深刻度スコアの算出方法
Aikidoは、0から100までの範囲で、コンテキストを踏まえたリスクベースの深刻度スコアを提供します。これは従来のCVSSスコアリング（0〜10のスケール）と比べて10倍細かい粒度であり、より的確な優先順位付けとフィルタリングを可能にします。
| 深刻度 | スコア |
|---|---|
| Critical | 90 - 100 |
| High | 70 - 89 |
| Medium | 40 - 69 |
| Low | 1 - 39 |
1. 複数の脆弱性データソース
Section titled “1. 複数の脆弱性データソース”私たちは、深刻度のベースライン情報を提供し初期の深刻度スコアを確立するのに役立つ、さまざまな脆弱性フィードやデータベースを継続的に監視しています。対象データベースには以下が含まれます。
- 公開脆弱性データベース（例: NVD、GHSAなど | 全リストを見る）
- OSおよびベンダー固有のアドバイザリ
- 独自のAikido Intel: https://intel.aikido.dev/
2. コンテキストによる深刻度の調整
Section titled “2. コンテキストによる深刻度の調整”実際のリスクをより正確に反映するため、Aikidoは悪用可能性、環境、脅威インテリジェンス、カスタムルールといった追加のコンテキストを重ね合わせます。
悪用可能性と脅威インテリジェンス:
実際のリスクを示す証拠がある場合、深刻度は上昇することがあります。
- その脆弱性が実際に悪用されている、またはCISA KEVリストに掲載されている
- 公開されたPoCエクスプロイトが存在する（例: GitHub上）
ビジネスコンテキスト
Section titled “ビジネスコンテキスト”影響を受けるアセットの重要度に応じて深刻度が調整されます。例としては以下が挙げられます。
- 本番環境かテスト環境か
- バックエンドコードかフロントエンドコードか
- 脆弱なコードが到達可能・実行可能かどうか
カスタマールール
Section titled “カスタマールール”プロジェクトにコンテキスト情報を追加することで、issueのスコアリングをさらに細かく調整できます。
- リポジトリやコンテナのリスクスコアを改善する方法についてはこちらをご覧ください
Exploit Prediction（EPSS）
Section titled “Exploit Prediction（EPSS）”Aikidoは、今後30日間で悪用される可能性が低い脆弱性を自動的に格下げまたは無視する、EPSSベースの優先順位付けにも対応しています。これはオプション機能でデフォルトでは無効になっています。詳細はこちら: KEVとEPSSによるExploit Intelligence
