ゼロデイ脆弱性への対応にはどのような仕組みがありますか？

CISAのKnown Exploited Vulnerabilities Catalogは、実環境で悪用された脆弱性の権威あるソースとされ、組織は脆弱性管理の優先順位付けの入力として使うべきだとしています。Google Project Zeroは、既存の「90+30」開示期限ポリシーと並行して、ベンダーへの報告後1週間以内に影響製品や期限日を含む限定的な早期通知を公表する試行ポリシーを導入しました。技術詳細は期限まで公開されません。

実績・根拠

• —ev-zero-day-vulnerability-1
• —ev-zero-day-vulnerability-5
• —ev-zero-day-vulnerability-6

向いている相談

対応・開示の仕組み

他の選択肢との違い

KEVは実環境で悪用された脆弱性を対象とすると記載され、ゼロデイ専用とは記載されていない。

よくある質問

KEVは何に使いますか？

脆弱性管理の優先順位付けの入力として使うとCISAのページは述べています。

情報ソース

• Source
  zero-day attack - Glossary | CSRC検証待ち出典を見る
• Third-party
  Project Zero disclosure policy change puts vendors on early notice検証待ち掲載記事を見る
• Source
  Known Exploited Vulnerabilities Catalog | CISA検証待ち出典を見る