令和6年度 秋期 高度試験共通 午前I 問14

各選択肢の解説

ア

コンピュータで必要なセキュリティ設定項目を識別するための識別子

誤りです。コンピュータのセキュリティ設定項目を識別するのは、CCE（Common Configuration Enumeration：共通セキュリティ設定一覧）です。CVEは設定項目ではなく、個々の脆弱性を識別します。

イ

脆弱性が悪用されて改ざんされた Web サイトのスクリーンショットを識別するための識別子

誤りです。CVE識別子は「CVE-西暦年-連番」の形式で、公開された脆弱性そのものに付けられます。改ざんされたWebサイトのスクリーンショットのような、被害の証拠画像を識別するためのものではありません。

ウ

製品に含まれる脆弱性を識別するための識別子

正しいです。CVEは、製品に含まれる個々の脆弱性に世界共通の一意な番号（例：CVE-2024-12345）を付ける仕組みです。米国のMITRE社が中心となって運営しています。JVNなどの脆弱性データベースやツールの間で、同じ脆弱性を同じ番号で参照できます。

エ

セキュリティ製品の種別を識別するための識別子

誤りです。CVEは、ファイアウォールやウイルス対策ソフトのような製品の種別を分類する識別子ではありません。製品やプラットフォームを識別する仕組みにはCPE（共通プラットフォーム一覧）がありますが、CVEが識別するのは脆弱性です。