問9 CWE とは

情報処理安全確保支援士令和6年度春期午前II、全25問のうちの問9。

出典：令和6年度春期情報処理安全確保支援士試験午前II 問9（ふりがなを省いた）

JVN などの脆弱性対策ポータルサイトで採用されている CWE はどれか。

アIT 製品の脆弱性を評価する手法
イ製品を識別するためのプラットフォーム名の一覧
ウセキュリティに関連する設定項目を識別するための識別子
エソフトウェア及びハードウェアの脆弱性の種類の一覧

答えと解説を開く

正解はエです。

CWE は、ソフトウェアやハードウェアの脆弱性を種類ごとに分けて、CWE-⁠7⁠9 (クロスサイトスクリプティング)、CWE-⁠8⁠9 (SQL インジェクション) のように番号を付けた一覧です。個々の製品の個々の脆弱性に付ける番号 (CVE) とは違い、「どういう種類の弱点か」を表します。JVN などでは、脆弱性の情報に CWE の番号を添えて、種類が分かるようにしています。正解はエです。

ほかの選択肢が違う理由

アIT 製品の脆弱性の深刻度を評価する手法は、CVSS (共通脆弱性評価システム) です。
イ製品やプラットフォームを識別するための名前の付け方と一覧は、CPE (共通プラットフォーム一覧) です。
ウセキュリティに関わる設定の項目に付ける識別子は、CCE (共通セキュリティ設定一覧) です。

仕組み

脆弱性の情報には、同じ形の名前の決まりがいくつもあります。個々の脆弱性の番号が CVE、その種類が CWE、深刻度の点数が CVSS、影響を受ける製品の名前が CPE、と役割で分けて覚えます。

CWE で種類が分かると、同じ種類の弱点を開発の段階でまとめて防ぐ手が打てます。例えば、SQL インジェクションの番号が多く出る組織なら、プレースホルダを必ず使う決まりを作ります。