CWE（共通脆弱性タイプ一覧）

バッファオーバーフローやクロスサイトスクリプティングなど、脆弱性の「種類」を体系的に分類・列挙した一覧。個々の事象を識別するCVEに対し、原因となる作り込みのパターンを整理する点が異なり、セキュアプログラミングの指針に使われる。

ソフトウェア及びハードウェアの脆弱性の種類を体系的に分類・一覧化した国際的な基準。JVNなどの脆弱性対策ポータルサイトで採用されている。バッファオーバーフロー、SQLインジェクションなどの脆弱性タイプを識別子で管理する。

ソフトウェアやハードウェアの脆弱性を、その原因となる弱点の種類（タイプ）で分類した一覧で、MITREが管理する。「CWE-79」がクロスサイトスクリプティング、「CWE-89」がSQLインジェクションのように識別番号が付き、個々の脆弱性を指すCVEに対して、CWEは脆弱性の種類を指す。危険度の高い弱点をまとめたCWE Top 25も公表されている。

個々の脆弱性に対して一意のID（CVE-ID）を付与する、国際的な脆弱性識別の仕組み。MITRE社が管理し、脆弱性情報の共有や対策の標準化に貢献する。CVE-ID（例: CVE-2024-12345）により脆弱性を一意に特定できる。

脆弱性の深刻度を0.0〜10.0のスコアで定量的に評価するための国際的な基準。基本評価基準（脆弱性の技術的特性）、現状評価基準（攻撃コードの有無等）、環境評価基準（組織固有の影響）の3つの評価基準から構成される。

セキュリティの設定確認や脆弱性評価を自動化するための標準仕様群。NISTが策定し、CVE、CVSS、CPE（共通プラットフォーム一覧）、CWEなどの個別規格を組み合わせて、セキュリティ対策の自動化と標準化を実現する。

OSやソフトウェア、ハードウェアの製品名とバージョンを一意に表す共通の識別名の体系。脆弱性情報と自組織の資産を機械的に突き合わせるために用い、SCAPを構成する仕様の一つ。

脆弱性が今後30日以内に悪用される確率を予測し、0〜1（0〜100%）の値で示す指標。FIRSTが公開しており、悪用の観測データなどを基に毎日更新される。脆弱性の深刻度を示すCVSSや、悪用が確認された脆弱性の一覧であるKEVと組み合わせて、修正の優先順位付けに使う。

STIX（Structured Threat Information eXpression）は脅威情報を構造化して記述するための形式。TAXII（Trusted Automated eXchange of Indicator Information）はSTIXで記述された脅威情報を自動的に交換するためのプロトコル。組織間でのサイバー脅威情報の共有に活用される。