平成25年度 秋期 情報セキュリティスペシャリスト試験 午前Ⅱ 問5

✓ これが正解ウ製品に含まれる脆弱性を識別するための識別子である。

解説

CVE は製品に含まれる個々の脆弱性を識別する番号です。

CVE は、製品に含まれる個々の脆弱性に付ける共通の識別子です。同じ脆弱性でも、ベンダや調査機関ごとに呼び名が違うと、情報を突き合わせにくくなります。そこで一つの脆弱性に一つの番号を与え、JVN などのポータルサイトや各社の告知で同じ番号を使えるようにしています。見分ける軸は、その識別子が何を識別する対象としているかです。

ほかの選択肢はなぜ違うのか

• アコンピュータで必要なセキュリティ設定項目…：コンピュータのセキュリティ設定項目を識別するための識別子は、CCE と呼ばれる別の仕組みです。設定の項目を対象にしており、脆弱性そのものを区別するものではありません。
• イ脆弱性を利用して改ざんされた Web サ…：改ざんされた Web サイトの画面ショットを識別するという役割は、CVE には当たりません。CVE が番号を付ける対象は画面の記録ではなく、製品の中にある脆弱性です。
• エセキュリティ製品を識別するための識別子で…：識別の対象をセキュリティ製品としている点が誤りです。製品名を体系的に表す仕組みは CPE という別のもので、CVE が区別するのは製品に含まれる脆弱性です。