# オープニングトーク 今日の10分セキュリティラジオ ようこそ今日の10分セキュリティラジオへ 月曜担当パーソナリティの大春と セキュリティジョッキーの松野です 月曜の配信は見習いセキュリティエンジニアである私大春が 気になるセキュリティニュースを セキュリティ専門家の松野とともに読み解いていく セキュリティをテーマにしたラジオです 本日もよろしくお願いします よろしくお願いしますってことでね 今日もVoicyさんのハッシュタグから 毎日使っているアプリということで 大春さんもねスマホを毎日使ってらっしゃるとおもいますが 使っているアプリ毎日ですね ございますか? 毎日使っているというか 高頻度で使うっていう形になると思うんですけど 地図のアプリだったりとか あとは初めて行く先が多いってこともあるので 取り替え案内ってやつですかね電車の 確かに あれはよく使うかなーっていうのもありますね そうなんですね いわゆる移動だったりとか 出張に伴いみたいなアプリってことですかね そうですね あとは地図アプリだと 車とかにも最近早送りもあるので 古いナビとかやったら 新しい最新の情報が得られるので そこもよく使ってますね 確かに カーナビ代わりっていうことになりますかね なるほど 確かにね移動先では 乗り換えだったりとかで 電車の時刻表みたいな アプリを使わさせたこともあるんですけども 仕事以外でって考えるとやっぱり Voicyですかね そうですね これは別に何か力が与えてるわけじゃないんですけども 皆さんと一緒かなというところで Voicyは毎日欠かさず開いてるかなというところが 思い浮かんでしまいました そうですね あとは仕事関連でどうですかね 移動以外というと調べ物ですかね 最近だとAIのアプリも出始めておりますので スマホでも手軽に使える環境になったかなと思います そうですね 今日もよろしくお願いします よろしくお願いします そういえば馬の名前を付けた女の子が走るゲーム ほとんどやってないな # 共通脆弱性評価システムCVSS v2 評価の掲載終了、4/1 以降は CVSS v3 評価のみに 共通脆弱性評価システムCVSSバージョンⅡ評価の掲載終了。 4月1日以降はCVSSバージョンⅢ評価のみに。 一般社団法人JPサートコーディネーションセンターは3月8日、 共通脆弱性評価システムCVSSバージョンⅡ評価の掲載終了について発表した。 こちらの記事を簡単に解説お願いできますでしょうか。 JVNでCVSSバージョンⅡの掲載を終了するということです。 CVSSの概要とCVSSバージョンⅡとCVSSバージョンⅢが 閉域されていた理由について説明します。 今回の発表は、JVNに掲載する共通脆弱性評価システムCVSSに関するものです。 内容として、2024年4月1日以降に新規に公開するアドバイザリからは、 CVSSバージョンⅡの評価は掲載せず、CVSSバージョンⅢの評価のみを掲載するということです。 なお、CVSSバージョンⅢでは、脆弱性の深刻度を評価するために、 攻撃の難易度を評価する項目と、攻撃による影響を評価する項目を分けて評価する手法を採用しています。 今回は、共通脆弱性評価システムであるCVSSバージョンⅡの評価が掲載終了との発表があったことについて取り上げています。 この赤ラジでも、脆弱性の重要度を表すワードとして、数値とともに取り上げられることがありますが、 この評価システムのCVSSがあることによって、どのようなことが分かるのか、簡単に教えていただけますでしょうか。 はい、CVSSがあることによって、ソフトウェアなどの脆弱性について、深刻度を定量的に測ることができます。 脆弱性は毎日のように公表されているため、すべての脆弱性に対応することが、現実的に困難となってしまう場合があります。 また、様々な組織から公開される脆弱性情報に、それぞれの基準で深刻度が付けられてしまうと、 どの脆弱性が高リスクで直ちに対応すべきか、判断に迷う可能性があります。 CVSSは、Common Vulnerability Scoring Systemの略で、脆弱性の深刻度を評価するための指標です。 CVSSは、脆弱性の深刻度を数値化することで、セキュリティ担当者が対応に優先順位をつけることの支援をします。 CVSSは、攻撃の難易度や攻撃による影響、影響が及ぶ範囲などからスコアが割り出されます。 CVSSスコアは、脆弱性の深刻度を0.0から10.0の値で示しており、10.0に近づくほど深刻度が高いことを意味します。 CVSSは、深刻度を数値化できるため、脆弱性の深刻度を客観的に評価できたり、異なるシステムや組織間で脆弱性を比較できたりするメリットが挙げられます。 また、今回掲載終了となったCVSS Ver.2について調べたところ、公開されたのは2007年6月とありました。 17年前に初公開され、今まで掲載されていたとのことで、その役割は大きかったのではないかと思っています。 ただ、その間には、新たな脆弱性の発見やCVSS Ver.3も公開されていました。 ここで素朴な疑問なのですが、なぜ2024年の3月までCVSS Ver.2が掲載され続けていたのでしょうか。 はい。CVSS Ver.2とCVSS Ver.3のスコアが閉域されてきた理由として、 下位互換性の確保や既存の脆弱性情報を活用できるようにするためであることが挙げられます。 CVSS Ver.2とVer.3では、評価項目に差があるため、それぞれで算出されるスコアに差が出る場合があります。 よって、脆弱性の深刻度を比較する場合は、同じバージョンのCVSSによって算出されたスコアで行うことが必要です。 CVSSは長年にわたり、多くの組織で利用されてきましたので、 CVSS Ver.3が発表されたとしても、直ちにVer.2の利用から移行できるわけではありませんでした。 また、過去に公開された膨大な数の脆弱性情報がCVSS Ver.2によって評価されていますので、 CVSS Ver.3へ完全に移行してしまうと、Ver.2で評価された既存の脆弱性情報と深刻度が比較できなくなってしまいます。 そのため、両方のバージョンで算出されたスコアを閉域することで、 組織に対して移行期間を提供すると同時に、過去の情報を有効に活用できるようにしています。 今回は、CVSSの概要と、CVSS Ver.2とCVSS Ver.3が閉域されていた理由についてお届けしました。 2023年11月にCVSS Ver.4が公開されていますので、今後は脆弱性情報データベースなどで利用が徐々に広がっていくことが予想されます。 セキュラジでも引き続き、CVSSやセキュリティの最新情報をお届けしたいと思います。 なるほど。長年にわたり、2つのバージョンが閉域されてきたのには、多くの組織で利用されていたことと、積み上げてきた情報の有効活用があったんですね。 一定の基準を設けることで、対応すべき脆弱性の優先度を明確にできるCVSS。 今後もより多くの人たちに活用されていきそうですね。 また一つ勉強になりました。 # エンディングと今日のひとこと 本日の放送は以上となります。 お届けしたニュースは、サイバーセキュリティ専門ニュースサイト スキャンネットセキュリティと株式会社シフトセキュリティの提供でお送りしました。 ながらで聞けてためになる、きょうの10分セキュリティラジオは、 毎週月曜・水曜・金曜の朝7時15分より最新回を配信しております。 同じく月曜・水曜の夜8時から、録音では聞けない セキュリティ製作家庭の裏側をVoicyライブアワーから生放送でお届けしています。 そして土曜日は1週間の内容をダイジェストでお送りする 山田さんのセキュラジ切り抜きチャンネルを放送しております。 ぜひこちらも聞いてみてください。 先日お酒を飲む機会がありました。 自分は飲むとすぐ顔が真っ赤になりやすい人なので、 酔っていてもあまり普段とは変わらず、特にトラブルもないようなのですが、 過去には深酔いすると何も言わずに一人で勝手に帰宅してしまうので、 その辺はちょっと困ると言われたことがありました。 お酒を飲む機会が増えそうなこの時期、節度をもってお酒のセキュリティを楽しみたいですね。 それでは次回、水曜の宮本さんの放送もお楽しみに。