脆弱性の悪用される可能性を指標で提供 - マイクロソフト

マイクロソフトは、脆弱性のリスク診断を行う際の指標として「Microsoft Exploitability Index（悪用可能性指標）」の提供を開始した。月例のセキュリティ情報と合わせて公開する。

同指標は、脆弱性が悪用される可能性について評価し、情報提供するもの。セキュリティ更新プログラムのうち、公開された悪用コードで機能する脆弱性は、ここ2年間で30％存在しており、セキュリティ更新プログラムを適用する際の優先順位などを決定する際のリスク診断に活用できる。

Exploitability Indexでは、もっとも危険な「安定した悪用コードの可能性」から、条件や環境など攻撃が成功する可能性が10％以下と予測される「不安定な悪用コードの可能性」、実際に悪用される可能性が低い「機能する見込みのない悪用コード」など、不正コードについて3段階で評価する。

以前より同社では、セキュリティ更新プログラムの公開時に脆弱性の深刻度（MSRC）をアナウンスしているが、これらは脆弱性が悪用されたことが前提となる指標である一方、悪用可能性指標では、悪用コードが実際に利用できかについて評価した内容となっている。

同社では指標公開にあたり、深刻度やExploitability Indexの評価に関わらず、適用可能である更新プログラムは、適用するよう推奨している。

マイクロソフト
http://www.microsoft.com/japan/

（Security NEXT - 2008/10/16 ） ツイート

PR

関連記事

「ConnectWise ScreenConnect」に脆弱性 - 修正版が公開
NETSCOUT「nGeniusONE」に複数の脆弱性 - アップデートで修正
Python向けHTTPライブラリに脆弱性 - リクエストスマグリング攻撃のおそれ
ゼロデイ攻撃は8カ月以上前 - 「Active! mail」脆弱性の影響拡大に懸念
「Erlang/OTP」脆弱性、一部Cisco製品で影響が判明
「ActiveMQ NMS OpenWire Client」にRCE脆弱性 - 修正版が公開
「GitHub Enterprise Server」に複数脆弱性 - アップデートで修正
NVIDIA製GPUドライバに複数の脆弱性 - 権限昇格やDoSのおそれ
トレンドの法人向け複数製品に脆弱性 - アップデートで修正
「Erlang/OTP」に深刻なRCE脆弱性 - 概念実証コードも公開済み