セキュリティ アドバイザリについての補足

Cisco.com	http://www.cisco.com/security/ https://sec.cloudapps.cisco.com/security/center/publicationListing.x
電子メール	cust-security-announce@cisco.com
RSS	https://sec.cloudapps.cisco.com/security/center/rss.x?i=44
Cisco PSIRT openVuln API	https://developer.cisco.com/site/PSIRT/
Cisco Notification Service	https://www.cisco.com/c/en/us/support/web/tools/cns/notifications.html

Cisco.com のCisco Security Portal では、Cisco Security Advisory（日本語訳）などのシスコのセキュリティ脆弱性関連ドキュメントと、関連するセキュリティ製品およびサービスを含むシスコのセキュリティ機能の情報を提供しています。

セキュリティ影響評価が「緊急」および「重要」のセキュリティ脆弱性に関する情報は PSIRT PGP キー  によってクリア署名され、cust-security-announce@cisco.com メーリング リストに配信されます。

電子メールで配信されるのは、セキュリティ影響評価が「緊急」および「重要」のセキュリティ脆弱性に関するシスコ セキュリティ アドバイザリの初版リリースと、それの大幅な改訂情報のみです。ドキュメントに小規模な改定があった場合、更新は Cisco.com に反映されますが、電子メール メッセージは送信されません。小規模な更新の自動通知を必要とするお客様は、シスコのセキュリティ アドバイザリ Really Simple Syndication（RSS）フィード、または Cisco Notification Service に登録する必要があります。

cust-security-announce@cisco.com メーリング リストの購読手順は以下です。

メーリング リストの購読解除やオプション変更手順は以下です。

これらの操作は、cust-security-announce@cisco.com リスト自体ではなく、cust-security-announce-join@cisco.com または cust-security-announce-request@cisco.com に送信する必要がありますのでご注意ください。

登録・解除・変更操作は、購読メールアドレスからのメール送信によって行なう必要があります。別のメールアドレスを用いた操作は行なえません。

シスコのセキュリティ脆弱性情報は、Cisco.com の RSS フィードからも入手可能です。これらフィードは無償で入手でき、Cisco.com への登録も不要です。RSS フィードへの登録方法については、Cisco Security RSS Feeds page を参照してください。

Cisco PSIRT openVuln API は、シスコのセキュリティ脆弱性情報を機械処理可能な形式で配信する RESTful API です。この API へのアクセス方法と使用方法については、Cisco DevNet Web サイトの PSIRT page を参照してください。

Cisco Notification Service に登録することで、重要度が「緊急」および「重要」のセキュリティ脆弱性に関するシスコ セキュリティ アドバイザリを含めた、重要なシスコの製品および技術情報を受け取ることができます。このサービスでは、情報を統一して購読でき、通知のタイミングと配信方法（電子メール メッセージまたは RSS フィード）も選択できます。情報へのアクセス レベルは、Cisco.com ID のアクセス レベルに依存します。

通知の作成手順

シスコ製品の脆弱性を評価する標準プロセスでは、共通脆弱性評価システム（CVSS）バージョン 3.0 を使用します。CVSS モデルは、基本評価、現状評価、環境評価という 3 つの異なる評価（スコア）を使用します。シスコは基本脆弱性スコアの評価を開示し、現状脆弱性スコアを開示する場合もあります。エンド ユーザは、各自のネットワーク パラメータに基づいて環境スコアを評価することが推奨されます。これら 3 つのスコアの合計値は最終スコアとなります。つまり、この値がその時点における特定環境のスコアです。最終スコアを基に、社内環境における対応に優先順位を付けることを推奨します。

注：シスコでは、2017 年 1 月に共通脆弱性評価システム バージョン 3（CVSSv3）を採用しました。

CVSS スコア以外にも、脆弱性の重要度を容易に分類するためセキュリティ影響評価（SIR）を使用しています。SIR は、CVSS のベース スコアである Qualitative Severity Rating Scale に基づいていますが、シスコ固有の変数を考慮して PSIRT によって調整されます。SIR スコアはすべてのシスコ セキュリティ アドバイザリで利用されます。脆弱性情報を開示するセキュリティ開示の種類は、以下のガイドラインを使用して決定されます。

セキュリティ影響評価	CVSS スコア	PSIRT 開示
緊急	9.0 – 10.0	シスコ セキュアリティ アドバイザリ
重要	7.0 – 8.9
警告	4.0 – 6.9
低	3.9 以下	Bug Release Note Enclosure（RNE）

 

CVSS スコアへ追加要因が適切に反映されていない特定のケースについて、シスコはガイダンスから逸脱する権利を留保します。

シスコ製品で使用されるサードパーティ ソフトウェア コンポーネントにセキュリティ問題がある場合は通常、シスコはコンポーネントの作成者によって提供される CVSS スコアを使用します。ただしシスコは、シスコ製品への影響を反映して CVSS スコアを調整することがあります。

CVSS の詳細については、FIRST.org の Web サイトや 独立行政法人 情報処理推進機構の Web サイト を参照してください。

シスコ製品で使用されるサードパーティ ソフトウェア コンポーネントに脆弱性がある場合は通常、コンポーネントの作成者によって提供される CVSS スコアを使用します。ただし、シスコ製品への影響を反映して CVSS スコアを調整することがあります。

シスコでは、次の条件を満たしている場合にサードパーティの脆弱性を「ハイ プロファイル」として扱います。

「ハイ プロファイル」と分類されるサードパーティ製品の脆弱性についてはセキュリティ アドバイザリで情報を開示します。「ハイ プロファイル」として分類されていないサードパーティの脆弱性は、Release Note Enclosure（RNE）で情報開示されます。

シスコはセキュリティ開示で、エンド ユーザが脆弱性の影響を評価する際に必要となる最小限の情報と、システムの保護に必要と思われる緩和策を開示します（存在する場合）。エクスプロイトの作成に役立つような脆弱性の詳細情報を提供することはありません。

シスコは、Cisco.com の Cisco Security Portal で次の種類のセキュリティ関連開示を提供しています。

シスコ セキュリティ アドバイザリ

Cisco Security Advisory（日本語訳）では、シスコの製品に直接関連し、アップグレード、修正、お客様によるその他のアクションを必要とするセキュリティ問題の詳細情報を提供します。セキュリティ アドバイザリでは、セキュリティ影響評価が「緊急」、「重要」および「警告」の脆弱性について情報を開示します。

セキュリティ影響評価が「緊急」、「重要」、「警告」の脆弱性情報を開示する全てのシスコ セキュリティ アドバイザリには、Common Vulnerability Reporting Framework（CVRF）コンテンツをダウンロードするためのリンクが含まれます。Cisco IOS ソフトウェアのセキュリティ影響評価が「緊急」または「重要」の脆弱性情報を開示する全てのシスコ セキュリティ アドバイザリには、Open Vulnerability and Assessment Language（OVAL）定義をダウンロードするためのリンクも含まれます。

CVRF および OVAL は、コンピュータで読み取り可能な形式（XML ファイル）で脆弱性情報を提供するための業界標準です。コンピュータで読み取り可能なコンテンツは他のツールでも使用できるため、セキュリティ アドバイザリに含まれるデータの解釈プロセスを自動化することができます。CVRF と OVAL の内容は、セキュリティ アドバイザリから直接ダウンロードできます。CVRF と OVAL の詳細については、上記のリンクを参照してください。

シスコ セキュリティ レスポンス

シスコ セキュリティ レスポンスは、ブログやディスカッション リストなどで議論された情報へのレスポンスが要求される状況に対応します。通常は、サードパーティがシスコ製品の脆弱性について公的な発表を行った場合にレスポンスが公開されます。

シスコ イベント レスポンス

シスコのイベント レスポンスは、お客様のネットワーク、アプリケーション、デバイスに幅広く影響を与える可能性があるセキュリティ イベントに関する情報を提供します。シスコ イベント レスポンスには、サマリー情報、脅威分析、シスコの製品が提供する緩和技法が含まれています。通常は、次の状況で公開されます。

Release Note Enclosure

Release Note Enclosure は、セキュリティ影響評価の低い問題の情報開示に使用されます。登録されたお客様は、シスコが開示したすべての Cisco Bug ID を シスコ バグ サーチ ツールを介して確認できます。

シスコ セキュリティ アドバイザリでバグが参照されている場合、シスコ バグ サーチ ツールのバグ エントリから関連するシスコ アドバイザリにリンクが作成されます。

Cisco PSIRT によって評価されたシスコのバグには、リリース ノートの補足として「PSIRT Evaluation」セクションが必ず含まれます。この新しいセクションには、シスコが適切かつ関連性があると判断した場合に、基本および現状 CVSS スコアと CVE ID が表示されます。この情報は、シスコ エンド ユーザ ライセンス契約に記載された、ソフトウェア に適用される標準的な保証を補足するものではありません。

次の表に、セキュリティ開示をお客様に通知するための方法の概要を示します。特定のドキュメントに対するコミュニケーションを促進するために、個別に例外措置が取られることがあります。

シスコは、次の条件が 1 つ以上存在するときにシスコ セキュリティ アドバイザリを開示します。

すべてのシスコ セキュリティ開示は、お客様と一般向けに同時に開示されます。ただしシスコでは、Cisco.com におけるソフトウェア パッチの準備状況に応じて例外的に本ポリシーから逸脱する権利を留保します。

サードパーティと情報の開示を調整する際、Cisco PSIRT では、Cisco PSIRT 公開スケジュールからの変更をすべて通知するよう努めます。

このドキュメントの「セキュリティ脆弱性情報配信」セクションに記載されているように、シスコは複数のチャネルを通じてシスコ製品のソフトウェア修正に関する技術セキュリティ情報を提供し、製品アップデートを配布します。

Cisco IOS および IOS XE ソフトウェア

その他の製品

例外