応用情報技術者試験 令和6年度 秋期 午前 問41

【正解】ウ

CVEは、公開された個々の脆弱性を世界共通の番号で識別する仕組みです。例えば「CVE-西暦-番号」という形式の識別子が割り当てられます。同じ脆弱性でも、製品ベンダーや脆弱性情報サイトによって名称や説明が異なることがありますが、CVE識別子を使えば同一の脆弱性であることを対応付けられます。したがって、製品に含まれる脆弱性を識別するとしたウが正解です。

アのセキュリティ設定項目を識別するという説明は誤りです。これは、設定上の問題を共通の識別子で表すCCEなどに関係する説明です。CVEが識別するのは設定項目そのものではなく、個別の脆弱性です。

イの改ざんされたWebサイトのスクリーンショットを識別するという説明は誤りです。スクリーンショットやインシデントの証拠画像を管理するための識別子は、CVEの対象ではありません。

エのセキュリティ製品の種別を識別するという説明は誤りです。製品やプラットフォームを共通形式で識別する仕組みにはCPEがありますが、CVEは製品の分類ではなく、脆弱性を一意に識別します。

【ポイント】 CVEは脆弱性の共通番号、CWEは脆弱性を生み出す弱点の種類、CPEは製品やプラットフォームを表します。 似た略語について、「個別の脆弱性」「弱点の分類」「対象製品」のどれを示すかを区別して覚えましょう。