FAQ
サービス仕様について
NVDについて知りたい
NVD(National Vulunerability Database) は米国標準技術研究所(NIST)が運営する脆弱性データベースを指します。 NVDでは、公開されたIT機器/ソフトウェアの脆弱性を管理、その影響度合いの評価データを公開しています。
CVEについて知りたい
CVE(Common Vulnerabilities and Exposures) は公開されているIT機器/ソフトウェアの脆弱性情報を識別する情報です。 これらの脆弱性情報には、それぞれに固有のCVE IDが付与され、NVDを始めとして世界中の脆弱性管理の中で利用されています。
CVSSについて知りたい
CVSS(Common Vulnerability Scoring System) は脆弱性情報の深刻度を評価するために用いられる国際的な指標です。
CVSSでは、どこから攻撃可能であるか?どの程度のインパクトがあるか?など複数の観点で脆弱性情報を評価、CVSS スコアに応じて、深刻度を5段階のレベルで表現しています。
深刻度 | スコア |
---|---|
緊急(Critical) | 9.0 〜 10.0 |
重要(Important) | 7.0 〜 8.9 |
警告(Warning) | 4.0 〜 6.9 |
注意(Attention) | 0.1 〜 3.9 |
なし(None) | 0 |
『ベンダーによるスコアリング』について知りたい
世界中で広く利用されるオープンソースソフトウェア等の脆弱性情報(CVE)に対する評価は、提供するベンダーによって異なる場合があります。
例えば、RHEL(RedHat Enterprise Linux) においては、RedHat Errataと呼ばれるデータベースで脆弱性情報の評価、対応状況を一元管理しています。 このような情報を『ベンダーによるスコアリング』と表現しており、CentOS/Ubuntu延長パッケージにおいては、パッケージ提供時の判断要素として活用しています。