SG2027情報セキュリティマネジメント · 情報セキュリティ関連組織・関連制度

MITRE

MITRE Corporation

まいたー

米国の非営利の研究開発組織。脆弱性の識別番号であるCVEの運営、ソフトウェアの弱点を分類したCWE、攻撃者の戦術や手法を体系化したATT&CKなどを開発・管理し、脆弱性情報や脅威の分析に共通の基盤を提供している。

#CVE #ATT&CK

共有:

他の資格での定義

SCMITRE

米国の非営利団体で、CVE（共通脆弱性識別子）の運営やATT&CKフレームワークの開発を行うセキュリティ分野の重要組織。CWE（共通脆弱性タイプ一覧）やCAPEC（攻撃パターン分類）なども管理している。

Past Exams

過去問での出題

過去問で 2 回出題（情報処理安全確保支援士試験 2）。うち 1 回は用語そのものを問う問題です。

出典: 独立行政法人情報処理推進機構（IPA）の過去問題。問題文は IPA のサイトの PDF で確認できます。「用語を問う問題」は、この用語の説明や特徴そのものを問う問題です。「選択肢」は、問題文ではなく選択肢に出たものです。用語名で照合しているため、関係の薄い問題が含まれることがあります。

情報セキュリティマネジメント試験の過去問によく出る用語

関連キーワードの用語

A-1CWE（共通脆弱性タイプ一覧）

ソフトウェアやハードウェアの脆弱性を、その原因となる弱点の種類（タイプ）で分類した一覧で、MITREが管理する。「CWE-79」がクロスサイトスクリプティング、「CWE-89」がSQLインジェクションのように識別番号が付き、個々の脆弱性を指すCVEに対して、CWEは脆弱性の種類を指す。危険度の高い弱点をまとめたCWE Top 25も公表されている。

A-1CVSS（共通脆弱性評価システム）

脆弱性の深刻度を、ベンダーに依存しない共通の基準で0.0〜10.0の数値で評価する仕組み。攻撃元区分、攻撃の複雑さ、機密性・完全性・可用性への影響などから算出する基本評価基準を中心に、攻撃コードの出現状況などを加味する評価基準や、利用者の環境を反映する環境評価基準がある。FIRSTが管理し、v3.1と2023年に公表されたv4.0が使われている。

A-1SCAP（セキュリティ設定共通化手順）

脆弱性の識別や設定の点検といったセキュリティ管理を自動化するために、情報の表現形式を標準化した仕様群。NISTが策定し、脆弱性を識別するCVE、製品を識別するCPE、設定項目を識別するCCE、深刻度を評価するCVSS、点検の手順を記述するXCCDFやOVALなどで構成される。共通の形式で表すことで、異なるツールの間で点検結果を比較・共有できる。