1737537532
2025-01-22 09:01:00
最近、Microsoft が割り当てた重大度評価と併せて、Patch Tuesday の脆弱性に対して Microsoft が割り当てた CVSS v3.1 スコアを調べました。私はこれらの数値を再確認し、CVSS がマイクロソフトの重大度に関する見解とどの程度一致しているかを確認したいと思いました。
免責事項: CVSS v4.0 が存在することは承知しています。ただし、Microsoft はまだこれを採用していないため、完全に比較したかったのです。
CVSS v3.1 とは何ですか?
CVSS v3.1 は、次のような定性的重大度評価スケールを提供します。
評価
CVSSスコア
一方、Microsoft は次のような説明を付けて評価を提供しています。
評価
説明
CVSS と Microsoft の評価の比較
最も簡単な方法は、リストの末尾に同じ名前の Critical と Low を使用して、これらを 1 対 1 でマッピングすることです。私はこれをもう少し進めて、Microsoft の説明をスコアリングして、範囲を見つけられるかどうかを確認したいと思いました。ここでの考え方は、生成されるスコアが重大度の範囲の下限になるということです。
Microsoft の緊急評価の低い方は、ブラウザまたは電子メールの脆弱性です。これを自分で採点するのではなく、CVSS v3.1 の例を検討することにしました。 Google Chrome のサンドボックス バイパスの脆弱性は、私にとって Microsoft 版の「Critical」のように聞こえ、スコアは 9.6 でした。
「重要」に移り、スコアが 7.8 の Adobe Acrobat のバッファ オーバーフローの脆弱性が最も近い例であると判断しました。
中程度の場合は、Apache Tomcat XML パーサーの脆弱性の例 (スコア 4.2) が気に入りました。もちろん、Low はそれ以下になります。
最終的に、テーブルは次のようになり、CVSS からそれほど遠くありませんが、いくつかの違いがあることに注意してください。
評価
スコア
ただし、この記事の目的は、Microsoft の重大度と CVSS スコアの間の本当の関係を調査することであり、使用できるデータ ポイントはたくさんあります。具体的には、Microsoft Security Response Center (MSRC) API を使用して、2017 年から 2024 年末までのすべての脆弱性データを取得しました。それでは、調査内容を詳しく見てみましょう。
私が抽出したデータには合計 5,926 件の脆弱性があり、これはレビューすべき CVSS スコアとしてはかなりの量です。そこで、高校数学に数分間戻って、平均値、中央値、最頻値を見てみることにしました。
平均 CVSS スコア: 7.0
CVSS スコア中央値: 7.5
モード CVSS スコア: 7.8 (1,623 回発生)
スコア 7.8 が頻繁に発生することに少し驚きました。合計 5,926 件の脆弱性のうち 1,623 件の脆弱性があるため、スコア 7.8 は割り当てられたすべてのスコアの 27.4% に相当し、高いと思われます。 4 件中 1 件以上の脆弱性が同じスコアになった場合、これを優先順位付けに使用するのは困難な指標になります。私が本当に驚いたのは、データをさらに細分化し、Microsoft の重大度レベルに基づいて調べたときです。
致命的 (735件の脆弱性)
平均 CVSS スコア: 7.3
CVSS スコア中央値: 7.8
モード CVSS スコア: 4.2 (167 回発生)
重要 (4,783 件の脆弱性)
平均 CVSS スコア: 7.0
CVSS スコア中央値: 7.5
モード CVSS スコア: 7.8 (1,544 回発生)
適度 (127件の脆弱性)
平均 CVSS スコア: 6.6
CVSS スコア中央値: 7.5
モード CVSS スコア: 7.5 (73 回発生)
低い (281 件の脆弱性)
平均 CVSS スコア: 4.9
CVSS スコア中央値: 4.2
モード CVSS スコア: 4.2 (167 回発生)
ここで良いニュースは、平均 CVSS スコアです。 する 重大度が低下するにつれて低くなりますが、これは予想どおりです。重要として分類される脆弱性の数を考慮すると、スコア 7.8 が発生する頻度は驚くことではありません。過去 8 年間に Microsoft がリリースした脆弱性のうち、合計 80.7% の重大度評価は「重要」でした。
驚くべき類似点
それで、私はどこで驚いたのでしょうか？最大の驚きは、最も頻繁に発生する重大度の CVSS スコアが、最も頻繁に発生する低 CVSS スコアと同じであり、奇妙なことに、両方とも 167 件発生していたことです。 Microsoft が重大とみなした脆弱性が、CVSS が中とみなす脆弱性の最低レベルに該当するものがこれほど多くあることに驚きました。優先順位の観点からすると、これを調整するのはまったくの悪夢です。もう少し詳しく調べてみることにしました。Microsoft で何かが変わったに違いありません。CVSS スコア 4.2 が割り当てられた最後のクリティカルは 2021 年に発生し、その年の唯一のクリティカルだったからです。残りの 166 件は 2017 年から 2020 年の間に発生しました。
また、私にとって興味深いのは、重大な中央値が重要モードであり、重要度と中程度の両方の重大度レベルが同じ中央値 (7.5) を共有しており、これがたまたま中程度のモードでもあったことです。これらの数字は私が予想していたよりも類似していました。
その後、Microsoft は悪用された脆弱性にもっと注意を払っているのではないか、そしてそれらだけに注目すると何か違うことが見えるのではないかと考え始めました。 8 年間で、Microsoft によってパッチされた 124 件の脆弱性が悪用されたと分類されました。
平均 CVSS スコア: 7.5
CVSS スコア中央値: 7.8
モード CVSS スコア: 7.8 (47 回発生)
全体的にはあまり変化はありません。平均値は合計脆弱性中央値と一致するまで上昇し、中央値とモードは合計脆弱性モードと一致しました。重症度別に分類するとどうなるでしょうか?
致命的 (19件の脆弱性)
平均CVSSスコア: 8.3
CVSS スコア中央値: 7.8
モード CVSS スコア: 7.8 (5 回発生)
重要 (91件の脆弱性)
平均 CVSS スコア: 7.4
CVSS スコア中央値: 7.8
モード CVSS スコア: 7.8 (42 回発生)
適度 (13件の脆弱性)
平均CVSSスコア: 6.8
CVSS スコア中央値: 7.5
モード CVSS スコア: 7.5 (6 回発生)
低い (脆弱性 1 件)
平均 CVSS スコア: 4.3
CVSS スコア中央値: 4.3
モード CVSS スコア: 4.3 (1 回発生)
繰り返しますが、全体的な変化はあまりありません。クリティカルの重大度の脆弱性は平均 8.3 で少し良くなっているように見えますが、それでも CVSS のクリティカルの範囲を考えると予想よりも低いです。
CVSS スコアにマッピングされた悪用された脆弱性
事態がより興味深いのは、CVSS スコアとマッピングされた悪用された脆弱性を調べ始めるときです。
画像
積極的に悪用された脆弱性の多くは、私が予想していたとおり、右側に集中するのではなく、グラフの中央付近にランク付けされています。優先順位付けの考えに戻ると、CISA の既知の悪用された脆弱性カタログ (KEV) が会話に別の興味深い角度を加えます。 KEVとして 州「組織は、脆弱性管理の優先順位付けフレームワークへの入力として KEV カタログを使用する必要があります。」
Microsoft は、Microsoft のすべての重大度レベルと CVSS スコア範囲の大部分にわたって脆弱性を悪用しました。そのため、KEV は、脆弱性は「優先順位付けフレームワーク」への「入力」であるべきであり、優先順位付けのみに使用するとは述べていません。これは、CVSS に基づくパッチ適用を必要とする標準が適切な優先順位付けの重要性と乖離している大きな理由でもあります。脆弱性の優先順位付けを行う際に利用できる手段は多数あるため、優先順位付けの単一の情報源だけに依存するのではなく、それらを活用するようにしてください。
一日の終わりに、数字を見てみたいと思いましたが、数字が本当に物語っているかどうかはわかりません。ただし、CVSS がそれ自体で有効な優先順位付けの指標であるという考えは、彼らが反証していると私は信じています。それら自体も興味深いものでしたので、私と一緒にこの数字のウォークスルーを楽しんでいただければ幸いです。
#Microsoft #の #CVSS #v3.1 #評価と重大度スコアについて