Tenable Tenable 技術ガイド - VPRとは

PDF版の資料ダウンロードはこちら

Vulnerability Priority Rating (VPR) は、個々の脆弱性の修復優先度を示す数値です（0～10、10が最大の重大度）。
攻撃に利用される可能性に基づき、脆弱性の優先度を付け直すプロセスで得られる結果（アウトプット）であり、この機能はTenable.ioおよびTenable.sc / scCVに組み込まれています。

Tenable社リサーチチームによる10万を超える脆弱性の継続的な追跡調査により、リスクの変動にリアルタイムに対応。150を超えるデータソースから独自のデータサイエンスにもとづいて分析をすることにより、広く採用されているCVSSと比較して、緊急度が高い脆弱性の割合を大幅に絞り込むことができます。

Linuxカーネルフローの脆弱性に対するVPRの具体例をご紹介します。ここでは注目すべき重要な点が2つあります。
1点目はCVSSスコアが公開される数週間前にVPRスコアが提供されていることです。 CVEが公開されてからCVSSスコアが算出されるまでの間にはタイムラグが存在することがあります。
2つ目は、VPRスコアの動的な性質です。これは、毎日収集される脅威インテリジェンスを反映しており、CVSSスコアは一定なのに対し、VPRは攻撃の流行に連動した重要度/優先順位でスコアが判定されているためです。

2018年の1年間で公開されたCVE数は、16314でした。2018年に攻撃者が悪用した脆弱性の上位は、対処が後回しになるCVSSスコアが7点台の脆弱性を利用したものでした。
Tenable VPRでは、9点台のスコア判定がされており、VPR機能は“攻撃者が今使いたい”脆弱性を絞り込む「高度なリスク判定機能」と言うことができます。

PDF版の資料ダウンロードはこちら