脆弱性の管理と検査（CVE・CVSS・ファジング）

ソフトウェアには脆弱性が見つかり続けます。どの製品のどの脆弱性かを共通の番号で指し，深刻さを共通の物差しで測り， 攻撃される前に自分で見つけるための仕組みがそろっています。情報処理安全確保支援士の科目A-2（午前Ⅱ）を中心に，科目A-1（午前Ⅰ）や PM の科目A-2 にも出ていて，ほとんどが略語と説明を対応させる問題です。

脆弱性を指す番号と一覧

CVE	製品に含まれる脆弱性の一つ一つを識別する番号（CVE-2014-3566 など）。MITRE が事務局を務める
CWE	脆弱性の種類の一覧（クロスサイトスクリプティング，SQL インジェクションなど）
JVN	日本で使われている製品の脆弱性情報と対策を公開するポータルサイト。CVE・CWE・CVSS を採用している
SCAP	脆弱性の管理・測定・評価を自動化するために，米国の NIST が CVE・CWE・CVSS などを組み合わせて定めた基準

CVE は「この製品のこの脆弱性」，CWE は「どんな種類の弱点か」と分けて覚えると取り違えません。攻撃の手口のほうを分類した知識ベースは MITRE ATT&CK で，これも MITRE が公開しています。

CVSS の三つの基準

CVSS（共通脆弱性評価システム）は，脆弱性の深刻度を0.0〜10.0の数値で表す評価方法です。特定のベンダーに依存しないので，製品をまたいで比べられます。 CVSS v3 は三つの基準で評価します。

基本評価基準	脆弱性そのものの特性。どこから攻撃できるか（攻撃元区分），攻撃に必要な特権レベル，機密性・完全性・可用性への影響など。時間や環境で変わらない
現状評価基準	攻撃コードが出回っているか，対策が提供されているかなど，今の状況。時間とともに変わる
環境評価基準	その脆弱性が利用者の環境でどれだけ重大か。利用者ごとに変わる

2023年に公開された CVSS v4.0 では，現状評価基準が「脅威評価基準」に改められ，「補足評価基準」が加わりました。

脆弱性を見つける・管理する

ファジング：ソフトウェアに，問題を引き起こしそうなデータ（長すぎる文字列，想定外の値など）を大量に多様なパターンで入力し，異常終了などの挙動から脆弱性を見つけます。ソースコードがなくても行えます。
ペネトレーションテスト：攻撃者と同じ手口で実際に侵入を試み，ファイアウォールや公開サーバに入り込めないかを確かめます。 IoT 機器では，ネットワークだけでなく，基板のバスやデバッグ用のインタフェースからの侵入も試します。
SBOM：ソフトウェアを構成する部品（コンポーネント）と依存関係のリストです。使っているライブラリに脆弱性が公表されたとき，自社のどのソフトウェアが影響を受けるかをすぐに調べられるので，脆弱性管理に使います。
ゼロデイ攻撃：修正のセキュリティパッチが提供される前に，その脆弱性を突く攻撃です。パッチを当てるだけでは防げないので，振る舞いの監視や侵入後の検知（EDR）などを重ねて備えます。

試験での問われ方

当サイトが収録している科目A（午前）の問題のうち，CVE・CVSS・JVN・ファジング・ゼロデイなどの語が出てくるのは33問です。型ごとに数えると次のとおりです。

CVE と CWE（8問）。JVN などで採用されている CVE 識別子の説明（正解は「製品に含まれる脆弱性を識別するための識別子」，6問）と， CWE の説明（「ソフトウェア及びハードウェアの脆弱性の種類の一覧」など2問）です。
ファジング（8問）。説明を選ぶ問題で，正解は「ソフトウェアに，問題を引き起こしそうな多様なデータを入力し，挙動を監視して，脆弱性を見つけ出す。」などです。
CVSS（6問）。三つの基準の名前から CVSS を選ぶ問題（4問），CVSS の特徴（ベンダーに依存しない評価方法），基本評価基準の説明です。
ペネトレーションテスト（3問）。目的（「ファイアウォールや公開サーバに対して侵入できないかどうかを確認する。」など2問）と，IoT 機器のペネトレーションテストです。
ゼロデイ攻撃（3問）。正解は「セキュリティパッチが提供される前にパッチが対象とする脆弱性を攻撃する。」などです。
SBOM・SCAP・MITRE（5問）。SBOM の説明と使い道（2問），NIST が策定した SCAP，MITRE の役割，攻撃手法を分類した知識ベース（MITRE ATT&CK）です。

出題された過去問（33問）

リンク先の年度ページで，問題と解説を読めます。

科目A-1（午前Ⅰ・高度試験共通）（9問）

令和7年度春期問13ソフトウェアの情報セキュリティ対策のうち，SBOM（Software Bill Of Mater…
令和6年度秋期問14JVN などの脆弱性情報サイトで採用されている CVE（Common Vulnerabiliti…
令和4年度春期問15ファジングに該当するものはどれか。
令和元年度秋期問14ファジングに該当するものはどれか。
平成30年度秋期問15脆弱性検査手法の一つであるファジングはどれか。
平成30年度春期問14ファジングに該当するものはどれか。
平成27年度秋期問13ゼロデイ攻撃の特徴はどれか。
平成27年度秋期問15ペネトレーションテストの目的はどれか。
平成23年度特別試験問14ゼロデイ攻撃の特徴はどれか。

情報処理安全確保支援士科目A-2（午前Ⅱ）（19問）

令和7年度秋期問12MITRE の役割に該当するものはどれか。
令和6年度秋期問3様々なサイバー攻撃手法を分類したナレッジベースはどれか。
令和6年度春期問9JVN などの脆弱性対策ポータルサイトで採用されている CWE はどれか。
令和6年度春期問17ソフトウェアの脆弱性管理のためのツールとしても利用される SBOM（Software Bill …
令和5年度秋期問12脆弱性管理，測定，評価を自動化するために NIST が策定した基準はどれか。
令和5年度春期問22IoT 機器のペネトレーションテスト（Penetration Test）の説明として，適切なもの…
令和3年度春期問8JVN などの脆弱性対策情報ポータルサイトで採用されている CVE（Common Vulnera…
令和元年度秋期問9基本評価基準，現状評価基準，環境評価基準の三つの基準で情報システムの脆弱性の深刻度を評価するもの…
平成31年度春期問22問題を引き起こす可能性があるデータを大量に入力し，そのときの応答や挙動を監視することによって，ソ…
平成30年度秋期問2JVN などの脆弱性対策情報ポータルサイトで採用されている CVE（Common Vulnera…
平成30年度春期問1CVSS v3 の評価基準には，基本評価基準，現状評価基準，環境評価基準の三つがある。基本評価基…
平成29年度秋期問13基本評価基準，現状評価基準，環境評価基準の三つの基準で情報システムの脆弱性の深刻度を評価するもの…
平成29年度春期問10JVN などの脆弱性対策ポータルサイトで採用されている CVE（Common Vulnerabi…
平成27年度春期問7JVN（Japan Vulnerability Notes）などの脆弱性対策ポータルサイトで採用…
平成26年度秋期問7基本評価基準，現状評価基準，環境評価基準の三つの基準で IT 製品のセキュリティ脆弱性の深刻さを…
平成26年度春期問14JVN（Japan Vulnerability Notes）などの脆弱性対策ポータルサイトで採用…
平成25年度秋期問5JVN（Japan Vulnerability Notes）などの脆弱性対策ポータルサイトで採用…
平成25年度春期問10基本評価基準，現状評価基準，環境評価基準の三つの基準で IT 製品のセキュリティ脆弱性の深刻さを…
平成24年度秋期問13ゼロデイ攻撃の特徴はどれか。

プロジェクトマネージャ科目A-2（午前Ⅱ）（4問）

令和5年度秋期問25脆弱性検査手法の一つであるファジングはどれか。
令和2年度 10月問24共通脆弱性評価システム（CVSS）の特徴として，適切なものはどれか。
令和2年度 10月問25脆弱性検査手法の一つであるファジングはどれか。
平成29年度春期問25ペネトレーションテストに該当するものはどれか。

システムアーキテクト科目A-2（午前Ⅱ）（1問）