Application Security
脆弱性リスクの優先順位付け
CVSS だけでは不十分な理由 #
CVSS は理論的な深刻度、つまり脆弱性が抽象的にどれほど危険であるかを示します。しかし、公開されたエクスプロイトが存在するかどうか、悪意のある活動が観察されているかどうか、または実行中のサービスでその弱点に到達可能かどうかは教えてくれません。
Splunk Secure Application は Security Risk Score を追加します。これは、基本 CVSS にエクスプロイトの可用性や観察された活動などの実世界のシグナルを組み合わせた脅威テレメトリです。運用リスクの評価とトリアージでは、CVSS だけでなく両方のスコアを使用する必要があります。
4.1 サービススコープの脆弱性を開く #
- APM → Overview に移動します。
- environment を ‘astronomy-shop-*’ に設定します。
- 脆弱性のある ‘ad` サービスをクリックします。
- Application Security タブ（またはサービスにスコープされた Runtime Vulnerabilities）を開きます。
4.2 高 CVSS・低リスクスコアの比較 #
- 高い CVSS スコアと低い Security Risk Score を持つ脆弱性を見つけます。
- アクティブなエクスプロイトのコンテキストがあるかどうかを示すインジケーターを確認します。
ナレッジチェック #
理論的な深刻度が高いにもかかわらず、チームがこの項目を安全に優先度を下げられるのはなぜですか？
4.3 高 CVSS・高リスクスコアの比較 #
- 高い CVSS と高い Security Risk Score を持つ脆弱性を見つけます。
- この CVE に対するエクスプロイトを示す “vulnerability reached” または類似のインジケーターを確認します。
ナレッジチェック #
この項目が最優先の対応を必要とするのはなぜですか？
学んだこと #
- 運用トリアージにおける CVSS と Security Risk Score の違い。
- 優先度を下げても安全な項目と最優先にすべき項目の識別方法。
- エクスプロイト到達インジケーターがカタログ化された CVE をアクティブなリスクに結びつける仕組み。