EPSS / KEV (Pro)

DefectDojo Pro は、2つの外部脅威インテリジェンスソースである EPSS と CISA KEV を使用して検出事項を自動的に強化し、優先順位付けが脆弱性のCVSS深刻度だけでなく、実際に悪用される可能性を反映するようにします。どちらのソースも CVE によって検出事項と照合され、毎日のスケジュールで更新され、各検出事項の算出される**優先度(priority)**スコアに直接反映されます。

強化データは脆弱性ごとに一度だけ保存され、それを参照するすべての検出事項に適用されます。つまり、1万件の検出事項に出現するCVEも一度だけ照会すればよく、そのEPSSとKEVの値は検出事項ごとにではなく、脆弱性エクスプローラーで直接確認できます。

DefectDojo Cloud では、強化処理は完全にマネージドです。DefectDojo が基盤となる脅威インテリジェンスデータを維持し、お客様のインスタンスに配信します。インストールする必要はなく、フィードURLを設定する必要もなく、毎日のジョブをスケジュールする必要もありません。すべて自動的に実行されます。

2つのソース#

EPSS — Exploit Prediction Scoring System(悪用予測スコアリングシステム)#

EPSS は、FIRST が公開しているデータドリブンなモデルで、特定のCVEが今後30日以内に実際に悪用される確率を推定します。DefectDojo Pro は、一致する各検出事項に2つのEPSS値を保存します。

1つの検出事項が複数のCVEを持つ場合、DefectDojo はその中で最も高いEPSSスコアを採用し、そのCVEのパーセンタイルと組み合わせます。パーセンタイルは常にスコアと同じCVEに属し、両者が別々のCVEから混在することはありません。パーセンタイルは、それ自身のスコアと組み合わさって初めて意味を持つためです。

KEV — CISA Known Exploited Vulnerabilities(既知の悪用された脆弱性)#

CISA KEVカタログは、実際に悪用されたことが確認されている脆弱性についての、米国政府による権威あるリストです。予測であるEPSSとは異なり、KEVは実際に観測された悪用事例に基づく事実の記載です。DefectDojo Pro は、一致する各検出事項に3つのKEV値を保存します。

検出事項が複数のCVEを持つ場合、いずれかのCVEがカタログに掲載されていれば既知の悪用とマークされ、いずれかが該当すればランサムウェアでの使用とマークされ、KEV登録日はその中で最も早いカタログ追加日になります。

KEVのシグナルは、EPSSがより高い他のCVEによって打ち消されることはありません。ある検出事項が、KEVに掲載されていないが高いEPSSスコアを持つCVEと、KEVに掲載されているが低いEPSSスコアを持つ別のCVEの両方を含む場合、その検出事項は高い方のEPSSスコアを採用し、かつ既知の悪用としてマークされます。各フィールドは、その検出事項が持つCVE群の中で最悪のケースをそれぞれ独立に反映します。

CVEを持たない検出事項は強化されません。 どちらのソースも、厳密に CVE 識別子(CVE-YYYY-NNNNN)で照合します。CVEを持たない検出事項、またはベンダー固有やGHSA形式の識別子しか持たない検出事項には、EPSSやKEVのデータは付与されません。

同期のタイミング#

強化処理は1日に一度、自動的に実行されます。各実行は2つの段階から成ります。

1. 脆弱性データの更新。 DefectDojo が把握しているすべてのCVEについて、最新のEPSSとKEVのデータと照合し直し、脆弱性ごとのレコードを更新します。
2. 検出事項への反映。 値が実際に変化した脆弱性だけが、それを参照する検出事項に反映され、それらの検出事項だけが再スコアリングされます。

2番目の段階は変化があった部分だけを対象に動くため、変化のない日は処理コストが低く抑えられます。どちらのソースにも新しい情報が公開されていなければ、その実行は検出事項を書き換えることなく完了します。何か変化があった場合、たとえばEPSSスコアが動いたり、CVEがKEVカタログに追加されたりした場合は、影響を受けるすべての検出事項が次回の実行でその変化を取り込みます。

理解しておくべき点がいくつかあります。

• 検出事項は通常、インポート時に強化されます。 v3.2.0 以降、EPSS/KEV強化はインポート時に適用されるため、新しくインポートされたCVE検出事項が値を表示するのに翌日の定期実行を待つ必要は通常ありません。どれだけ即時に反映されるかは、そのCVEをDefectDojoがすでに照会済みかどうかによります。詳しくは下記の「インポート時に強化される」の範囲を参照してください。毎日の定期実行はこれに加えて実行され続け、EPSSスコアの変動やKEVカタログの更新に応じて値を最新の状態に保ちます。強化されるはずの検出事項が強化されていない場合は、オンデマンドで同期を実行できます。
• 値は固定ではなく常に最新化されます。 あるCVEがKEVカタログに追加されると、既存の検出事項は次回の実行で既知の悪用に切り替わります。再インポートは不要です。
• KEVからの除外も反映されます。 検出事項が持つCVEがKEVに掲載されなくなった場合、その実行は古い既知の悪用/ランサムウェアでの使用/KEV登録日の値を設定したままにせず、クリアします。

「インポート時に強化される」の範囲#

強化データは脆弱性ごとに一度だけ保存されるため、インポート時に即座に適用できるのは、DefectDojo がすでに照会済みのデータに限られます。ケースは3つあります。

いずれのケースでも、再インポートなしで値は反映され、毎日の定期実行が常にバックストップとして機能します。何かが永久にスキップされることはありません。

コネクタ経由の同期も同様の方法で強化されますが、1つ例外があります。 非常に大規模なコネクタ同期はチャンク単位でインポートされ、チャンク化された同期はインポート時には強化されません。それらの検出事項は、翌日の定期実行、またはオンデマンド同期でEPSS/KEVの値を取得します。

脆弱性エクスプローラーでKEV/EPSSを表示する#

脆弱性エクスプローラーは脆弱性IDごとに1行のリストを表示し、検出事項テーブルにあるのと同じ5つのKEV/EPSS列、すなわちEPSSスコア、EPSSパーセンタイル、既知の悪用、ランサムウェアでの使用、KEV登録日を表示します。

これらの値は脆弱性そのものについての情報であるため、それを参照する検出事項の数に関わらず常に同一です。EPSSスコア、EPSSパーセンタイル、既知の悪用、KEV登録日はすべてソート可能で、「自分の環境で実際に悪用されている脆弱性はどれか」に最速で答える方法になります。EPSSスコアの降順でソートするか、既知の悪用でソートしてカタログ掲載済みのCVEを上位に表示させましょう。

各行の検出事項合計数は、その脆弱性で絞り込まれた検出事項一覧にリンクしているため、「このCVEはKEVに掲載されている」から「これが影響を受けるすべてのもの」までワンクリックで確認できます。

「データなし」と「悪用されていない」の違いを見分ける#

KEV/EPSS列が空欄であることと、赤い✗が表示されていることは意味が異なります。

• 赤い✗またはスコア — この脆弱性はチェック済みです。既知の悪用の列の✗は、CISAがそれを掲載していないことを意味します。
• 空欄 — この脆弱性は一度も強化されたことがないため、悪用状況は単純に不明です。

以下は、まだ一度も同期されていないエクスプローラーの例で、すべてのKEV/EPSS列がゼロや✗ではなく空欄になっています。

同じ区別は検出事項自体にも表れます。CVEがまだ強化されていない検出事項は、その旨をはっきりと示し、同期を開始できるエクスプローラーへリンクします。

強化処理が実行された後は、同じパネルに実際の結果が表示されます。

これが重要なのは、「まだ確認していない」と「確認した結果、悪用されていない」を区別できないと困るからで、そのうち安心してよいのは後者だけです。

オンデマンドで同期を実行する#

定期実行を待つ必要はありません。脆弱性エクスプローラー上部のKEV/EPSSデータを同期ボタンを押すと、すぐに同期が開始されます。

同期が実行中の間、ボタンは無効化され、代わりに進捗バーが表示されます。十分な処理が完了して見積もりが立てられるようになると、残り時間の目安も表示されます。その上のステータス行には、現在の状況が表示されます。まず、どの脆弱性が変化したかをDefectDojoが確認している旨、続いてこれまでに更新された検出事項の件数が示されます。実行が完了すると、その行には結果が表示されます。何件の検出事項が変化したか、あるいはすべてがすでに最新であったこと、またはソースが設定されていない場合は同期が実行されなかったことが示されます。

同時に実行できる同期は1つだけです。すでに同期が進行中の状態でボタンを押しても、新たに2つ目を開始するのではなく、進行中の実行に単に接続するだけなので、同期が進行中かどうか分からない場合でも安心して押すことができます。同期は繰り返し実行しても安全です。前回の実行以降に変化がなければ、何も書き換えられません。

これは、前回の定期実行以降に公開されたEPSSとKEVの変化を取り込み、まだ強化データが表示されていない検出事項を埋める最も速い方法です。

優先度とリスクへの影響#

EPSSとKEVは単なる情報バッジではなく、DefectDojo Pro の優先順位付けエンジンへの直接的な入力です。各検出事項の priority スコアは、深刻度、露出、アセットのコンテキストなど複数の要素を組み合わせたものであり、EPSSとKEVは外部スコアの要素を左右します。この要素は、悪用される可能性が高い、あるいは実際に悪用されていることが分かっている脆弱性を優遇します。

外部スコアは、以下のシグナルのうち最も強いものから導出されます。

• EPSS はそのスコアに比例して寄与します。悪用確率が高いほど寄与も大きくなります。
• KEV掲載は固定の重みで寄与します。既知の悪用である、またはランサムウェアで使用されていることは大きな加点となり、既知の悪用かつランサムウェアで使用されているCVEは最大の加点となります。

2つのシグナルのうち大きい方が採用されるため、検出事項は高いEPSSスコアかKEV掲載のどちらか一方だけで満額の評価を得られ、もう一方を持たないことでペナルティを受けることはありません。この外部スコアは、その後、深刻度や露出と合わせて検出事項全体の優先度に組み込まれます。結果として、KEVに掲載されている、あるいはEPSSスコアが高い検出事項は、それ以外は同等でもどちらも持たない検出事項より優先度が高くなり、実際に攻撃を受ける可能性が最も高いものへ修復作業を集中させます。

EPSSとKEVはベースラインであり、脅威インテリジェンスがそれを拡張します。 脅威インテリジェンス強化を有効にすると、同じ外部スコアは、武器化された公開エクスプロイト、Nucleiの検出テンプレート、概念実証コード、確認済みの実際の悪用状況も認識するようになり、それぞれがEPSSスケール上の下限として機能します。さらに実際に悪用されているリスクフロアも追加され、実際に悪用されている検出事項が、基本深刻度がLowであるという理由だけで低いリスクバンドにとどまることを防ぎます。EPSSやKEVと同様、これらのシグナルはスコアを引き上げる方向にのみ働きます。

この処理は自動的に流れます。優先度は、各強化実行によって更新された検出事項についてのみ再計算されるため、優先順位付けは常に最新の脅威インテリジェンスと足並みを揃えます。

注: EPSSとKEVは優先度スコアに影響しますが、検出事項の深刻度フィールドは変更しません。ただし、SLAの期限には影響することがあります。SLA設定でKEV期限でキャップするが有効になっている場合、KEVに掲載されている検出事項のSLA期限は、そのCVEに対するCISAの修復期限まで前倒しされます。検出事項が複数のKEV掲載CVEを持つ場合は、最も早い期限が適用されます。

強化された検出事項の絞り込みと表示#

検出事項が強化されると、EPSSとKEVの値はPro UI全体で利用できるようになります。

• 検出事項上 — EPSSスコア、EPSSパーセンタイル、既知の悪用、ランサムウェアでの使用、KEV登録日がすべて検出事項の詳細に表示されます。
• 並べ替え — 検出事項テーブルはEPSSスコア/パーセンタイルで並べ替えられ、最も悪用される可能性が高い検出事項を先頭に表示できます。
• 絞り込み — 検出事項一覧には既知の悪用とランサムウェアでの使用のフィルターがあり、実際の悪用が確認された脆弱性に絞ったビューやレポートを作成できます。

よくある使い方は、既知の悪用 = true で絞り込み、優先度で並べ替えて、確認済みの悪用実績に裏付けられた「これから直すべきもの」の一覧を作ることです。

設定#

DefectDojo Cloud では、EPSSとKEVの強化は有効化・維持済みの状態で提供され、ソースの切り替えやフィードURL、しきい値を設定する必要はありません。毎日の同期はDefectDojoが管理します。EPSSとKEVを優先度に変換する重み付けは、優先順位付けエンジンに組み込まれています。

期待している検出事項にEPSSやKEVのデータが表示されない場合(かつその検出事項がCVEを持っている場合)は、まず脆弱性エクスプローラーのステータス行を確認してください。そこには、ソースが設定されていない場合を含め、直近の同期の結果が表示されます。それが問題なさそうなのにデータがまだ欠けている場合は、DefectDojoサポートに問い合わせてください。毎日の同期がお客様のインスタンスにデータを届けているかどうかを確認できます。

オンプレミス導入では、強化の設定方法が異なります。各ソースはTunerのfinding-enrichment設定の中で個別に有効・無効を切り替えたり、カスタムフィードURLを指定したりできます。この設定はCloudには適用されません。Cloudではデータ配信をDefectDojoが行います。