Takumi 診断レポートにおける指摘事項の評価基準を詳細化
Takumi の診断レポートが、各指摘事項を 3 つの基準で評価するようになりました。
従来の深刻度に加えて、攻撃成立の可能性と、この 2 つから導かれる緊急度を表示します。指摘事項がどれだけ深刻かだけでなく、どれから対応すべきかもレポートから読み取れるようになります。
概要
深刻度は「攻撃が成立したときにどの程度の被害が発生するか」を表す指標で、その攻撃が現実に成立しうるかどうかは考慮していません。そのため、通常の攻撃者には満たせない前提条件を必要とする「重大」な指摘と、誰でも再現できてしまう「重大」な指摘とが、これまでは同じものとして並んでいました。
新たに加わった攻撃成立の可能性は、この「現実に攻撃が成立するか」を「高」から「不可能」までの尺度で表します。そして緊急度は、深刻度と攻撃成立の可能性の組み合わせから決まる値です。単独で判定されるものではありませんので、どの指摘事項から修正すべきかを判断する際の指標としてご利用ください。
レポート全体の A〜E 評価も、含まれる指摘事項のうち最も高い緊急度に基づいて決まるようになりました。指摘事項一覧も緊急度の高い順に並びますので、レポートの先頭にあるものから順に対応いただけます。
なお、新しい評価基準は新規に開始された診断のレポートにのみ適用されます。過去に実行された診断で報告された指摘事項について、変更はありません。
また、レポートによっては、一部の指摘事項の攻撃成立の可能性と緊急度が「—」と表示されることがあります。これは、攻撃成立の可能性の提供開始前に開始された診断に、この基準で評価されていない指摘事項が含まれる場合があるためです。緊急度は深刻度と攻撃成立の可能性の組み合わせから決まるため、あわせて未評価となります。これらの指摘事項は一覧の末尾に並び、レポート全体の A〜E 評価にも反映されませんので、深刻度と指摘事項の内容をもとに対応をご判断ください。