CVSS

CVSS（Common Vulnerability Scoring System）は脆弱性の深刻度を評価する標準化されたスコアリングシステムで、0〜10 のスコアを出力し、FIRST が管理する。

目的

脆弱性の深刻度について統一され比較可能な定量的スコアを提供し、優先順位付けを支援する。

メカニズム

CVSS v3.1 は 3 つのメトリックグループから計算する。基本（攻撃経路、複雑さ、必要権限、影響といった本質的な要素）、時間経過による変動（エクスプロイトの成熟度、修正状況）、環境（資産価値など環境固有の要素）である。基本スコア（0〜10）とベクトル文字列を出力する。

ユースケース

脆弱性のトリアージ
セキュリティ報告とダッシュボード
コンプライアンスとリスクの定量化
依存関係スキャンのスコア

例

入力
```
CVSS:3.1/AV:N/AC:L/PR:N
```
Output
```
Base 7.5 (High)
```
Network vector, low complexity

よくあるエラー

Looking only at the Base score while ignoring environmental factors: Adjust actual risk with Environmental metrics

関連用語

CVE（Common Vulnerabilities and Exposures）は、公開されたセキュリティ脆弱性に一意の識別子（CVE-YYYY-NNNN）を付与する仕組みで、MITRE が管理する。

OWASP（Open Web Application Security Project）は、Web脆弱性トップ10リストやセキュリティ実践ガイドを公開する非営利団体である。Webセキュリティの権威として知られる。

Penetration Testing

ペネトレーションテスト（侵入テスト）は、攻撃者の振る舞いをシミュレートしてシステムに対する認可付き攻撃テストを実施し、悪用可能な脆弱性を発見して実際のリスクを評価する。

References