか」で評価されることが特徴です。

CISA というアメリカの政府機関が管理していて、2021 年 11 月公開と比較的新しい情報です。2022 年から、NVD にも KEV が含まれるようになりました。

KEV 単体での RSS Feed はありませんが、CISA からのレポートが提供されています。

Subscribe to Updates from CISA | CISA

JVN (Japan Vulnerability Notes)

jvn.jp

日本国内に関連のある脆弱性情報を提供するポータルサイトです。脆弱性情報にJVN IDを振り当てられ、脆弱性が確認された製品とバージョン、脆弱性の詳細や分析結果、製品開発者によって提供された対策や関連情報、回避策などが掲載されます。JPCERT/CC と IPA によって共同運営されています。

JVN は CVE との相互リンクされているものがあります。また、US-CERT(現 CISA)、CERT/CC、CPNI(イギリスの政府機関)などと連携した情報も含みます。これらの連携先は JVN ID で表現されていて、JVN# で始まる ID が JVN 主導で調整したもの、 JVNVU# や JVNTA# は他の組織が調整したものです。

情報収集として RSS Feed が利用できます。

Japan Vulnerablity Notes／JVNJS/RSS Feed

JVNDB（JVN iPedia）

jvndb.jvn.jp

JVN に加えて NVD などの海外の情報も踏まえた脆弱性対策情報データベースです。JVNをより検索しやすくしたものになっています。JVN と同じく IPA, JPCERT/CC によって管理されています。

JVNDB は JVN に加えて情報量も広範にカバーしていると言えますが、より総合的な情報整理を行うため、JVN の方が情報公開が早い場合があります。どちらかのみの参照ではなく、併せて活用するのがよいです。

情報収集として RSS Feed が利用できます。

JVN iPedia - 脆弱性対策情報データベース

組織

名称	超概要	情報収集
MITRE	CVEの管理	-
NIST	NVDの管理	https://nvd.nist.gov/vuln/data-feeds
CISA	ガイドラインの提示, KEVの管理	https://www.cisa.gov/about/contact-us/subscribe-updates-cisa
CERT/CC	SSVCの管理	-
FIRST	CVSS, EPSSの管理	-
OWASP	Webアプリのセキュリティ対策	-
IPA	JPN, JPN iPediaの管理	https://www.ipa.go.jp/security/security-alert/index.html
JPCERT/CC	JPN, JPN iPediaの管理	https://www.jpcert.or.jp/rss/