SRI とは
SRI（SIDfm Risk Impact）について
SRI とは、リスクを分析・評価するために使用されるSIDfm独自の指標です。脆弱性の影響を決定するための環境評価と現状評価を行うフレームワークに活用できます。SRI 指標による脆弱性の度合いの標準化を図り弊社が脆弱性情報を長年提供してきて培ったノウハウが込められています。
サーバの設置場所等の環境を考慮して「システムカテゴリ」という概念を導入し、脆弱性の環境評価基準のプリセットを提供しています。SRI 指標による脆弱性の度合いの標準化を図り、リスク分析・評価における手間を省くように設計が可能です。
システムカテゴリの定義
SIDfm における、環境評価基準のプリセットであるシステムカテゴリは以下のように定義されています。
|
公開サーバ信頼できない人間がアクセス可能なネットワークに配置された、信頼できる人間のみがログインできるシステム。 基本的にファイアウォールの外側や DMZ, クラウドにあるサーバシステムを意味します。 |
|
内部サーバ信頼できる人間や特定の人間のみアクセス可能なネットワークに配置された、信頼できる人間のみがログインできるシステム。 基本的にファイアウォールで保護された内側にあるサーバシステムを意味します。 |
|
共用サーバ信頼できない人間がアクセス可能なネットワークに配置された、信頼できない人間がログインできるシステム。 レンタルサーバのサービスを提供するシステムや、不特定なユーザにアカウントを発行する Web サービスを提供するシステムを意味します。 |
|
モバイル信頼できない人間がアクセス可能なネットワークに配置された、他システムへサービスを提供しないクライアントシステム。 Web の閲覧やドキュメントの作成などに使用し、公開無線 LAN などに接続するノートパソコンやタブレットを意味します。 |
|
クライアント信頼できる人間や特定の人間のみアクセス可能なネットワークに配置された、クライアントシステム。 Web の閲覧やドキュメントの作成などに使用し、外部への持ち出しを行わないノートパソコンやタブレットを意味します。 |
|
仮想化ホスト信頼できない人間がアクセス可能なネットワークに配置された、仮想サーバを提供する仮想サーバのホストシステム。 基本的に仮想サーバのハイパーバイザシステムの動作するシステムを意味します。仮想サーバの操作を行う Web インタフェースなどは評価の対象となりません。 |
|
公開NW機器信頼できない人間がアクセス可能なネットワークに配置された、ルータ・スイッチ・ファイアウォールなどのネットワーク機器。 |
|
内部NW機器信頼できる人間や特定の人間のみアクセス可能なネットワークに配置された、ルータ・スイッチなどのネットワーク機器。 |
SRI レベルの定義
SRI レベルは、システムカテゴリによる環境評価と脆弱性情報の現状評価を組み合わせ、以下の基準によって決定します。
| SRI レベル | 評価基準 |
|---|---|
|
重大
|
SRI レベルが 高 もしくは 中 であり、かつ、以下を満たす場合
|
|
高
|
|
|
中
|
|
|
低
|
|
※詳細が不明なものに限り、情報源が設定したレベルが存在する場合はそれを踏襲する。
※対象プロダクトによっては、例外的な評価を行う場合がある。（例：Wireshark）
システムカテゴリと SRI の関係性
システムカテゴリと SRI には相互に関係性があります。
よくある脆弱性として発生するケースを例に、システムカテゴリとの関係性を以下に記載します。
| SRI レベル | システムカテゴリ名 | 評価基準 |
|---|---|---|
|
重大
|
||
公開サーバ
|
個々の脆弱性により重大と判断したもの（高・中レベルからの引き上げ) | |
内部サーバ
|
個々の脆弱性により重大と判断したもの（高・中レベルからの引き上げ) | |
モバイル
|
個々の脆弱性により重大と判断したもの（高・中レベルからの引き上げ) | |
クライアント
|
個々の脆弱性により重大と判断したもの（高・中レベルからの引き上げ) | |
共用サーバ
|
個々の脆弱性により重大と判断したもの（高・中レベルからの引き上げ）もしくは以下の場合
|
|
仮想化ホスト
|
個々の脆弱性により重大と判断したもの（高・中レベルからの引き上げ) | |
公開NW機器
|
個々の脆弱性により重大と判断したもの（高・中レベルからの引き上げ) | |
内部NW機器
|
個々の脆弱性により重大と判断したもの（高・中レベルからの引き上げ) | |
|
高
|
||
公開サーバ
|
|
|
内部サーバ
|
|
|
モバイル
|
|
|
クライアント
|
|
|
共用サーバ
|
|
|
仮想化ホスト
|
|
|
公開NW機器
|
個々のアプライアンス製品、ネットワーク製品に依存する |
|
内部NW機器
|
個々のアプライアンス製品、ネットワーク製品に依存する | |
|
中
|
||
公開サーバ
|
|
|
内部サーバ
|
|
|
モバイル
|
|
|
クライアント
|
|
|
共用サーバ
|
|
|
仮想化ホスト
|
|
|
公開NW機器
|
個々のアプライアンス製品、ネットワーク製品に依存する | |
内部NW機器
|
個々のアプライアンス製品、ネットワーク製品に依存する | |
|
低
|
||
公開サーバ
|
|
|
内部サーバ
|
|
|
モバイル
|
|
|
クライアント
|
|
|
共用サーバ
|
|
|
仮想化ホスト
|
|
|
公開NW機器
|
個々のアプライアンス製品、ネットワーク製品に依存する | |
内部NW機器
|
個々のアプライアンス製品、ネットワーク製品に依存する |