4.2脅威インテリジェンス

脆弱性を見つけたら、次は「それは世の中でどれだけ深刻で、どう対処すべきか」を知る必要があります。同じ弱点を人によって別の呼び方で語っていては話が通じません。そこで役立つのが、既知の弱点に共通の名前を付けるCVEと、その深刻度を共通の物差しで数値化するCVSSです。この節では、これらを収める脆弱性データベースの使いどころと限界、さらにベンダーのセキュリティレポート・ニュース・購読サービス・コミュニティの集合知という情報源を、「今どの脅威に注目すべきか」を判断する材料としてどう集め活かすかを学びます。

4.2.1CVEとCVSS・脆弱性データベース

• CVE（Common Vulnerabilities and Exposures）＝公開された個々の脆弱性に付けられる共通の識別子（例：CVE-2021-44228）。同じ弱点を世界中が同じ番号で参照できるので、ベンダー・ニュース・スキャナの情報を突き合わせやすくなる。CVEは「名前（識別子）」であって深刻度そのものではない。
• CVSS（Common Vulnerability Scoring System）＝脆弱性の深刻度を0.0〜10.0の数値で表す共通の採点方式。おおむね 低/中/高/緊急（Critical）の帯に対応し、どれから直すかの優先順位付けに使う。CVEが「名前」、CVSSが「点数」と覚えると混同しにくい。
• 脆弱性データベース（NVD などの脆弱性DB）＝CVEとCVSS、影響を受ける製品・バージョン、対処法をまとめた台帳。用途は「その弱点が既知か、深刻度は、パッチはあるか」を素早く調べること。限界は、まだ登録されていない未知（ゼロデイ）は載らず、情報が古い/不完全なこともある点。DBは万能ではなく出発点。

4.2.2脅威インテリジェンスの情報源

• セキュリティレポート/ニュース＝ベンダーやセキュリティ機関が出す注意喚起・調査報告や、業界ニュース。新しい攻撃手口や広く悪用中の脆弱性を知る手がかりになる。ただし内容の信頼性は出所によるので、一次情報（ベンダー公式）を優先する。
• 購読サービス（脅威フィード）＝最新の脅威情報を継続的に配信してもらう有償/無償のサービス。集合知（クラウドソース）＝多数の組織や研究者が持ち寄る観測情報で、単独では見えない広がりが把握できる。アドホック（都度）な手動収集に対し、フィードや自動連携は継続的・自動に情報を取り込める。

朝、ニュースで「広く使われているあるライブラリに深刻な脆弱性が見つかり、すでに悪用が始まっている」と報じられたとします。ここで慌てて手を動かす前に、脅威インテリジェンスを使った落ち着いた判断ができると強いです。まずニュースやベンダーのセキュリティレポートから、その脆弱性のCVE識別子（例：CVE-2021-44228 のような一意の番号）を掴みます。この番号を手がかりに脆弱性データベースを引けば、影響を受ける製品とバージョン、そしてCVSSスコアが分かります。CVSSが高い（緊急帯）なら、自社の資産のうち該当バージョンを使っているものを最優先で対処すべきだと判断できます。ここでCVEとCVSSの役割を取り違えないことが肝心で、CVEはあくまで「どの脆弱性か」を指す名前、CVSSは「どれだけ深刻か」を示す点数です。名前だけでは優先順位は決まらず、点数だけでは対象が特定できません。次に、DBに載っている情報は出発点にすぎない点にも注意します。脆弱性データベースには、まだ登録されていない未知の脆弱性（ゼロデイ）は載らず、公表直後は情報が不完全なこともあります。だからこそ、購読サービスの脅威フィードやコミュニティの集合知で最新の悪用状況を継続的に補い、「実際に今どれだけ攻撃されているか」を加味して優先順位を上下させます。入門段階では、こうした情報源を一つに頼らず突き合わせる姿勢と、CVE（名前）とCVSS（点数）の使い分けを正確に持つことが、過不足のない対処判断の土台になります。

4.2.3この節のまとめ

• CVEは脆弱性の共通識別子（名前）、CVSSは深刻度の0.0〜10.0スコア（点数）。役割を取り違えない
• 脆弱性データベースの用途は既知の弱点/深刻度/パッチ調べ。限界は未知（ゼロデイ）が載らず情報が古いこともある
• レポート・ニュース・購読サービス・集合知を突き合わせ、実際の悪用状況で優先順位を補正する