脆弱性の悪用される可能性を指標で提供 - マイクロソフト

マイクロソフトは、脆弱性のリスク診断を行う際の指標として「Microsoft Exploitability Index（悪用可能性指標）」の提供を開始した。月例のセキュリティ情報と合わせて公開する。

同指標は、脆弱性が悪用される可能性について評価し、情報提供するもの。セキュリティ更新プログラムのうち、公開された悪用コードで機能する脆弱性は、ここ2年間で30％存在しており、セキュリティ更新プログラムを適用する際の優先順位などを決定する際のリスク診断に活用できる。

Exploitability Indexでは、もっとも危険な「安定した悪用コードの可能性」から、条件や環境など攻撃が成功する可能性が10％以下と予測される「不安定な悪用コードの可能性」、実際に悪用される可能性が低い「機能する見込みのない悪用コード」など、不正コードについて3段階で評価する。

以前より同社では、セキュリティ更新プログラムの公開時に脆弱性の深刻度（MSRC）をアナウンスしているが、これらは脆弱性が悪用されたことが前提となる指標である一方、悪用可能性指標では、悪用コードが実際に利用できかについて評価した内容となっている。

同社では指標公開にあたり、深刻度やExploitability Indexの評価に関わらず、適用可能である更新プログラムは、適用するよう推奨している。

マイクロソフト
http://www.microsoft.com/japan/

（Security NEXT - 2008/10/16 ） ツイート

PR

関連記事

「Apache ActiveMQ」にRCE脆弱性 - 悪用が確認され「KEV」にも登録
「MOVEit WAF」に検知回避の深刻な脆弱性 - 早急な対策を
「Firefox 150」を公開 - 41件の脆弱性を修正
「OpenVPN」向けSSO連携ツールに認証回避の脆弱性
「Chrome」にアップデート - セキュリティ関連で19件の修正
「Chrome」が脆弱性31件を修正 - 5件は「クリティカル」
WooCommerce向け「Visa決済プラグイン」に認証回避の脆弱性
Windowsイベントログ分析ツール「LogonTracer」に複数の脆弱性
「Progress Kemp LoadMaster」に複数脆弱性 - 修正版を提供
開発ツール「GitLab」にアップデート - 脆弱性11件に対処