CVEとは？世界が共有するセキュリティ情報

ざっくりと

CVEとは、セキュリティ脆弱性の共有リストです。

概要説明

CVEとは、情報セキュリティの脆弱性とエクスポージャーを記したリストである。なぜならば、これにより組織間で情報を共有し、サイバーセキュリティの向上を図るため。

例えば、データの漏洩や個人情報の流出につながるエクスポージャーを記録している。そして、これはMITRE社によって1999年から提供されている。

つまり、世界共通の脆弱性情報辞書である。だから、セキュリティ専門家はCVEを使って情報をスムーズに交換する。

職業職種

CVEは、名前の由来はCommon Vulnerabilities and Exposures（共通脆弱性と露出）です。

代表例

• MITRE
  MITREは、CVEの元祖である。なぜなら、1999年にMITREが初めてCVEリストを公開したからだ。例えば、全世界の組織がこのリストを使ってセキュリティ対策を行っている。
• Microsoft
  Microsoftは、CVEを活用する典型的な例である。なぜなら、自社の製品に関するCVE情報を公開し、それに対するパッチを提供しているからだ。例えば、Windowsのセキュリティアップデートではこれが一般的。
• Brian Martin
  Brian Martinは、CVEの指標作成に貢献した人物である。なぜなら、彼の提案がCVE作成の基礎になったからだ。例えば、彼の提案に基づいて、CVEは標準化された脆弱性識別子を持つようになった。

手順例

類似語

• Common Weakness Enumeration (CWE)
  CWEは、CVEとよく似ている。なぜなら、CWEもソフトウェアの脆弱性に関する情報を提供しているからだ。例えば、CWEでは脆弱性の原因や発生パターンを詳しく説明している。
• Open Vulnerability and Assessment Language (OVAL)
  OVALは、CVEと同じように脆弱性を表現する言語だ。なぜなら、OVALもセキュリティの専門家が情報を共有するために使うからだ。例えば、OVALは脆弱性の検出や評価を自動化することを可能にしている。
• National Vulnerability Database (NVD)
  NVDは、CVEと関連性が高いデータベースだ。なぜなら、NVDはCVEの情報を元に詳細な脆弱性情報を提供しているからだ。例えば、NVDではCVEに対する影響度や修正方法が提供されている。

反対語

• セキュリティ修復
  セキュリティ修復は、脆弱性を修復する活動である。なぜなら、CVEが問題を見つけるのに対して、これはその問題を解決するからだ。例えば、パッチ適用がこれに当たる。
• 隠蔽
  隠蔽は、問題やバグを隠す行為である。なぜなら、CVEがバグを公開するのに対し、隠蔽はそれを隠すからだ。例えば、欠陥のある製品を知っていてもそれを公表しない企業の行為がこれに当たる。
• セキュリティ強化
  セキュリティ強化は、システムを強固にする行為である。なぜなら、CVEが弱点を見つけるのに対して、これはそれを防ぐからだ。例えば、ファイアウォールの設定強化がこれに当たる。

会話例

注意点