CVE トリアージ
スキャナーは 400 件の CVE ID と、その大半を「重大」と呼ぶ深刻度列を渡してきます。このデスクは、実際に悪用されているものでリストを順位付けします。既知の悪用には CISA KEV カタログ、悪用確率には FIRST EPSS スコア、影響には CVSS を使い、すべての入力を、それが生んだ優先度の横に印字します。だから順序は監査可能で、魔法の数字ではありません。
入力に CVE ID はまだ見つかっていません。
毎週パッチのキューを処理していますか？myeventwatch でサイトを無料で監視——期限切れとダウンタイムのアラート、カード不要。
順位付けの仕組み
各 ID は 3 つのソースで照会され、最初に一致したルールから優先度バンドが与えられます。P1 は CISA の既知悪用脆弱性（KEV）カタログへの掲載です。これは予測ではありません。CISA は能動的な悪用の証拠がある場合にのみ CVE を掲載します。だから KEV エントリはすべてに優先し、表にはその是正期限と、CISA が既知のランサムウェア利用をフラグしているかどうかが表示されます。P2 は EPSS スコア 0.10 以上です。FIRST が維持する EPSS は、CVE が今後 30 日以内に悪用される確率をモデル化したもので、0.10 は高い値です。スコアのある CVE の大半は 0.01 未満に位置するため、生のスコアを正直に保つためにパーセンタイル列も表示されます。P3 は悪用シグナルのない CVSS ベーススコア 7.0 以上（高または重大）です。使われれば深刻ですが、使われているとは知られていません。P4 はデータのあるその他のすべてです。バンド内では行は EPSS、次に CVSS で並びます。そしてすべての列ヘッダーで表を並び替えられます。あなたのキューが既定の順序と正当に異なることはあるからです。バンドが決してしないのは、その入力を隠すことです。ある行の優先度に同意できなければ、それを生んだ数字が同じ行にあります。
データの出所と鮮度
KEV カタログと EPSS スコアは sysosx のサーバーに毎日キャッシュされます。どちらの発行元も 1 日に 1 つの一括ファイルをリリースするため、このデスクはそれらのファイルを 1 日に 1 回ダウンロードし、あなたの照会はローカルコピーを読みます。結果のヘッダーには、各フィード自身の日付（カタログのリリース日、EPSS のスコア日）と取得日時が記されるので、どの日のデータがあなたのリストを順位付けしたか常に分かります。CVSS は例外です。KEV も EPSS もそれを持たないため、スコアは NVD から来ます。CVE が初めて照会されたときに 1 回だけ取得され、サーバーに恒久的にキャッシュされます。公表された CVSS スコアは変わらないからです。そのため、非常に新しい貼り付けでは、いくつかのスコアが保留中と表示されることがあります。それはキャッシュがまだそれらの ID に到達していないという意味で、スコアがないという意味ではありません。少し後にリストを再実行すれば埋まります。新規の照会は他のサーバー側チェックと同様に訪問者ごとに制限され、同じ貼り付けの繰り返しは短いキャッシュから提供されます。内部では、このページは抽出された ID を使って sysosx のサーバーの GET /api/check/cve-triage を呼びます。
このデスクが教えられないこと
正直な 3 つの限界。第一に、「今日のキャッシュデータにない」は 3 つのデータセットに存在しないということであって、判定ではありません。既知の悪用ではなく、EPSS スコアを持たず、NVD に記録がありません。それでも新しいもの、争いのあるもの、別の ID でスコアされたものかもしれません。肩をすくめるのではなく、手作業で見る価値があります。第二に、悪用データは世界の中の CVE についてのもので、あなたの資産についてのものではありません。インターネットに面したサーバー上の P4 が、エアギャップされたテストボックス上の P1 を上回ることもあり、どちらがどちらかはあなただけが知っています。インターネットに面したバッチを先にトリアージしてください。これが、このデスクが 1 回に 200 件の ID を受け取る理由でもあります。1 つの順位付けが資産全体に合うふりはしません。第三に、KEV への掲載は悪用に遅れ、EPSS はモデルであって神託ではありません。どちらも深刻度だけよりはるかに良い証拠ですが、どちらも P1 についてはベンダーの助言を読むことに代わりません。順位付けの背後にある考え方と、実例は、深刻度だけでなく悪用状況で CVE をトリアージするにあります。
関連ツール：ホストが実際に公開しているサービスを見るポートスキャナー（すべての CVE 判断の資産側の半分）、同じホストの証明書・有効期限・レコードを見るサイトヘルスチェック、そして検出結果が CVE ではなく TLS 設定である場合のSSL グレーダー。
よくある質問
データはどこから来て、どれくらい新しいのですか？
3 つの公開ソースで、それぞれ結果に日付がラベル付けされています。CISA の既知悪用脆弱性カタログと FIRST EPSS の日次スコアは、1 日に 1 回 sysosx のサーバーにダウンロードされ、そこにキャッシュされます。あなたの照会はローカルコピーを読み、CISA や FIRST にライブで問い合わせることはありません。CVSS スコアは NVD から来ます。CVE の最初の照会で 1 回取得され、恒久的にキャッシュされます。公表された CVSS スコアは変わらないからです。スコアが「保留中」と表示されたら、キャッシュがまだその CVE に到達していないということです。1 分後にリストを再実行すれば埋まります。
スキャナーの CVE が見つからない、または「今日のキャッシュデータにない」と表示されます。安全ですか？
そのような結論は得られず、このページがそうでないふりをすることもありません。「見つからない」は、その ID が今日キャッシュされたソースのいずれにも現れないという意味だけです。KEV カタログになく、現在のファイルに EPSS スコアがなく、NVD にその CVSS 記録がありません。新しい CVE は毎日現れ、EPSS はモデル化した CVE だけをスコアし、CVE は実在し、深刻で、3 つのどれにとっても単に新しすぎる場合があります。欠けている行は「無視」ではなく「手作業でトリアージ」として扱ってください。
なぜ CVSS 9.8 が CVSS 7.5 の下に順位付けされるのですか？
順位付けが影響ではなく悪用によるものだからです。その 7.5 は KEV カタログにあります。攻撃者が使っていることが知られているので P1 です。その 9.8 は EPSS スコアが高いか、ありません。悪用されれば深刻ですが、誰かがすでに悪用している証拠はありません。深刻度は侵害がどれほどひどくなるかを教え、KEV と EPSS は試みがどれほど起こりそうかを教えます。パッチの順序はまず可能性に従い、深刻度をタイブレークに使うべきで、それが P1–P4 バンドが符号化していることです。下にリンクされた記事が、その考え方を完全にたどります。
優先度バンドは正確には何を意味しますか？
P1：その CVE は CISA KEV カタログにあります。既知の悪用です。今すぐパッチを当て、KEV 期限の列に注意してください。P2：KEV にはありませんが、EPSS スコアが 0.10 以上です。今後 30 日以内に悪用される確率がモデルで 10% 以上ということで、これは非常にまれな領域です（スコアのある CVE の 1% を大きく下回ります）。P3：どちらでもありませんが、CVSS ベーススコアが 7.0 以上です（高または重大）。P4：データはありますが、どのしきい値も満たしません。通常どおり予定してください。バンドの背後にあるすべての入力は、それ自身の列に印字されています。バンドは並び順であって、信仰で受け入れなければならないスコアではありません。
200 件を超える CVE をトリアージできますか？
このデスクは 1 回の照会につき 200 件の ID を受け付けます。リストを 2 つのバッチに分けて貼ってください。この上限により、1 つのリクエストがチェッカーを独占することはなく、実際にもスキャナーのエクスポートは資産グループで分けた方が便利です。インターネットに面したバッチを先にトリアージしてください。同じ CVE でも、公開サーバー上と隔離されたワークステーション上では緊急度が違うからです。