インシデント対応・フォレンジック 重要度:★★★出題: AM2・PM1
CVSS / EPSS (脆弱性評価・トリアージ)
しーぶいえすえす / いーぴーえすえす / Common Vulnerability Scoring System / Exploit Prediction Scoring System
脆弱性の固有の深刻度（CVSS）と、今後30日以内に悪用される確率（EPSS）を組み合わせて対応優先度を最適化する手法。
3行速習ポイント
- CVSSv3：基本値（Base）、現状値（Temporal）、環境値（Environmental）で深刻度を0.0〜10.0で評価
- EPSS：FIRSTが日次更新する、野良悪用（In-the-wild）される確率（0〜100%）の機械学習予測スコア
- 両者のマトリクス評価により、基本値が高いだけの脆弱性への過剰対応を抑え、実際に悪用リスクの高いものを最優先対処
図解
図CVSS基本値 × EPSS値 による脆弱性優先度トリアージ領域図
【左上・象限1】領域Ⅰ (即時対応)
最重要CVSS高・EPSS高（最優先パッチ適用）
【右上・象限2】領域Ⅱ (計画対応)
重要CVSS高・EPSS低（通常保守で対応）
【左下・象限3】領域Ⅲ (監視強化)
警戒CVSS低・EPSS高（PoC出回り・WAF防御）
【右下・象限4】領域Ⅳ (対応不要)
低優先CVSS低・EPSS低（受容可能リスク）
CVSS基本値（脆弱性そのものの深刻度）とEPSS（今後30日以内に実際悪用される確率）を組み合わせ、領域I（両方高）を最優先で対処する合理的トリアージ
概要と本質
脆弱性管理において、すべての脆弱性に即座にパッチ適用することは現場の負荷上不可能です。CVSS（共通脆弱性評価システム）の基本値で「影響の大きさ」を測り、EPSS（悪用予測スコアリング）で「攻撃される可能性」を評価することで、合理的かつ迅速なトリアージを実現します。
重要ポイント・コア概念
- CVSS基本値：攻撃元区分（AV）、攻撃条件の複雑さ（AC）、必要な特権レベル（PR）、ユーザ関与レベル（UI）、影響度（C/I/A）
- EPSS値：PoC公開状況、脅威インテリジェンス、過去の悪用トレンドから確率を日次推定
- トリアージ4領域：領域I（CVSS高・EPSS高：即時対応）、領域II（CVSS高・EPSS低）、領域III（CVSS低・EPSS高）、領域IV（両方低：対応不要）
午後記述・情報セキュリティ対策での攻略ポイント
午後問2で出題された最重要テーマ。CVSS現状値とEPSS値の手間の違い（現状値は組織での調査が必要、EPSSは日次スコアのAPI自動取得が可能）や、領域図での優先度判定が記述対象となります。
午後記述で使える加点キーワード（クリックでコピー）
この用語が出題された過去問を解く（1分演習）
即時アウトプットで定着情報処理安全確保支援士 過去問演習で実践力を鍛える
