EPSS と KEV による優先度付け
A 社の脆弱性管理チームは，社内の資産に影響する三つの脆弱性について次の情報を得た。KEV カタログは米国 CISA が公開している Known Exploited Vulnerabilities Catalog である。これらの情報の解釈として，適切なものはどれか。
脆弱性 CVSS 基本値 EPSS KEV カタログ
V1 9.8 0.002 掲載なし
V2 7.5 0.43 掲載なし
V3 6.5 0.01 掲載あり- アV1 は CVSS 基本値が最も高いので，今後 30 日以内に悪用が観測される可能性も三つの中で最も高いと判断できる。
- イV3 は EPSS の値が低いので，KEV カタログに掲載されていても，実際に悪用された事実はないと判断できる。
- ウV2 の EPSS の値 0.43 は，悪用された場合に想定される被害の大きさが，想定される最大の被害の 43% であることを示す。
- エV3 は実環境での悪用が確認された脆弱性なので，EPSS の値や CVSS 基本値が低くても，対応の優先度を高める根拠になる。
正解と解説を見る
正解 エ
この問題の基礎知識
- CVSS 基本値は，攻撃の条件や影響など脆弱性そのものの特性から深刻度を 0.0〜10.0 で評価する指標であり，悪用される可能性の予測ではない。
- EPSS は FIRST が提供する指標であり，脆弱性が今後 30 日以内に実環境で悪用される確率を 0〜1 の値で推定する。
- CISA の KEV カタログは，実環境で悪用されたことが確認された脆弱性の一覧であり，予測ではなく実際の悪用の記録である。
- 優先度付けでは，深刻度（CVSS），悪用の可能性（EPSS），悪用の事実（KEV）を区別し，自組織の資産への影響と組み合わせて判断する。
アV1 は CVSS 基本値が最も高いので，今後 30 日以内に悪用が観測される可能性も三つの中で最も高いと判断できる。
CVSS 基本値は脆弱性の特性に基づく深刻度の指標であり，悪用の可能性を予測するものではない。今後 30 日以内に悪用活動が観測される確率を推定するのは EPSS で，V1 の EPSS は 0.002 と三つの中で最も低い。
イV3 は EPSS の値が低いので，KEV カタログに掲載されていても，実際に悪用された事実はないと判断できる。
KEV カタログは実環境での悪用が確認された脆弱性を掲載する過去の記録であり，EPSS は今後 30 日の予測である。KEV に掲載された脆弱性の EPSS が低いことは矛盾ではなく，悪用の事実を否定する根拠にならない。
ウV2 の EPSS の値 0.43 は，悪用された場合に想定される被害の大きさが，想定される最大の被害の 43% であることを示す。
EPSS は今後 30 日以内に悪用活動が観測される確率の推定値であり，0.43 は約 43% の確率を表す。悪用に成功した場合の被害の大きさや，自組織の環境に影響するかどうかは EPSS では測らない。
エV3 は実環境での悪用が確認された脆弱性なので，EPSS の値や CVSS 基本値が低くても，対応の優先度を高める根拠になる。正解
KEV カタログは実環境での悪用が確認された脆弱性の一覧である。EPSS の FAQ は，KEV と EPSS は異なるものを測っており，二つを組み合わせて使うときは KEV に掲載されていればそれを優先すべきだとしている。
検証用の出典出典照合済み
FIRST EPSS Frequently Asked Questions (https://www.first.org/epss/faq)照合の根拠（7 件）
- ア・ウ（誤り）: EPSS は今後 30 日以内に悪用される確率の推定値
EPSS (Exploit Prediction Scoring System) is a data-driven model that estimates the probability a vulnerability will be exploited in the wild within the next 30 days.
FIRST EPSS FAQ · What is EPSS?（新しいタブで開きます） - ウ（誤り）: スコアはそのまま確率を表す（0.43 は約 43%）
For example, a score of 0.05 means a 5% estimated probability and a score of 0.95 means a 95% estimated probability (of observed exploitation activity in the next 30 days).
FIRST EPSS FAQ · What does the EPSS probability score mean?（新しいタブで開きます） - ウ（誤り）: EPSS は悪用成功時の被害の大きさや自組織の環境への影響を測らない
EPSS is not a complete risk score. EPSS does not measure how much damage successful exploitation would cause, or whether it affects your environment.
FIRST EPSS FAQ · What is EPSS not?（新しいタブで開きます） - ア（誤り）: CVSS と EPSS は測るものが異なり，深刻度の高さは悪用の予測にはほとんど役立たない
CVSS and EPSS measure different things and are empirically uncorrelated. High severity scores are slightly better than random at predicting exploitation activity.
FIRST EPSS FAQ · A vulnerability has a critical CVSS score but a low EPSS score.（新しいタブで開きます） - イ（誤り）・エ（正解）: KEV は実環境での悪用が確認された脆弱性の記録，EPSS は今後 30 日の予測
CISA KEV lists vulnerabilities with confirmed exploitation in the wild, a record of history. EPSS is a forward-looking probability estimate for the next 30 days, a forecast.
FIRST EPSS FAQ · How is EPSS different from CISA KEV?（新しいタブで開きます） - イ（誤り）・エ（正解）: KEV 掲載の脆弱性の EPSS が低いのは矛盾ではなく，KEV に掲載されていればそれを優先する
A low EPSS score on a KEV-listed vulnerability is not a contradiction; the two measure different things and both are useful, for different reasons. See Using EPSS for how to combine the two signals and why KEV should take precedence when present.
FIRST EPSS FAQ · How is EPSS different from CISA KEV?（新しいタブで開きます） - エ（正解）: KEV 掲載で EPSS が低いなら KEV に従う
My vulnerability is on CISA KEV but has a low EPSS score. Which should I follow? Follow KEV.
FIRST EPSS FAQ · My vulnerability is on CISA KEV but has a low EPSS score.（新しいタブで開きます）