VULNERABILITY MANAGEMENT / SCAP
SCAPとは？脆弱性チェックを自動化する仕組みとCVE・CPE・CVSSの関係
会社にPCが200台、サーバが30台あるとします。「危険なソフトが残っていないか」「設定は安全か」を毎週手作業で調べるのは大変です。しかも担当者によって、製品名の書き方や危険度の判断が違うと、結果を比較できません。
そこで使われるのが、SCAP（Security Content Automation Protocol）です。セキュリティ状態を機械的に確認・評価するためのデータ形式や識別方法などを組み合わせ、点検の共通化と自動化を支えます。SCAP自体が製品や脆弱性を修復するわけではありません。
まず、手作業の点検で困ること
社内の「古いWebサーバ」を調べる場合
共通化されていない点検
担当者Aは「Webサーバ旧版」、担当者Bは「製品X 2.0」と記録。脆弱性名や採点方法もばらばらで、一覧にまとめにくい。
共通化した点検
製品・脆弱性・設定項目を共通の形式で表し、定義済みのチェックを実行。同じルールで結果を比較しやすくする。
SCAPは「脆弱性データベースそのもの」でも「監視ツールのブランド名」でもありません。複数の仕様を組み合わせ、機械が解釈できる形でセキュリティ検査を表現する枠組みです。
SCAPを理解する6つの部品
似た略語が多いですが、最初に「何を識別するか」「どう測るか」「どう表現するか」の3つに分けると整理できます。
| 仕様・識別子 | 担当する役割 | 身近なイメージ |
|---|---|---|
| CVE | 公開済みの脆弱性を識別 | 不具合についた共通の整理番号 |
| CPE | 製品やプラットフォームを識別 | 製品名を揺れなく扱う共通表記 |
| CVSS | 脆弱性の深刻度を評価 | 危険度を比較するための共通指標 |
| CCE | セキュリティ設定項目を識別 | 設定項目ごとの整理番号 |
| OVAL | システム状態のチェックを機械可読で記述 | 設定・バージョンの検査手順 |
| XCCDF | 設定基準やチェックリスト・結果を記述 | 点検表と評価結果の共通書式 |
※これらの規格・識別体系がすべて同一の組織によって運営されているわけではありません。また、製品やSCAPのバージョンによって対応する仕様は異なります。
CVEは「どの脆弱性か」、CPEは「どの製品か」
例えば「製品Xの古い版に、外部から悪用され得る不具合がある」とします。CVEはその不具合の識別子、CPEは影響を受け得る製品や構成を表す識別方法です。CVEが付いたからといって、すべてのPCがその問題の影響を受けるわけではありません。実際のバージョンや構成を調べる必要があります。
CVSSは「深刻度」を表すが、社内の優先順位そのものではない
CVSSは脆弱性の技術的な深刻度を共通の尺度で表します。一方、実際の対応順は、インターネットへの公開状況、悪用の観測、資産の重要性、回避策の有無なども踏まえて決めます。スコアが高い順に機械的に修正すればよい、とは限りません。
CCE・OVAL・XCCDFは「設定を点検する」場面で役立つ
「管理者用の設定が適切か」「不要なサービスが動いていないか」といった点検では、設定項目の識別、検査条件の記述、チェックリストの作成が必要になります。CCE・OVAL・XCCDFは、こうした作業を標準化するうえで重要な役割を持ちます。
点検から修正までの流れ
1. 対象を把握する
OS、ソフトウェア、バージョン、設定を収集して管理対象を明確にする
2. 共通の定義と照合する
製品や脆弱性、設定基準を照らし合わせて確認すべき点を特定する
3. チェックを実行する
対応するツールで設定や状態を確認し、結果を共通形式で取り扱う
4. 優先順位を決める
深刻度だけでなく、公開状況・業務への影響・悪用状況も考慮する
5. 修正して再点検する
更新や設定変更の後、再度チェックして改善を確かめる
実際の運用では、対象情報の正確さ、検査コンテンツの更新、認証情報の管理、点検が業務へ及ぼす影響も考える必要があります。SCAP対応を名乗るツール同士でも、対応仕様・適合範囲は同じとは限りません。
操作ラボ：3台の端末を点検してみよう
架空の社内端末について、脆弱性の有無や設定の状態を切り替え、検査結果がどう変わるかを確かめてください。CVEによる識別・CPEによる製品特定・CVSSによる評価・設定チェックが、それぞれ別の役割を持つことがわかります。
SCAP点検シミュレーター
架空のデータ① 点検する端末を選ぶ
社内Webサーバ — 社内ポータルを提供
CPE例：cpe:/a:example:webserver_b:2.0
② 端末の状態を設定する
③ 検査の進行を選ぶ
対象の特定：CPE
社内Webサーバ の製品情報を共通表記で識別し、どのチェック項目を適用するか判断します。CPEは脆弱性そのものの番号ではありません。
ラボは説明用の仮想データであり、実際の端末をスキャンしたり、実在のCVEやCVSS値を参照したりしません。
SIEM・SOAR・FIPSと何が違う？
| 用語 | 主な役割 |
|---|---|
| SCAP | セキュリティ設定や脆弱性のチェック・評価を標準化する仕様群 |
| SIEM | ログやイベントを集約・分析して異常を検知する仕組み |
| SOAR | セキュリティ対応の手順やツール連携を自動化・効率化する仕組み |
| FIPS | 米国の連邦情報処理標準。暗号モジュール等の要件を含む |
SCAPは「どの端末にどんな弱点・不適切な設定があるか」を一貫して調べるためのもの。SIEMは主に「何が起きているか」、SOARは「検知後にどう対応するか」の業務を支えます。相互に補完できますが、同じものではありません。
まとめ
SCAPの核心は、識別子・検査手順・評価表現を標準化して、脆弱性や設定の点検を自動化・比較しやすくすることです。CVEは脆弱性、CPEは製品、CVSSは深刻度、CCEは設定項目、OVALは状態検査、XCCDFはチェックリストという役割で整理すると混乱しません。