セキュリティ脆弱性ポリシー
シスコでは、製品の脆弱性に関する情報をセキュリティ脆弱性ポリシーに基づき、重要なセキュリティ問題と考えられるものをセキュリティアドバイザリとして公開しています。
各セキュリティアドバイザリは、Advisory ID と対応する CVE(Common Vulnerabilities and Exposures) 識別番号(CVE-ID) と共に公開されます。
このドキュメントの目的
このドキュメントでは、Technical Assistance Center(TAC)の サービスリクエスト(SR) にてセキュリティアドバイザリ関連で質問の多い項目を Q&A 形式でまとめました。
よくある質問と回答
Q1. セキュリティアドバイザリで掲載のない製品はどう判断すればよいか
A1. セキュリティアドバイザリで掲載のない製品は、非該当か、影響が確認されていない場合です。
Q2. CVE で公開されているが、セキュリティアドバイザリでは情報非公開の脆弱性はどういう扱いなのか
A2. CVE で公開された内容は、社内の脆弱性評価プロセスにて、製品に影響すると判定したものについて、セキュリティアドバイザリに掲載します。
セキュリティアドバイザリは、調査中の段階では原則として公開されず、製品に影響がないか、影響が軽微で掲載不要と判断された場合も公開されません。つまり、全ての CVE に対応したセキュリティアドバイザリが掲載されるものではありません。
Q3. CVE に該当するセキュリティアドバイザリに掲載されていない場合、どのように調査すればよいか
A3. セキュリティアドバイザリに非掲載の内容でも、社内で Bug-ID を登録して調査している場合もあります。非掲載のもので、気になる場合は、Bug Search Tool にて CVE-ID をキーワードとして関連 Bug-ID を検索し、内容をご確認ください。TAC での確認をご希望の場合は、有効な契約番号と S/N を提示頂き、製品とご使用の OS Version 毎に SR の Open をお願いします。
Q4. セキュリティアドバイザリで公開されている脆弱性に該当する対象製品を全て教えて欲しい
A4. TAC では、個別のセキュリティアドバイザリに対して、対象製品の一覧を調査、提供するサービスは提供していません。
Q5. 製品によっては製品毎にセキュリティアドバイザリに掲載されているが、IOS ルータ・スイッチ製品が掲載されていない
A5. IOS/IOS-XE については、製品毎ではなくバージョン単位で掲載しています。
Q6. 最近セキュリティアドバイザリの公開数が増えた気がするが、何か変わったのか
A6. 以前のセキュリティアドバイザリ公開基準は、Common Vulnerability Scoring System (CVSS) のスコアが 7.0 以上でしたが、2015年10月に 4.0 以上に変更された為です。CVSS Score と Security Impact Rating の関係は下記表をご確認ください。
| Security Impact Rating | CVSS Score | PSIRT Publication |
Critical | 9.0–10.0 | Cisco Security Advisory |
High | 7.0–8.9 |
Medium | 4.0–6.9 |
Low | 3.9 or below | Bug Release Note Enclosure (RNE) |
Q7. UCS で ISV(Independent Software Vendor) サービスを利用しており、各ベンダの CVE 対応状況を知りたい
A7. SR で回答できる内容は、基本的に各ベンダ の公開情報と同等で、各ベンダがで公開していない情報はSR で問い合わせ頂いても情報は得られません。
TAC での確認をご希望の場合は、有効な契約番号と S/N を提示頂き、製品とご使用の OS Version 毎に SR の Open をお願いします
各ベンダの公開情報
Microsoft
https://technet.microsoft.com/en-us/library/security/
VMware
https://www.vmware.com/security/advisories/
Red hat
https://access.redhat.com/security/security-updates/
SUSE
https://www.suse.com/security/cve/
関連リンク
Cisco Security
http://www.cisco.com/security
Cisco Security Advisories and Responses
https://tools.cisco.com/security/center/publicationListing
