ネットワークシステムにおけるCVSSを用いた脆弱性影響範囲特定手法の検討

摘要

CVSS(Common Vulnerability Scoring System) is a vulnerability scoring method. CVSS is composed of three metrics groups: Base, Temporal, and Environmental. Currently, only the Base score is used. The Environmental score which must be used for evaluating risk of the vulnerability in each network or system environment, and its parameters are hard to be determined uniquely. The cause is attributed to difficulty of determining "Target Dstribution (TD)" that is the parameter indicating coverage of vulnerable systems, and rough granularity of TD. We propose a method for identifying the potentially-impacted area by vulnerabilities in networked systems in perspective of three points: confidentiality, integrity and availability. We also simulate proliferation of the potentially-impacted area over the network model.%脆弱性評価手法の手法としてCVSS（共通脆弱性評価システム）がある．CVSSは基本・現状・環境の3つの評価基準を持つが，現在利用が進んでいるのは基本値のみであり，各環境での対策判断指標となるべき環境値を－意に決定することは困難なものとなっている．その原因としては，脆弱性影響範囲を示すパラメータである“Target Distribution（TD）”を特定することの困難と，TDの粒魔の粗さが挙げられる．本研究では．機密性，完全性，可用性の3つの観点から，ネットワークシステム内の脆弱性による影響範囲の特定手法を提案する．また，ネットワークモデル上での影響範囲拡大シミュレーションを行い，それについての考察を述べる．