脆弱性の優先順位付けを理解する

Severity [重大度は]脆弱性の CVSS スコアに基づきます。 オープンな業界標準である CVSS は、複数のアクセスと影響のメトリックの式を使用して脆弱性の重大度を計算します。

この表には、CVSS スコアに対応して割り当てたタグが表示されます。

アクティブなランサムウェアは、既知のランサムウェア キャンペーンで使用されている脆弱性です。 ランサムウェア インシデントの影響は深刻であるため、これらの脆弱性は優先度の高いものとなっています。

サイバーセキュリティおよびインフラストラクチャセキュリティ庁 (CISA)は、ランサムウェアを「デバイス上のファイルを暗号化し、ファイルやそれに依存するシステムを利用不能にするように設計された、進化し続けるマルウェア」と定義しています。 悪意のある攻撃者は、復号化と引き換えに身代金を要求します。 ランサムウェアの攻撃者は、身代金が支払われない場合、盗み出したデータや認証情報を売却または漏洩すると脅迫することが多い。」

詳細については、CISA の既知の悪用された脆弱性カタログのページをご覧ください。

悪用確率スコアは、脆弱性が実際に悪用される可能性を評価する EPSS に基づいています。 このような場合、脆弱性を利用した攻撃者が存在することが知られています。 EPSS スコアは、文脈を無視すると低く見える場合がありますが、セキュリティ専門家は、悪用確率が 85 パーセンタイルを超えるすべての脆弱性に対して高い優先順位を与えることを推奨しています。 これは、その脆弱性が悪用される重大なリスクを示しています。

詳細については、FIRST のEPSS モデルのページをご覧ください。

この表には、エクスプロイトの可能性の各レベルに割り当てたタグが表示されます。

IAST で確認された脆弱性は、カスタム コード内で発見され、たとえ脅威アクターがエクスプロイトに気づいていなかったとしても、実際にエクスプロイト可能であることが確認されています。