平成30年度 秋期 午前Ⅱ 問2

✓ これが正解ウ製品に含まれる脆弱性を識別するための識別子

解説

CVE は製品に含まれる個々の脆弱性に振る識別子です。

CVE は Common Vulnerabilities and Exposures の略で、名前のとおり脆弱性（Vulnerabilities）を対象にした仕組みです。製品で見つかった脆弱性の一つ一つに、CVE-年-連番 の形の共通の番号を振ります。ベンダや JVN などの情報サイト、セキュリティ製品が同じ脆弱性を同じ番号で指せるので、情報を突き合わせやすくなります。見分ける軸は、何に番号を振る識別子なのかです。

ほかの選択肢はなぜ違うのか

• アコンピュータで必要なセキュリティ設定項目…：設定項目に番号を振る識別子は CCE と呼ばれ、脆弱性の番号とは別の体系として用意されています。CVE の名前にある Vulnerabilities とも対応せず、設定の項目はこの識別子の対象ではありません。
• イ脆弱性が悪用されて改ざんされた Web …：改ざんされた Web サイトのスクリーンショットに番号を振る仕組みは、脆弱性情報の共通識別子には含まれていません。被害の画像を管理する話であり、CVE の役割とは関係がありません。
• エセキュリティ製品を識別するための識別子：セキュリティ製品そのものを識別する番号ではありません。製品名を識別する体系は CPE として別に用意されており、CVE の名前が示すとおり、対象は製品の名前ではありません。