令和6年度 秋期 情報処理安全確保支援士 午前II 問3

各選択肢の解説

ア

CVSS

誤りです。CVSS（共通脆弱性評価システム）は、攻撃元区分や影響度などの評価基準に基づいて、脆弱性の深刻度を0.0〜10.0の数値で評価する手法です。攻撃手法を分類したナレッジベースではありません。それに当たるのは、攻撃者の戦術と技術を体系化したMITRE ATT&CKです。

イ

MITRE ATT&CK

正しいです。MITRE ATT&CKは、米国MITREが公開しているナレッジベースです。実際の攻撃で観測された攻撃者の戦術（Tactics）と技術（Techniques）を体系的に分類し、具体的な手順（Procedures）の実例も収録しています。脅威の分析、検知策の評価、レッドチーム演習などに利用されています。

ウ

STIX/TAXII

誤りです。STIXは、サイバー脅威情報を構造化して記述するための言語（形式）で、TAXIIはその情報をやり取りするための通信プロトコルです。脅威情報を共有する仕組みであり、攻撃手法を分類したナレッジベースではありません。それに当たるのはMITRE ATT&CKです。

エ

サイバーキルチェーン

誤りです。サイバーキルチェーンは、ロッキード・マーチン社が提唱したモデルで、標的型攻撃の進行を偵察・武器化・配送・攻撃・インストール・C&C・目的の実行の7段階で表します。攻撃の過程を段階に分けたモデルです。個々の攻撃手法を網羅的に分類したナレッジベースは、MITRE ATT&CKです。