脆弱性の悪用される可能性を指標で提供 - マイクロソフト

マイクロソフトは、脆弱性のリスク診断を行う際の指標として「Microsoft Exploitability Index（悪用可能性指標）」の提供を開始した。月例のセキュリティ情報と合わせて公開する。

同指標は、脆弱性が悪用される可能性について評価し、情報提供するもの。セキュリティ更新プログラムのうち、公開された悪用コードで機能する脆弱性は、ここ2年間で30％存在しており、セキュリティ更新プログラムを適用する際の優先順位などを決定する際のリスク診断に活用できる。

Exploitability Indexでは、もっとも危険な「安定した悪用コードの可能性」から、条件や環境など攻撃が成功する可能性が10％以下と予測される「不安定な悪用コードの可能性」、実際に悪用される可能性が低い「機能する見込みのない悪用コード」など、不正コードについて3段階で評価する。

以前より同社では、セキュリティ更新プログラムの公開時に脆弱性の深刻度（MSRC）をアナウンスしているが、これらは脆弱性が悪用されたことが前提となる指標である一方、悪用可能性指標では、悪用コードが実際に利用できかについて評価した内容となっている。

同社では指標公開にあたり、深刻度やExploitability Indexの評価に関わらず、適用可能である更新プログラムは、適用するよう推奨している。

マイクロソフト
http://www.microsoft.com/japan/

（Security NEXT - 2008/10/16 ） ツイート

PR

関連記事

「Splunk Enterprise」に46件の脆弱性 - 「クリティカル」も
「Apache Struts」「BIND」など悪用脆弱性リストに5件追加 - 米当局
Dellのコンテナストレージ製品に複数の脆弱性 - 重要度「クリティカル」
Cisco「NX-OS」の脆弱性14件を修正 - 半数が「クリティカル」
HPEネットワークアクセス制御製品に深刻な脆弱性 - 「クリティカル」10件
「Movable Type」に2件の脆弱性 - 修正版が公開
「Veeam Backup & Replication 12」に深刻な脆弱性 - 修正版が公開
リモートアクセス製品「SonicWall SMA1000シリーズ」に深刻なSSRF脆弱性
セキュリティリリース「WordPress 7.1.3」が公開 - 複数脆弱性を修正
「Chrome 155」公開 - 「クリティカル」4件含む247件を修正