科目B対策へ戻る

露出の判定に基づく脆弱性の対応順

オリジナル1問1答目安 7分

オリジナル問題です(IPA の問題ではありません)。AI が作成し、技術・規格の主張は一次情報で確認しています。本番とは出題の癖が違うことがあります。

確認に使った一次情報

L社（通信講座の運営，従業員250名）の情報システム部のMさんは，今週公表の脆弱性のうち自社の機器に該当する5件（V1〜V5）の対応順を，表1の基準で決めることになった。

表1　脆弱性対応の優先度の基準（抜粋）

手順内容
1. 露出の判定外部露出：脆弱な機能にインターネットから到達でき，有効な補償的対策がない。
限定露出：脆弱な機能にインターネットから到達できない，又は到達できるが有効な補償的対策がある。
露出なし：脆弱な機能が無効化されている，又は使われていない。
補償的対策（WAF・IPS のルールなど）は，製品の提供元が当該脆弱性に有効と公表したルールを遮断の設定で適用している場合に限り，有効とする。
2. 優先度の決定優先度A（24時間以内）：外部露出で，KEV掲載又はEPSS 0.10以上
優先度B（7日以内）：外部露出で優先度Aに当たらないもの，又は限定露出で，KEV掲載又はEPSS 0.10以上
優先度C（30日以内）：限定露出で優先度Bに当たらないもの
優先度D（次回の定期保守）：露出なし
3. 同じ優先度内の順序CVSS v4.0 の基本値（CVSS-B）が高い順とする。

表2　該当する脆弱性と自社での状況

項番対象CVSS-BEPSSKEV自社での状況
V1ファイル転送装置の管理画面（8443/tcp）の認証回避9.30.94掲載管理画面は管理セグメントからだけ使う運用である。ファイアウォールの設定は図1。
V2会員サイトのWebアプリケーション実行環境の脆弱性8.70.35未掲載インターネットに公開。WAF の提供元が当該脆弱性に有効と公表したルールを，遮断モードで適用済み。
V3社内グループウェアの脆弱性9.20.02未掲載社内ネットワークからだけ利用でき，インターネットから到達できない。
V4メール中継サーバ（25/tcp，インターネットに公開）の脆弱性6.90.48掲載IPS の提供元が当該脆弱性に有効と公表したシグネチャを，検知のみの動作で適用済み。
V5会員サイトのWebサーバの画像変換モジュールの脆弱性8.80.61掲載設定で当該モジュールを読み込まないようにした。

注記　EPSS は今後30日間に悪用される確率の推定値，KEV は CISA の悪用が確認された脆弱性のカタログ。

図1　ファイアウォールの設定（抜粋）

規則 送信元          宛先            ポート      動作  備考
1    any             ファイル転送装置 443/tcp     許可  ファイル授受
2    管理セグメント  ファイル転送装置 8443/tcp    許可  管理画面
3    any             ファイル転送装置 8443/tcp    許可  保守業者の遠隔作業用
4    any             any             any         拒否

設問

表1の基準に従ってV1〜V5の対応順を決めたものはどれか。解答群のうち，最も適切なものを選べ。

解答群

正解 0 / 解答 0(全1設問)