脆弱性インテリジェンス
生のCVE情報を、自社システムに紐づくインテリジェンスへ。
NIST NVD、CISA KEV、FIRST EPSS、OSV.dev、ベンダーアドバイザリから脆弱性データを収集・正規化し、実際に稼働するソフトウェアやシステムと突合します。理論上の深刻度と、実際に悪用可能なリスクを区別します。
成果物
- 正規化・重複排除済みの脆弱性フィード
- 自社資産へのCVE・パッケージの対応付け
- 悪用可能性（エクスプロイト）の追跡
- 実悪用（CISA KEV）との突合
- ベンダー緩和情報の対応付け
- CVSS・EPSS・実悪用の違いを整理したガイダンス
進め方
- 1信頼できる情報源（NVD、KEV、EPSS、OSV.dev、ベンダー）から収集
- 2レコードの正規化と重複排除
- 3運用中のソフトウェア・パッケージにCVEを対応付け
- 4悪用可能性と実悪用の状況をフラグ付け
- 5ベンダー緩和策を付与し、優先順位付きインテリジェンスを提供