平成29年度 春期 午前Ⅱ 問10

✓ これが正解ウ製品に含まれる脆弱性を識別するための識別子である。

解説

CVE は製品に含まれる脆弱性ごとに付く識別子です。

CVE は、製品に含まれる個々の脆弱性に付けられる共通の識別子です。CVE の後ろに年と連番を付けた形で表されます。同じ脆弱性を組織ごとに別の名前で呼ぶと、情報を突き合わせにくくなります。共通の番号があれば、JVN のようなポータルサイトやベンダの告知を、同じ脆弱性の情報として照らし合わせられます。したがって、製品に含まれる脆弱性を識別するための識別子という説明が正しい内容です。似た名前の識別子が並ぶ分野なので、何を識別するのかを軸に覚えておくと区別しやすくなります。

ほかの選択肢はなぜ違うのか

• アコンピュータで必要なセキュリティ設定項目…：コンピュータのセキュリティ設定項目を識別する仕組みは、CCE（Common Configuration Enumeration）と呼ばれる別の識別子です。CVE と同じ仲間として並べられることが多く、取り違えやすい記述です。
• イ脆弱性が悪用されて改ざんされた Web …：改ざんされた Web サイトのスクリーンショットに番号を付ける識別子というものは、CVE の説明として当てはまりません。脆弱性対策の情報を整理するための番号とは、用途がまったく合いません。
• エセキュリティ製品を識別するための識別子で…：セキュリティ製品そのものを識別する識別子は、CVE ではありません。製品名などを識別する仕組みとしては、CPE（Common Platform Enumeration）と呼ばれる別の識別子があります。