情報処理学会 第88回全国大会

7E-04
SSVCに基づいた脆弱性トリアージの自動化システム
○篠原正紀(NTT)
本稿では,SSVCに基づいて,脆弱性の対応レベルを自動的に判定する脆弱性トリアージシステムを提案する.本システムを用いることで,ユーザーの役割やユースケースに合わせて最適なSSVC決定木を利用することが可能となり,運用変更や規程改訂にも即応できる.また,評価すべき判断ポイントが多い場合や,外部照会が多い処理でも,不要な処理の停止や,効率的な並列処理により,処理時間を短縮できる.さらに,判定根拠ログを判定結果と併せて保存することで,判定理由を正確に追跡でき,説明責任や再現検証が容易になる.これらの特徴により,多様なユースケースへの対応が求められる実務環境で,拡張性の高い基盤として利用可能である.