脆弱性管理
応用情報技術者 用語
脆弱性管理は、ソフトウェアやシステムの脆弱性を見つけ、識別し、対処する取り組みです。CVE（脆弱性の識別子）、SBOM（構成部品の一覧）、ファジング、ポートスキャン、CSPM（クラウドの設定監視）などが使われます。
点検・防御の仕組みの違い
| 用語 | 内容 | 見分ける手がかり |
|---|---|---|
| CSPM | クラウドの設定を継続的に監視し、不備を検出・修正する | クラウドの設定不備 |
| CASB | 利用者とクラウドサービスの間で利用を可視化・制御する | シャドーITの把握・利用制御 |
| UTM | 複数のセキュリティ機能を1台にまとめた装置 | ファイアウォールやIPSの統合 |
| ポートスキャン（TCP） | SYNを送り応答でポートの状態を調べる | SYN/ACKなら開、RST/ACKなら閉 |
| ポートスキャン（UDP） | UDPパケットを送り応答でポートの状態を調べる | ICMP port unreachableなら閉 |
クラウドの設定不備を見つけるならCSPM、クラウドの利用を制御するならCASBです。
取り違えやすい用語
- CVE（個々の脆弱性の識別子）とCVSS（深刻度の評価）・CWE（弱点の種類）・CCE（設定項目の識別子）
- CSPM（クラウドの設定不備の監視・修正）とCASB（クラウド利用の可視化・制御）
- TCPポートスキャンの応答（SYN/ACKなら開、RST/ACKなら閉）とUDPポートスキャンの応答（ICMP port unreachableなら閉）
試験での出方
- 問題を起こしそうなデータを大量に入力して脆弱性を検出するテスト手法を選ぶ（令和5年度 秋期 問46）
- 既知の脆弱性を一意に識別する情報としてCVEを選ぶ（令和5年度 春期 問40、令和6年度 秋期 問41）
- SBOMの説明や、SBOM管理ツールを使える対策を選ぶ（令和6年度 秋期 問43、令和7年度 春期 問40）
- CSPMの説明を選ぶ（令和7年度 秋期 問42）
- ポートスキャンでポートの状態を判定する方法として適切なものを選ぶ（令和7年度 秋期 問43）
出題された回
全年度から出題。10問で実力を判定します。登録不要。
解説と用語ページは生成 AI が書き、別の生成 AI が確かめています。作り方