脆弱性管理

自組織の資産にどのような脆弱性があるかを継続的に把握し、危険度に応じて修正プログラムの適用や回避策を実施する一連の活動。資産目録やSBOMの整備が前提となる。

使用しているOSやソフトウェアの脆弱性情報を継続的に集め、影響を評価して、セキュリティパッチの適用や設定の変更などの対策を計画的に行う活動。対象となるソフトウェアの把握にSBOMを、深刻度の判断にCVSSを使う。

自組織の資産構成を把握したうえで脆弱性情報を収集し、影響度を評価して修正プログラムの適用や緩和策を計画的に実施する一連の活動。SBOMやソフトウェア構成分析を用いて依存関係まで含めて把握する。

個々の脆弱性に一意の番号を付けて識別する仕組み。「CVE-2024-12345」のように公表年と連番で表し、米国のMITREが運営して、採番機関（CNA）とともに番号を割り当てている。製品ベンダー、脆弱性データベース、セキュリティ製品が同じ番号で同じ脆弱性を指せるため、情報の突合せが容易になる。

脆弱性の識別や設定の点検といったセキュリティ管理を自動化するために、情報の表現形式を標準化した仕様群。NISTが策定し、脆弱性を識別するCVE、製品を識別するCPE、設定項目を識別するCCE、深刻度を評価するCVSS、点検の手順を記述するXCCDFやOVALなどで構成される。共通の形式で表すことで、異なるツールの間で点検結果を比較・共有できる。

ソフトウェアの開発や配布の過程に介入し、正規のソフトウェアやその更新プログラム、利用されているオープンソースのライブラリなどにマルウェアを混入させて、利用者に広く感染させる攻撃。アップデートの配信経路の悪用が代表的で、SBOMによる構成部品の把握や署名の検証で対策する。

ソフトウェアの脆弱性が公表されたり修正プログラムが提供されたりする前に、その脆弱性を突いて行われる攻撃。修正プログラムによる根本的な対策ができないため、WAFやIPSによる回避策、EDRによる振る舞いの検知、多層防御で被害を抑える。

OSSとしてソースコードが公開され、ライセンスの条件の下で誰でも利用・改変できるライブラリ。開発の効率を上げられる一方、ライセンス条件の遵守、脆弱性情報の監視と更新、保守が続いているかの確認が必要で、SBOMで利用状況を管理する。

AIシステムを構成する要素を一覧にした部品表。AIモデルの名称・版・提供元、学習や評価に使ったデータセット、依存するライブラリ、ライセンスなどを記録し、来歴の追跡や脆弱性・ライセンスの管理に使う。SBOMをAIに広げたもので、CycloneDXやSPDX 3.0が記述形式を提供している。