質問をすることでしか得られない、回答やアドバイスがある。

15分調べてもわからないことは、質問しよう!

新規登録して質問してみよう
ただいま回答率
85.50%
セキュリティー

このタグは、コンピューターシステムの安全性やデータの機密性に関連したトピックの為に使われます。

Q&A

解決済

1回答

3468閲覧

CVSSのスコープについて

senaha

総合スコア17

セキュリティー

このタグは、コンピューターシステムの安全性やデータの機密性に関連したトピックの為に使われます。

0グッド

0クリップ

投稿2017/02/17 07:21

リンク内容
IPAのCVSS評価基準のうち評価する基準のうちスコープの考え方についてです。

スコープの定義として「計算機資源に対する管理権限の範囲」と記載があります。
こちらは同一サーバ内に対しての記載となっています。

お伺いしたいのはあるサービスが異なるサーバ間で連携している場合に、
スコープは跨ったスコープととらえてよいかということです。
※以下イメージ図
イメージ説明
リンク先の「2.1.5. スコープ(S:Scope)」には上記のようなケースはなかったのですが、
そもそもスコープの考え方として別の機器にまたがったスコープというものはないのでしょうか?

分りにくい質問になってしまい、恐縮ですがよろしくお願いいたします。

気になる質問をクリップする

クリップした質問は、後からいつでもMYページで確認できます。

またクリップした質問に回答があった際、通知やメールを受け取ることができます。

バッドをするには、ログインかつ

こちらの条件を満たす必要があります。

guest

回答1

0

ベストアンサー

該当するとすれば、H、Iに該当するのではないでしょうか。

もちろん、どのような役割を持つかにより変わると思います。
Aを信頼してBが動作するとか、Aの結果をもとにBが動作をするといった場合、Aの脆弱性がBに影響を与えることを指しているのだと思います。

投稿2017/02/17 07:29

t_obara

総合スコア5488

バッドをするには、ログインかつ

こちらの条件を満たす必要があります。

senaha

2017/02/17 07:38

ご回答ありがとうございます。 H,Iの場合ですが、H→オーソリゼーションスコープL、I→オーソリゼーションスコープMと記載されています。赤枠の影響想定範囲がスコープLとMに跨るため、スコープ変更有の部類に分けられているかと思います。 今回お伺いしたいのは「オーソリゼーションスコープの考え方」として質問に乗せたイメージ図のように「別機器に跨ったスコープは存在するのか」ということです。 イメージを伝えづらくてすみません。
t_obara

2017/02/17 07:52

用途次第だと思います。 下の方に、以下の事例がありますが、これに該当するのかと。 5.2 CVE-2013-0375(JVNDB-2013-001148) その他のスコープについて補足を見ると、「影響想定範囲が機器に留まる」と言う記載もあるので、機器が別かどうかと言うよりは、その影響範囲がどこまで及ぶかと言う意図かと思います。
senaha

2017/02/17 08:28

5.2 CVE-2013-0375(JVNDB-2013-001148) についてですが、こちらは以下のリンクに「リモート認証されたユーザにより、情報を取得される、あるいは情報を改ざんされる可能性があります。」とあります。 http://jvndb.jvn.jp/ja/contents/2013/JVNDB-2013-001148.html これはレプリケーションが持っている機能を超えて影響を及ぼすために情報の取得が発生する為にスコープの変更有としている認識です。 また、「影響想定範囲が機器に留まる」と記載がある事例については想定影響範囲が1サーバ内に収まっているため、スコープの変更無とされている認識です。 提示していただいた事例にて「別機器に跨ったスコープ」が無かったため、悩ましかったのですが、 「その影響範囲がどこまで及ぶか」という捉え方であれば、質問に乗せたイメージ図のスコープは存在する認識となりそうですね。 ややこしい質問にお答えいただき有難うございました。
guest

あなたの回答

tips

太字

斜体

打ち消し線

見出し

引用テキストの挿入

コードの挿入

リンクの挿入

リストの挿入

番号リストの挿入

表の挿入

水平線の挿入

プレビュー

15分調べてもわからないことは
teratailで質問しよう!

ただいまの回答率
85.50%

質問をまとめることで
思考を整理して素早く解決

テンプレート機能で
簡単に質問をまとめる

質問する

関連した質問