2026年、NVD運用変更後の脆弱性トリアージ。EPSSとVPRを組み合わせた自律的な優先順位付け

脅威ベース(VPR)でフィルタ

今まさに攻撃者に狙われており（VPR）、既に攻撃コードが成熟している（エクスプロイト）といった、実効性の極めて高い最優先リスクを特定します。

今回はすべての脆弱性として、179,459件の脆弱性が検出されているテスト用の環境を使って解説を進めていきます。

具体的には、以下の4つの条件を組み合わせたフィルタリングを使用します。

• 「最終確認日 直近 30日」と「状態：アクティブ、再表面化、新規」
  （すでにネットワークから切り離された古いデータや、過去に修正済みの古い情報を除外）
• 修正されたリスク：許容済み（除外）
• VPR： 次の値以上 8 (Critical)
• エクスプロイトの成熟度： 次の値に等しい [機能的, 高]

絞り込み後のリストを見てみましょう。次のような状態になっています。

脆弱性が179,459件から8,991件までフィルタされました。今回は機能検証用のデモ環境を使用しているため、あえて膨大な脆弱性が検出されるような環境が作られているため、フィルタ後もVPRが10の項目が並んでおり、まだ着手すべき優先順位を絞りきれない状態です。

可能性ベース(EPSS)でフィルタリング

次にEPSSを使って、統計的に悪用の可能性が高いものを抽出します。VPRもEPSSも、実害が出る前の予兆を捉える予測スコアですが、EPSSは、過去の傾向に基づいた統計的な観点から狙われやすさを算出するため、Tenable独自の脅威分析によるVPRとはまた別の角度から、リスクの予兆を補完してくれます。

EPSSの閾値をどこに置くべきか？

ここで一つの目安となるのが10%（0.1）という数値です。

【参考】EPSS 10%を閾値とした場合のパフォーマンス評価 (出典：Model Performance　https://www.first.org/epss/model )

FIRSTでは、2023年10月の実績データを用いて、仮にEPSS 10%という境界線で脆弱性を分けた場合、実際の悪用活動とどれくらい一致するかを検証しました。対象となった脆弱性139,473件のうち、その後の30日間で実際に悪用が確認されたのは3,852件（約2.7%）でした。この膨大なリストに対して、EPSS 10%を（便宜上の設定値として）適用した結果が次の図です。

この混同行列（Confusion Matrix）から読み取れる事実は以下の通りです。

「EPSS 10%以上」のグループ（上半分：2.7%）

• 実際に悪用されたのは 1.8%（2,435件）です。
• 悪用されなかったのは 0.9%（1,300件）です。
• 的中率： このグループ内に限定すれば、約66%という高い確率で悪用を的中させています。

「EPSS 10%未満」のグループ（下半分：97.3%）

• 実際に悪用されたのは 1.0%（1,417件）です。
• 悪用されなかったのは 96.3%（134,321件）です。
• 的中率： このグループの99%は安全だが、1%の見逃しを件数にすると1,417件もあります。

EPSS 10%未満であっても、数にして1,400件以上の脆弱性が実際に悪用されていることが分かります。これは全体のわずか1％に過ぎませんが、悪用された脆弱性全体（3,852件）を分母にすると、約37%を見逃していることになります。

すべての脆弱性を対処するには膨大なリソースが必要となります。EPSSという指標をどう利用するかは組織がこの見逃しリスクをどう受容するかで決定されるべきものです。

判断の根拠はあくまで組織のリスク受容にありますが、ここからは一つの実践的なケーススタディとして、実際に10%のフィルタを適用した例を見ていきましょう。

脆弱性が8,991件から7,708件までフィルタされました。

VPR 8.0以上で絞り込まれたリストのうち、EPSS 10%未満の条件で除外されたのは約1,200件程度に留まりました。これは、VPRが高く評価している脆弱性の多くが、EPSSにおいても一定以上の悪用確率 (10%以上) として算出されているためです。まだ7,000件以上のリストが残っており、これら全てに即座に対応するのはまだ現実的ではありません。

資産ベースでのフィルタリング

脆弱性自体のリスクに加え、その脆弱性を抱える「資産の重要度」を考慮します。Tenableには、資産の重要度を評価する指標としてACR (Asset Criticality Rating) と、資産のセキュリティ強度を示すAES (Asset Exposure Score) があります。

ACR (Asset Criticality Rating：資産重要度評価)

資産の相対的な重要度を1から10で表すスコアで、値が高いほどビジネス上の重要度が高いことを示します。

ACRは、デバイスタイプ、デバイス機能、インターネット露出などの要素を組み合わせてTenableが自動的に算出します。

このスコアの具体的な算出ルールは開示されていませんが、特徴的なのは、管理者が手動でTenableが算出したスコアを上書きすることも可能なため、組織の実態に即した真の優先順位を定義することができます。また、Tenableで計算されるACRは24時間ごとに更新されます。ただし、ユーザーがカスタムで更新した場合はユーザー更新値が維持されます。このように、カスタムで設定した値はそのまま維持されるため、システムの自律的な評価と管理者の意図を賢く共存させることができるのが、Tenableの運用しやすいポイントです。

AES (Asset Exposure Score：資産エクスポージャースコア)

ネットワーク上の各資産について動的なリスクを計算し、その資産がどれだけ脅威にさらされているかを 0から1000 までの数値で表します。スコアが高いほど、その資産のリスク（エクスポージャー）が高いことを示します。Tenableは現在のACR (Tenableが算出するACRまたはカスタムで付与されたACR）と、資産に関連付けられているVPR、資産の重大度、スキャン動作などを考慮して、脆弱性の状況を定量化します。

脅威と資産価値を掛け合わせ、対応の優先順位を確定させる

指標の意味を整理したところで、先ほどの膨大なリストをAES（資産エクスポージャースコア）が高い順に並び替えてみます。

AES 980、ACR 10の条件で7つの脆弱性がリストアップされました。これらはVPRが8.9〜9.8と非常に高い数値を示す一方で、EPSSについては2.326%という低い値のものも含まれています。

仮にEPSS10%以上という一律のフィルターを適用していた場合、を付けた3つの脆弱性は後回しとして見逃していたことになります。

ACRか、AESか。運用スタイルで決める優先順位

ここまで、AES（資産エクスポージャースコア）を用いたトリアージの例を解説してきました。AESは、ACR（資産重要度）やVPR（脅威度）、さらにスキャン頻度などの要素を多角的に組み合わせて算出される指標です。実務においては、資産の価値であるACRを基準にするのか、あるいは総合的なリスクを示すAESを基準にするのか、どちらを選択すべきかは、組織が定めるリスク管理基準によって変わります。

1. ポリシー重視型 ～ 資産レベル×脅威レベルで基準を作る

「重要資産（ACR 9〜10）において、一定以上の脅威（VPR 8.0以上など）は一律で許容しない」といった、明確な足切りラインを設けるスタイルです。特定の重要資産で致命的な脆弱性が発生することだけは、何としても避けたいという、ガードの固い防御体制を重視する組織に向いています。 対応基準が場所×深刻度で固定されるため、現場への指示が非常にクリアで判断のブレがなくなります。ただし、VPR 7.9のような境界線上のリスクであっても、攻撃者が注目している可能性が高く、優先的な対応が推奨される場合があります。画一的なルール運用では、こうした実効性の高い脅威がこぼれ落ちてしまうといった、柔軟性に欠ける面があります。

2. リスク効率重視型 ～ AESで総合判断する

資産の重要度と、最新の攻撃トレンドを天秤にかけ、「今もっとも狙われやすそうな箇所」から優先的に塞いでいく、実戦重視の運用スタイルです。AESスコアを活用することで、ポリシー重視型では一律の足切りによって見落とされがちな脆弱性の中でも、実効性の高い脅威を優先順位に正しく引き上げることが可能になります。ただし、ブラックボックス化したアルゴリズムによる高度な算出であるため、なぜこの脆弱性が上位なのかを説明する際、ツールの推奨以上の具体的な根拠を示しにくい場合があります。