ユーザー企業におけるSSVCの導入と留意点

SSVCで利用する決定木の種類

SSVCを提唱した米カーネギーメロン大学の論文では、脆弱性を取り扱う立場として、「サプライヤー」「デプロイヤー」「コーディネーター」の3つを定めており、その立場ごとに異なる決定木が提供されています。企業がどの決定木を利用すべきかについて、明確な指針は出ていませんが、それぞれの決定木は次のような組織が利用すると考えられます。

• サプライヤーツリー：ソフトウェアなどを供給するベンダー

• デプロイヤーツリー：脆弱性対応の現場

• コーディネーターツリー：脆弱性対応を統制する組織

海外支社やグループ会社を数多く持つ企業など、多数の組織を統制するような立場であればコーディネーターツリーを利用することが適切かもしれませんが、一般的な企業のCSIRTにはデプロイヤーツリーが適していると考えられます。ここではデプロイヤーツリーを中心に解説します。SSVC version 2.0のデプロイヤーツリーは次のように構成されています。

出典：米カーネギーメロン大学ソフトウェア工学研究所公開のオリジナル論文より 
https://resources.sei.cmu.edu/asset_files/WhitePaper/2021_019_001_653461.pdf

デプロイヤーツリーでは、脆弱性が存在するソフトウェアを利用する当事者としての観点が含まれており、以下の要素から構成されます。

Exploitation

現時点における脆弱性の悪用状況を以下の3つの中から判定します。

System Exposure

影響を受けるシステムまたはアクセス可能な攻撃対象を以下の3つの中から判定します。

Utility、Automatable、Value Density

攻撃の自動化可否を判定する「Automatable」、攻撃成功時に得られる価値密度を判定する「Value Density」の2つの判定結果に基づいて、攻撃者にとっての攻撃の有用性を示す「Utility」を判定します。

攻撃者にとっての攻撃の有用性（Utility）：

攻撃の自動化可否（Automatable）：
「Automatable」はサイバーキルチェーンの初めの4つのステップである「偵察」「武器化」「デリバリー」「エクスプロイト」の自動化可否を判定します。

攻撃成功時に得られる価値密度（Value Density）：
攻撃が成功した際に攻撃者が得られる情報の価値を以下の2つから選択します。

Human Impact、Situated Safety Impact、Mission Impact

安全への影響を示す「Situated Safety Impact」と組織のミッションに対する影響を示す「Mission Impact」により、「Human Impact」を判定します。

人的影響（Human Impact）：

安全への影響（Situated Safety Impact）：
物理的損害への影響を示す「Physical Harm」、環境的損害への影響を示す「Enviroment」、金銭的な損害への影響を示す「Financial」、心理的な損害への影響を示す「Psycological」の4つから判定し、最も高い値を利用します。

組織のミッション（使命）と必須機能に対する影響（Mission Impact）：
自組織の影響を以下の5つより判定します。

終わりに

SSVCはこれまでの脆弱性評価手法に比べてより迅速かつ明瞭に意思決定ができる可能性があります。また、判断条件が明確であるため、システムによる自動化も行うことができ、CSIRTの運用負荷軽減に大きく寄与できる可能性があります。一方で、SSVCを全社的な脆弱性判断プロセスとして導入するためには、自社環境を正確に把握することや、脆弱性悪用状況を収集するための仕組みを構築すること、各ステークホルダーと調整することなどが必要であり、多くの時間とコストを要することが想定されます。SSVCの導入においては、まずは特定のシステムなどを対象にパイロット的に導入し、意思決定をサポートするツールとして活用することで、これまでの判断手法の代わりとして活用できるのかを確認することから始めることが成功への一歩となるでしょう。