【えぬぶいでぃー】
NVD とは？
公開:
💡 脆弱性の番号から、影響と根拠をたどる資料庫
NVDは、米国NISTが維持する脆弱性情報のデータベース。CVEで識別される問題に、深刻度の評価や影響する製品、参考情報などを関連付けます。情報の提供元や評価の条件を見て利用します。
📌 このページのポイント
ひよこ ペンギン先生、NVDとCVEは同じもの？
ひよこ 点数が高いものから全部直せばいい？
ペンギン先生 深刻度の点数は手がかりだけれど、自分の製品が対象か、外部へ公開しているか、実際に悪用されているかも重要だよ。点数だけで自分の環境の優先度が決まるわけではないんだ。
ひよこ 別のサイトと点数が違うのはなぜ？
ペンギン先生 CVSSの版や、評価した提供元、前提の違いがあり得るよ。NVDの数値を見るときも、誰がどの方式で付けた値なのかを確認しよう。数字だけを切り取らないことが大切だね。
ひよこ NVDを見れば修正版も分かる？
ペンギン先生 参考情報から開発元の案内をたどれるよ。情報は更新されるし、項目がまだ十分に付いていない場合もある。最後は製品の対象バージョンと修正案内を照合しよう。
📖 おまけ：英語の意味
「National Vulnerability Database」 ＝ 米国の脆弱性情報データベース
💬 この英語の頭文字がNVD。CVEという識別番号を手がかりに、問題の情報を調べる資料庫なんだよ。