脆弱性の悪用される可能性を指標で提供 - マイクロソフト

マイクロソフトは、脆弱性のリスク診断を行う際の指標として「Microsoft Exploitability Index（悪用可能性指標）」の提供を開始した。月例のセキュリティ情報と合わせて公開する。

同指標は、脆弱性が悪用される可能性について評価し、情報提供するもの。セキュリティ更新プログラムのうち、公開された悪用コードで機能する脆弱性は、ここ2年間で30％存在しており、セキュリティ更新プログラムを適用する際の優先順位などを決定する際のリスク診断に活用できる。

Exploitability Indexでは、もっとも危険な「安定した悪用コードの可能性」から、条件や環境など攻撃が成功する可能性が10％以下と予測される「不安定な悪用コードの可能性」、実際に悪用される可能性が低い「機能する見込みのない悪用コード」など、不正コードについて3段階で評価する。

以前より同社では、セキュリティ更新プログラムの公開時に脆弱性の深刻度（MSRC）をアナウンスしているが、これらは脆弱性が悪用されたことが前提となる指標である一方、悪用可能性指標では、悪用コードが実際に利用できかについて評価した内容となっている。

同社では指標公開にあたり、深刻度やExploitability Indexの評価に関わらず、適用可能である更新プログラムは、適用するよう推奨している。

マイクロソフト
http://www.microsoft.com/japan/

（Security NEXT - 2008/10/16 ） ツイート

PR

関連記事

「Drupal」がアップデート - 依存ソフトの更新受け
「jQuery 3.4.0」がリリース - 脆弱性の修正も
ウェブアプリケーションフレームワーク「Symfony」に複数の脆弱性
業務支援ツール「Confluence」にあらたな脆弱性 - 既知脆弱性の悪用被害も
ゼロデイ攻撃への悪用目立つ「権限昇格の脆弱性」
複数「VPNアプリ」に「Cookie」窃取されるおそれ - 一部ベンダーは反論
研究者が最新版IEの脆弱性を指摘 - 修正予定なく、実証コードが公開へ
Oracle、四半期定例アップデートを公開 - 脆弱性297件を修正
「Java SE」最新版がリリース - 5件の脆弱性に対応
Windows向け「Apache Tomcat」にリモートよりコード実行のおそれ