EPSSとCVSS：違いは何ですか？

CVSSとEPSSを比較すると、違いは 各スコアが示すもの:

• CVSS に焦点を当てる 潜在的な重症度 脆弱性の程度、つまりどれほど有害か 可能性 さあ。

• EPSS を予測します 搾取される可能性 現実世界では、それはどれくらい起こりうるか 意志 標的とされる。

CVSSは、エクスプロイトの複雑さ、ユーザーの操作、影響度を考慮しますが、攻撃者が実際に脆弱性を悪用しているかどうかは考慮していません。EPSSは、脅威テレメトリ、エクスプロイトコードの入手可能性、攻撃パターンを考慮に入れることで、このギャップを埋めます。

Hubspot EPSS研究既知の脆弱性のうち、EPSSスコアが高いものは2%未満です。対照的に、多くの重大なCVSS問題はサイバー犯罪者によって手つかずのままです。これは、 EPSSスコアの脆弱性 雑音を排除し、チームが信頼できる最新の脅威に集中できるようにする。

EPSSとCVSSは連携して機能するのか？

もちろんです。そうあるべきです。

EPSSとCVSSは、バランスの取れた脆弱性管理戦略において互いに補完し合う関係にある。

• 　 CVSS 評価する どんなに悪い 脆弱性がある可能性がある。

• 　 EPSS 評価する 可能性はどれくらい それは利用されるべきものだ。

この二層構造のアプローチは、よりスマートなトリアージを可能にします。例えば：

• 脆弱性 高いCVSS + 高いEPSS →すぐに直してください。

• CVSS値が高い＋EPSS値が低い → 注意深く監視するが、優先順位を下げる。

• CVSS値が低い＋EPSS値が高い → 調査してください。攻撃者は他の脆弱性と組み合わせて攻撃している可能性があります。

したがって、EPSSとCVSSを並べて比較するチームは、何をいつ修正すべきかをより明確に把握できる。

EPSSを用いた実世界における優先順位付け

例として、システムが2つのCVEを検出したと想像してみてください。

• CVE-2024-99999
  CVSS：9.8（重大）
  EPSS：0.03（活用可能性が低い）

• CVE-2024-12345
  CVSS：6.1（中程度）
  EPSS：0.86（悪用される可能性が高い）

どちらを先に修正すべきでしょうか？従来のワークフローでは、重大なCVSS脆弱性を優先することが多いでしょう。しかし、EPSSではその常識が覆されます。実際に悪用されているものに基づいて行動する単に何なのかだけでなく 可能性 危険である。

この変化により、チームは 誤検知を減らす時間を節約し、修復速度を向上させます。

EPSSスコア脆弱性管理が画期的な理由

EPSSは、よりスマートなパッチ適用を提供するだけでなく、大規模なセキュリティを実現します。

• ダイナミックスコアリングEPSSは最新のエクスプロイト情報を反映し、毎日更新されます。

• 拡張性: 数千もの脆弱性に対応し、チームがより迅速にトリアージを行うのに役立ちます。

• 客観性公開データとオープンモデルに基づいて構築されたEPSSは、検証可能で透明性が高い。

• ポリシーへの影響: によって指摘されたように FIRST.orgEPSSは既に国家レベルの是正政策に影響を与えている（例：DHS BOD 19-02）。

さらに、EPSSスコアに基づく脆弱性管理は、防御側が最も重要な点、つまり実際に危険をもたらす脅威に注力するのに役立ちます。