このドキュメントの内容は次のとおりです。
- Security RX で優先順位を確認する場所
- 脆弱性の優先順位にどのようなデータが考慮されるか
Security RX での優先順位の表示
/* <img title="Security RX prioritization" alt="An image showing the vulnerabilities prioritization on the Security RX vulnerability list page." src="/images/vuln-priority-security.webp" /> <figcaption> <DNT> **[one.newrelic.com > All capabilities](https\://one.newrelic.com/all-capabilities) > Security RX > (select vulnerabilities tab)** </DNT> </figcaption> */
Security RX の脆弱性の優先順位を表示するには、 one.newrelic.com > All capabilities > Security RX > All Vulnerabilitiesに移動します。
優先順位は、脆弱性に関するすべての既知のデータに基づいて決定されます。 Reason to prioritize [優先順位を付ける理由]列は、主要な CVSS (共通脆弱性評価システム)、EPSS (エクスプロイト予測評価システム)、および既知のアクティブなランサムウェア データの概要と重み付けです。
優先順位に影響を与えるデータ
Severity [重大度は]脆弱性の CVSS スコアに基づきます。 オープンな業界標準である CVSS は、複数のアクセスと影響のメトリックの式を使用して脆弱性の重大度を計算します。
この表には、CVSS スコアに対応して割り当てたタグが表示されます。
重大度 | CVSS範囲 |
|---|
致命的 | 9.0～10.0 |
高 | 7.0～8.9 |
ミディアム | 4.0 - 6.9 |
低 | 0.1～3.9 |
情報 / なし | 0.0 |
アクティブなランサムウェアとは、既知のランサムウェア キャンペーンで使用された脆弱性のことです (このデータは New Relic の公式パートナー ネットワークから取得されています)。 ランサムウェア インシデントの影響は深刻であるため、これらの脆弱性は優先度の高いものとなっています。
サイバーセキュリティおよびインフラストラクチャセキュリティ庁 (CISA)は、ランサムウェアを「デバイス上のファイルを暗号化し、ファイルやそれに依存するシステムを利用不能にするように設計された、進化し続けるマルウェア」と定義しています。 悪意のある攻撃者は、復号化と引き換えに身代金を要求します。 ランサムウェアの攻撃者は、身代金が支払われない場合、盗み出したデータや認証情報を売却または漏洩すると脅迫することが多い。」
詳細については、CISA の既知の悪用された脆弱性カタログのページをご覧ください。
悪用確率スコアは、脆弱性が実際に悪用される可能性を評価する EPSS に基づいています。 このような場合、脆弱性を利用した攻撃者が存在することが知られています。 EPSS スコアは、文脈を無視すると低く見える場合がありますが、セキュリティ専門家は、悪用確率が 85 パーセンタイルを超えるすべての脆弱性に対して高い優先順位を与えることを推奨しています。 これは、その脆弱性が悪用される重大なリスクを示しています。
詳細については、FIRST のEPSS モデルのページをご覧ください。
この表には、エクスプロイトの可能性の各レベルに割り当てたタグが表示されます。
悪用の確率 | EPSS パーセンタイル |
|---|
悪用される可能性が非常に高い | 95%
|
悪用される可能性が非常に高い | 90%
|
悪用の可能性 | 85%
|
ランキングロジックの例
EPSS が「悪用される可能性が高い」という重大度が「高い」脆弱性は、悪用される可能性が 85 パーセンタイル未満の EPSS レベルを持つ「重大」な重大度の脆弱性よりも高いランクになる可能性があります。
次は何ですか？
脆弱性の優先順位付け方法を理解したら、脆弱性の管理を始めましょう。