ソフトウェア脆弱性リスクの時間変化モデルのCVSS4評価基準への対応\n

• Item type: SIG Technical Reports(1)
• 公開日: 2024-03-14
• タイトル: ソフトウェア脆弱性リスクの時間変化モデルのCVSS4評価基準への対応\n
• タイトル / 言語: en
• タイトル: Software Vulnerability Risk Growth Model for CVSS 4 Metrics
• 言語: jpn
• キーワード / 主題Scheme: Other
• キーワード / 主題: 高信頼性
• 資源タイプ / 資源タイプ識別子: http://purl.org/coar/resource_type/c_18gh
• 資源タイプ: technical report
• 著者所属: 拓殖大学工学部情報工学科
• 著者所属: 拓殖大学工学部情報工学科
• 著者所属: 拓殖大学工学部情報工学科
• 著者所属(英): en
• 著者所属(英): Department of Computer Science, Takushoku University
• 著者所属(英): en
• 著者所属(英): Department of Computer Science, Takushoku University
• 著者所属(英): en
• 著者所属(英): Department of Computer Science, Takushoku University
• 著者名: 岡田, 宇宙; 蓑原, 隆; 島川, 昌也
• 著者名(英): Sora, Okada; Takashi, Minohara; Masaya, Shimakawa
• 論文抄録 / 内容記述タイプ: Other
• 論文抄録 / 内容記述: 情報システムを管理する者は管理対象のシステムに関するセキュリティ脆弱性情報に注意し適切に対策を施さなければならない．しかしセキュリティ脆弱性の報告件数の増加に伴い対策実施にかかる時間も増大しており，効率的な対策を行うには，リスクを評価し対策実施の優先順位をつける必要がある．このとき，脆弱性発見から攻撃手法の確立そして攻撃実行という時間経過を考えると，リスク評価は時間経過に対する変化を考慮しなければならない．脆弱性リスクの評価基準として共通脆弱性評価システム (CVSS) が使われているが，時間的な変化に十分に対応しているとは言えない．我々は，脆弱性リスクの時間的変化について脆弱性情報の共通 ID である CVE の予約時刻と情報公開時刻の差に注目した脆弱性リスク成長モデルを提案している．このモデルは CVSS 3.1 に基づいているが，今後の脆弱性の評価は，2023 年に決定された CVSS 4.0 に移行していくと考えられる．そこで，本研究では，脆弱性リスク成長モデルを CVSS 4.0 に対応させるための検討を行った．また，CVSS 4.0 の評価例に適用した結果についても報告する．
• 論文抄録(英) / 内容記述タイプ: Other
• 論文抄録(英) / 内容記述: Information system administrators must pay attention to system vulnerability information and take appropriate measures against security attacks on the systems they manage. However, as the number of security vulnerability reports increases, the time required to implement vulnerability remediation also increases, therefore vulnerability risks must be assessed and prioritized. Especially in the early stages of vulnerability discovery, such as zero-day attacks, the risk assessment must consider changes over time，since it takes time for the attack and countermeasures to spread. The Common Vulnerability Scoring System (CVSS) is used widely for vulnerability risk assessment, but it cannot be said that it can sufficiently cope with temporal changes of risk of attacks. We have proposed a software vulnerability risk growth model that focuses on the difference between the reservation time and the publication time of CVEs. The model is based on CVSS version 3.1, but the official specification of CVSS version 4.0 was published in 2023. CVSS 3.1 will be replaced by version 4.0 in the near future. In this study, we examined how to adapt our vulnerability risk growth model to CVSS 4.0. We also report the results of applying the model to CVSS 4.0 examples.
• 書誌レコードID / 収録物識別子タイプ: NCID
• 書誌レコードID / 収録物識別子: AN10096105
• 書誌情報: 研究報告システム・アーキテクチャ（ARC）; 巻 2024-ARC-256, 号 26, p. 1-6, 発行日 2024-03-14
• ISSN / 収録物識別子タイプ: ISSN
• ISSN / 収録物識別子: 2188-8574
• Notice: SIG Technical Reports are nonrefereed and hence may later appear in any journals, conferences, symposia, etc.
• 出版者 / 言語: ja
• 出版者: 情報処理学会