# 脆弱性の評価基準 {#evaluation-criteria}

Takumi がセキュリティ診断を行った際に出力される結果のレポートでは、各脆弱性が[深刻度](#severity)、[攻撃成立の可能性](#possibility)、[緊急度](#urgency)の 3 つの尺度で評価されます。緊急度は、脆弱性ごとに判定される深刻度と攻撃成立の可能性の組み合わせから決まる値です。

## 深刻度 {#severity}

各脆弱性は深刻度が判定され、その深刻度は以下5つの階層に分類されます。

| 深刻度 | 説明                                                                                                                                                      |
| ------ | --------------------------------------------------------------------------------------------------------------------------------------------------------- |
| 重大   | 大規模な個人情報漏洩または決済やシステム全体の影響など、<br/>事業の継続性に対して重大な影響を与える可能性がある脆弱性。                                   |
| 高     | 回復不能な個人情報の漏洩や重要な情報の改ざんなど、<br/>事業の継続性に対して大きな影響を与える可能性がある脆弱性。                                         |
| 中     | 情報の回復不能でない漏洩など、事業の継続性に対して影響を与える可能性がある脆弱性。                                                                        |
| 低     | 事業の継続性に対して軽微な影響を与える可能性がある脆弱性。<br/>または、ある脆弱性の発生やそれによって生じる影響を助長させる可能性がある設定不備等の問題。 |
| その他 | 事業の継続性に影響がない設定不備や意図しない挙動。                                                                                                        |

以下に、例を一部挙げます。

- **重大**: SQL インジェクションによって、データベースに格納された個人情報が漏洩する。
- **高**: 特定のリクエストによって Web アプリケーションの一部が停止し、関連機能の提供が不可能になる。
- **中**: 部分的な認可制御の不備によって、他のユーザーの情報の一部が漏洩する。
- **低**: オープンリダイレクトによって、任意の外部サイトに遷移させることが可能になる。
- **その他**: 利用しているサーバやフレームワークのバージョン情報が公開されている。

## 攻撃成立の可能性 {#possibility}

各脆弱性には深刻度とあわせて攻撃成立の可能性が判定され、その可能性は以下4つの階層に分類されます。

| 攻撃成立の可能性 | 説明                                                                                                                             |
| ---------------- | -------------------------------------------------------------------------------------------------------------------------------- |
| 高               | 特別な攻撃条件を必要とせず、常に攻撃が可能。                                                                                     |
| 中               | 被害者の誘導や特別な設定など、一定の条件が満たされていれば攻撃が可能。                                                           |
| 低               | 相対的に複雑な条件や、複数の条件が同時に求められる。                                                                             |
| 不可能           | 診断時点では攻撃を成立させられない。または、管理者権限や対象の認証情報を既に持っているなど、通常の攻撃者が満たせない条件が必要。 |

## 緊急度 {#urgency}

各指摘事項には緊急度が付与されます。緊急度は対応すべき順序を表す値であり、個別に判定されるものではなく、その指摘事項の[深刻度](#severity)と[攻撃成立の可能性](#possibility)の組み合わせから決まります。次の表の縦軸が攻撃成立の可能性、横軸が深刻度です。

|        | 重大 | 高   | 中  | 低  | その他 |
| ------ | ---- | ---- | --- | --- | ------ |
| 高     | 緊急 | 緊急 | 高  | 中  | その他 |
| 中     | 緊急 | 高   | 中  | 低  | その他 |
| 低     | 高   | 中   | 低  | 低  | その他 |
| 不可能 | 中   | 低   | 低  | 低  | その他 |

レポート全体に対する A〜E の評価は、レポートが含む最も高い緊急度に従います。「緊急」があれば E、「高」があれば D、「中」があれば C、「低」があれば B、それ以外は A です。