KEVとEPSSによるExploit Intelligence
Aikidoは、本当に重要なCVEに集中できるよう、2つのソースからのexploit intelligenceを使用します: CISA Known Exploited Vulnerabilities（KEV）カタログとExploit Prediction Scoring System（EPSS）です。KEVは、実際に悪用されているCVEの重要度に常に影響します。EPSSベースの優先順位付けはオプションで、予測される悪用可能性に基づいて低リスクの脆弱性をさらに自動無視または格下げできます。
Aikidoにおけるexploit intelligenceの仕組み
Section titled “Aikidoにおけるexploit intelligenceの仕組み”Aikidoは両方のデータソースを毎日更新し、各問題の重要度スコアを計算する際に適用します。
CISA KEV（常時有効）
Section titled “CISA KEV（常時有効）”CISA KEVカタログには、実際に悪用されていることが確認されているCVEが記載されています。Aikidoはこのリストを毎日同期します。
CVEがKEVカタログに掲載されると、Aikidoはその重要度を5ポイント引き上げます（最大スコアは100）。問題の重要度の内訳にActively exploited vulnerabilityと表示され、説明として実際に悪用されていますと記載されます。
KEVベースのスコアリングは常に有効で、特に何かをオンにする必要はありません。
EPSS（オプション）
Section titled “EPSS（オプション）”EPSSは、CVEが今後30日以内に実際に悪用される確率を推定します。スコア1%は、その期間内に悪用される確率がおよそ100分の1であることを意味します。
Aikidoは毎日EPSSスコアを同期します。EPSSベースの優先順位付けを有効にすると、Aikidoはこれらのスコアを使って、近いうちに悪用される可能性が低い検出結果を無視または格下げできます。
EPSSはデフォルトで無効です。ワークスペース管理者はAdvanced Settingsで有効化できます。
KEVとEPSSの連携方法
Section titled “KEVとEPSSの連携方法”KEVとEPSSは異なる目的を果たします。KEVは確認された悪用を反映し、EPSSは将来の悪用可能性を予測します。
Aikidoは、重要度スコアリングの際にこれらを特定の順序で適用します:
- KEV: CVEがCISAカタログに掲載されている場合、重要度が5ポイント上がります。
- 公開されているProof-of-Concept（PoC）: CVEのエクスプロイトコードがGitHubで公開されている場合、重要度が1ポイント上がります。
- EPSSルール: CVEがKEVに掲載されておらず、かつ公開PoCがない場合にのみ適用されます。
| シグナル | ソース | デフォルトの動作 | 設定可能か |
|---|---|---|---|
| KEV | CISAカタログ | 重要度+5 | いいえ、常時有効 |
| 公開PoC | GitHubのエクスプロイトコード | 重要度+1 | いいえ、常時有効 |
| 低いEPSS | FIRST.org | 無視または格下げ | はい、任意のルール |
問題の重要度スコアをクリックすると、KEV・PoC・EPSSの調整を含め、どのルールが適用されたかを確認できます。
EPSSベースの優先順位付けを設定する
Section titled “EPSSベースの優先順位付けを設定する”Advanced Settingsを開く
Section titled “Advanced Settingsを開く”Settings → Advancedに移動し、EPSS-Based Prioritizationセクションを探します。
EPSSルールを管理する
Section titled “EPSSルールを管理する”EPSS-based prioritizationセクションでManageをクリックします。
ルールを選択する
Section titled “ルールを選択する”ワークスペースに適用するEPSSルールを選択します:
- EPSSが1%未満の問題を自動無視する: 悪用予測確率が非常に低いCVEを自動的に無視します。
- EPSSが5%未満の場合に重要度を10ポイント下げる: 重要度を10ポイント格下げします。例えば、スコア60の高重要度の問題は50になります。
- EPSSが5%〜10%の場合に重要度を5ポイント下げる: 重要度を5ポイント格下げします。
保存して再スキャンする
Section titled “保存して再スキャンする”Save EPSS-based prioritizationをクリックしてルールを適用します。
新しい優先順位付けをすぐに適用するには手動で再スキャンをトリガーするか、次回のスケジュールされたスキャンまで待って変更を反映させます。
重要な注意事項
Section titled “重要な注意事項”- AikidoはEPSSとKEVのスコアを毎日チェックします。EPSSの値がしきい値を超えると、次回のスキャンで問題が無視されるまたは無視が解除されることがあります。
- EPSSベースの優先順位付けは、IDE、CI内のPRゲーティング、フィードなど、Aikido内のあらゆる場所で利用可能です。
- EPSSベースの優先順位付けを無効にすると、以前にEPSSルールによって自動無視されていた問題は無視解除されます。KEVとPoCによる重要度調整には影響しません。
- EPSSルールがKEVや公開PoCのシグナルを上書きすることは決してありません。実際に悪用されているCVEは、EPSSスコアが低くても優先順位が維持されます。
- 重要度スコアはどのように計算されますか？: Aikidoの0〜100の重要度モデルとコンテキストによる調整の概要。
- CVE Exploitability Analysis: 依存関係のCVEに対するコードベース固有のLLMトリアージ。
- リーチャビリティ解析: 脆弱なコードへの実行パスがない検出結果をフィルタリングします。