支援士 科目B（午後）の脆弱性管理・資産管理問題の解き方｜CVSS・EPSS・KEV・ASMは「その値を誰が決めるか」で解く【過去問2問で解説】

情報処理安全確保支援士（SC、登録セキスペ）の科目B（旧・午後問題）で、令和7年に新しく主題になったのが脆弱性管理・IT資産管理です。令和7年春期は、4問のうち2問がこの分野でした。CVSS、EPSS、KEVカタログ、アタックサーフェスマネジメント（ASM）と、用語だけ見ると知識問題に見えますが、実際に点数を分けているのは問題文の読み方です。

この記事では、令和7年春期の問2と問4を使って、「なぜその答えになるのか」「問題文のどの文に着目すれば答えが出るのか」を解説します。答えはIPAの解答例、つまずきやすい設問はIPAの採点講評で確認しています。分析にはAI（Claude）も使っています。

科目B全体の出題傾向は、科目Bの出題傾向を10回分分析した記事にまとめています。この記事は、その分野別シリーズの5本目です。1本目はWeb問題（XSS・CSP・CSRF）、2本目は認証・API・スマホアプリ問題、3本目はネットワーク・リモートワーク問題、4本目はサプライチェーン・クラウド問題です。

結論：脆弱性管理の問題は「3つの着眼点」で解ける

2問を解き直してみると、答えの根拠になる文の場所はほぼ決まっていました。

1. その値を「誰が」「何を見て」決めるのかを確定する。CVSSの基本値は診断ツールや診断会社、現状値は攻撃コードの情報を集めて自分で、EPSS値はFIRSTが公開、環境値は各サイトの担当者、KEVカタログは「実際に悪用された」もの。値の出どころが分かれば、手間の差も、優先度の決め方も答えになる
2. 本文に書かれた「仕様」で答えを絞る。パラメータが数値型として扱われる、プロセスが一般利用者権限で動いている、URLが推測しにくい。採点講評では、仕様を考慮していない解答が何度も指摘されている
3. 資産管理は「台帳に載らない経路」を探す。管理ルールに「登録していない」と書かれた契約形態、解約したのに残ったDNSレコード、もう存在しない部署。未把握の資産は、ルールの穴から生まれる

用語の定義を覚えているかより、表の数字と本文の仕様を突き合わせられるかが点数を分けています。

この記事で使う過去問2問

どちらも令和7年春期なので、同じ回の2問を続けて解くと、問2は「見つかった脆弱性をどう順位付けするか」、問4は「そもそも守る対象を把握できているか」という、脆弱性管理の前後の工程になっていることが分かります。

令和7年春期 問2（問題PDF）：CVSSの基本値だけで優先度を決めない

ソフトウェア会社のM社で、キャンペーンサイトにSQLインジェクションの脆弱性が見つかったのをきっかけに、全公開サイトの一斉診断を行い、脆弱性の評価方法を見直す問題です。前半は個々の脆弱性、後半はCVSSとEPSSを組み合わせた優先度の決め方です。

設問1：数値型のパラメータに「‘」を入れるとどうなるか

着目する文： 図1のサイトXの仕様「コンテンツ番号がDBサーバ上に存在しない場合，又はSQLが構文エラーになる場合は，“コンテンツがありません”というメッセージを返す」と「クエリパラメータarticleの値はSQLでの検索では数値型として扱われる」。

表1は、診断ツールが送ったパラメータと、サイトXの応答を並べた表です。応答の選択肢は「ア：コンテンツがありません」「イ：2025年4月1日のコンテンツが返される」などです。

文字列型のパラメータなら、b（'a'='a'）でコンテンツが返るのが定番のパターンです。しかしこの問題では、図1に数値型として扱われると書かれています。だから「‘」を含むものは全部構文エラーになり、「‘」を含まないdとeで真偽の差が出ます。

採点講評では、正答率は平均的で、「本文中で示されているWebサイトの仕様が考慮されていない解答が散見された」とあります。SQLインジェクションの知識で答えを決め打ちせず、図1の仕様を当てはめる問題です。

真偽で応答が変わるので、攻撃者は「テーブル名の1文字目はaか」のような質問を繰り返して、画面に出ない情報も1つずつ割り出せます。これが本文に出てくるブラインドSQLインジェクションです。サイトの担当者は「DBには重要情報もない」と主張しましたが、Eさんはテーブル名が分かれば次の攻撃につながると説明して、公開を止めさせています。

設問2：何も変えていないのに、診断結果が変わった理由

着目する文： 「初回リリース時の両診断以降にアップデートや設定変更をしていないにもかかわらず，初回リリース時の両診断結果と今回の一斉診断結果が異なっている」と、冒頭の「P社の診断では，P社が独自の知見でCVSS基本値を基に値を変え，分類している」。

本文では、診断員による差はほぼない、初回の診断で不具合もなかった、と先に可能性をつぶしています。残るのは、サイトの外側で起きた変化です。

• f・g（順不同）：「新たな脆弱性が発見されたこと」「リスクが変わったと評価し値を変えたこと」

gは冒頭の一文がそのまま根拠です。P社は基本値を独自の知見で変えて深刻度を決めているので、攻撃の状況が変われば、同じ脆弱性でも深刻度が変わります。ここから、Eさんは「初回リリース後も定期的な診断が必要」と結論づけています。

設問3：OpenSSHの攻撃を「早く気付く」方法

着目する文： 「認証試行の接続時間（LoginGraceTime）の設定が120秒の場合，その間に100件試行されると，OpenSSHのログに”Timeout before authentication”という認証タイムアウトのメッセージが多数出力され，3〜4時間で悪用に成功する可能性がある」。

• 設問3(1)：表4の鍵交換の基準はウ（ECDHEは128ビットセキュリティ以上を満たす曲線、DHEは112ビットセキュリティ以上を満たす鍵長）
• 設問3(2)：攻撃を早期に検知する方法は、解答例では「OpenSSHのログに認証タイムアウトのメッセージの出力が多数あったらサイト担当者に電子メールでアラートを送る」
• 設問3(3)：管理者のログイン画面への総当たり対策として、アクセス元のPCを認証する対策は「クライアント認証を行う」

(2)は、本文に「どのログに、どんなメッセージが出るか」まで書いてあります。しかも悪用に成功するまで3〜4時間かかるので、メッセージが大量に出た時点で担当者に知らせれば、成功する前に対処できます。検知の方法は、「何を見て」「誰に知らせるか」まで具体的に書くのが基本です。

設問4(1)：AC（攻撃条件の複雑さ）は「推測できるか」で決まる

着目する文： 表5のWA-1「パラメータitemの5桁の数字を変更することによって一般会員が本来閲覧できない商品の説明画面を閲覧できた」と、WB-1「管理者用アカウントでログインし，発注確認機能のURLを確認後，一般利用者アカウントでログインし直し」、注のURL「https://site-b.m-sha.co.jp/administrator0001/order_history」。

WA-1とWB-1は、どちらも「リクエストを書き換えると見えないはずの画面が見える」脆弱性です。違いは、攻撃者がその値を思いつけるかです。

5桁の数字は、1つずつ変えていけばいつか当たります。一方、WB-1の診断では、管理者アカウントで先にURLを確認してから試しています。administrator0001 のようなパスは、管理者でなければ普通は知りません。

採点講評では、正答率が低く、「多くの受験生がC（Confidentiality Impact）の機密性への影響として解答していた」とあります。WB-1は他人の発注情報が全部見えるのでC:Hですが、問われているのはACです。CVSSの評価指標の略号が何を表すかは、ここで点差がつきました。

設問4(2)：OSコマンドを実行できても、管理者の操作はできない

着目する文： 表5のWC-1「任意のOSコマンドが実行できた。ただし，管理者権限が必要な操作はできなかった」と、図2のサイトCの仕様。

解答例は図2の項番3「Webアプリケーションプログラムは，一般利用者権限の専用アカウントでプロセスを実行している」です。OSコマンドインジェクションで実行されるコマンドは、Webアプリのプロセスと同じ権限で動きます。項番6の「ログには特定のアカウントだけがアクセスできる」も権限の話ですが、管理者権限の操作ができなかった理由そのものではありません。

設問5：現状値は手間が掛かり、EPSS値は掛からない

着目する文： Eさんの「1次評価では，基本値とExploit Prediction Scoring System（EPSS）値を用います。EPSS値の代わりにCVSSv3の現状値を用いる方法もありますが，⑤現状値とEPSS値を比べると，現状値は手間が掛かり，EPSS値は手間が掛からない」と、「⑥P社のWebアプリ診断であれば，見つかった脆弱性のEPSS値は，しきい値Bよりも高いとみなすのが妥当である」。

CVSSの現状値（Temporal）は、攻撃コードが出回っているか、対策が出ているかなどで基本値を補正した値です。それを決めるには、自分で情報を集めて判断する必要があります。EPSSは、今後30日以内に悪用される確率をFIRSTが推定して公開している値なので、調べて写すだけです。

採点講評では、設問5(1)の正答率が低く、「CVSSv3の現状値とEPSS値の利用手順を理解していない解答が散見された」とあります。「EPSSは確率で表される」のような定義ではなく、値を手に入れるまでに何をするかを比べる設問です。

(2)のEPSS値は、毎日更新されます。今日は低くても、明日に攻撃コードが出回れば上がります。(3)は、冒頭の「P社のWebアプリ診断は，脆弱性が実際に悪用できることを確認した上で報告してくれる」がそのまま根拠です。本文の最初のほうに置かれた一文が、後半の設問の答えになるのは、この試験でよくある作りです。

設問6：基本値が高くても優先度Cになる脆弱性

着目する文： 「しきい値Aは7.0に，しきい値Bは1%に設定しようと考えています」と、図3の領域図、表6の対応優先度表、表3の基本値。

1次評価では、基本値とEPSS値で4つの領域に分けます。

ここに、表3の基本値、表7のEPSS値と環境値を当てはめます。Webアプリ診断の脆弱性は、設問5(3)のとおり、領域ⅠかⅢとみなします。

この表で見てほしいのは、PC-1とPD-1です。PC-1は深刻度レベルがMediumですが、EPSS値が96.54%と高く、環境値も上がって優先度Aになります。PD-1は基本値が7.2でHighですが、EPSS値が0.0%で、環境値も下がって優先度Cです。

基本値（深刻度）だけで順位を付けないというのが、この問題全体を通したメッセージです。冒頭のM社のルールは「High以上は速やかに修正」だったので、このルールのままだと、PD-1は速やかな修正が必須になり、PC-1は所管部門の判断に任されていました。

令和7年春期 問4（問題PDF）：知らないサーバは守れない

製造業のV社が、「解約したのに残っていたサブドメイン」「公開されたままのWebサーバ」などの事件を受けて、未把握の公開IT資産を洗い出し、脆弱性管理を見直す問題です。採点講評では、この問題をアタックサーフェスマネジメント（ASM）の出題としています。

設問1：CDNを解約したら、CNAMEを消す

着目する文： 報道（2）「CDN事業者のサービスを利用してWebサーバを立ち上げ，1か月間商品のキャンペーンを行った。このWebサーバには，その会社のサブドメインを使用した。キャンペーン後すぐに，CDNサービスを解約したが，今になって，そのサブドメインが海外の会社の広告サイトとして使われている」と、「V社でも，CDN事業者のサービスを利用してWebサーバを立ち上げてキャンペーンを行った後，CDNサービスを解約した経緯があった」。

• サーバ名：権威DNSサーバ
• 変更内容：「終了したサブドメインのCNAMEレコードを削除する」

CDNを使うときは、自社のサブドメインに、CDN側のホスト名を指すCNAMEレコードを登録します。CDNを解約しても、自社の権威DNSサーバにそのCNAMEが残っていると、第三者が同じCDNで同じホスト名を取り直せば、自社のサブドメインで好きなサイトを出せます。これがサブドメインテイクオーバーです。

採点講評では、正答率が低く、「CDNサービスやWebサーバの使用終了後のDNSのCNAMEレコード削除漏れによってサブドメインテイクオーバーが起きていることを理解した上で，その具体的な対策方法を解答してほしい」とあります。図1でDNSサーバが「権威DNSサーバ」と「DNSキャッシュサーバ」に分かれているので、自社のドメインのレコードを持っているのはどちらかを選ぶ問題でもあります。

設問2：台帳に載らない経路と、外から探す方法

着目する文： 表1のIT資産管理の5(3)「事業部が他社データセンター，クラウドサービス又はレンタルサービスを契約して，サーバなどを利用する場合については，IT資産管理台帳に登録していない」と、表3〜表5の各サービスで検索できる情報。

設問2(1)は、事業部に調査を頼む対象です。図2には「クラウドサービスを契約して利用している公開IT資産」がすでに書いてあるので、表1の5(3)に並ぶ残りの2つが答えです。

• a・b（順不同）：「レンタルサービスを契約して利用した」「他社データセンターを契約して利用した」

設問2(2)のcは、レジストラやレジストリに登録情報を問い合わせる標準プロトコルで、RFC 3912で定義されているWHOISです。

設問2(3)(4)は、図3のFリスト（自社が持っていそうなGIP、ドメイン名、担当者などのリスト）の作り方です。手順1の検索結果を、手順2以降の検索キーワードに使うという流れで、表3〜表5の「検索キーワード」と「検索可能な情報」の列をつないでいきます。

組織名「V社」からFQDNとGIPの両方が得られるのは、表5のZサービスだけです（表3のXサービスも組織名で検索できますが、返ってくるのは「登録されているドメイン名」だけです）。Zサービスの注記3に「“ドメイン名を取得した組織名”又は”GIPを取得した組織名”とマッチした検索結果が全て得られる」とあるので、事業部が勝手に取ったドメインやGIPも拾えます。

設問3：調べ方は「状況」で選ぶ。続ける場合と続けない場合を取り違えない

着目する文： 表6の結果1「sub1.v-sha-g.jp」、S主任の「SSHでは接続できませんでしたが，公開サービスはWebだけが稼働しているようだということが，X，Y，Zサービス以外の②調査から分かりました」「利用OSやSWもバージョンが古く，多くの脆弱性が内在しているようだということが，③別の調査から分かりました」。

(1)は「公開サービスは何が動いているか」、(2)は「脆弱性が内在しているか」を調べる方法です。調べたい内容に合う道具を選びます。

採点講評では、設問3(3)で「継続する場合としない場合を取り違えて反対を解答するケアレスミスと思われる解答が散見された」とあります。解答欄が2つ並ぶ設問では、どちらの欄がどちらの場合か、書く前にもう一度確認するだけで防げます。

設問4：KEVカタログは「実際に悪用された」脆弱性の一覧

着目する文： S主任の「脆弱性についての⑤CVSSの深刻度と⑥KEVカタログへの掲載の有無に基づいて判断するのがよいです」と、表1の脆弱性管理の現状「情シ部が，脆弱性のニュースで話題になった脆弱性情報全てを全部門に連絡している」「連絡を受けた各部門が取捨選択し，必要に応じて対応している」。

KEVカタログは、米国CISAが公開している、実際に悪用が確認された脆弱性の一覧です。問2のEPSSが「これから悪用されそうな確率」なのに対して、KEVは「もう悪用された」という事実です。

採点講評では、設問4(2)(3)の正答率が低く、「対応の優先度を考える上では，脆弱性の技術的な特性，脆弱性を取り巻く現状，ユーザーの環境が重要であるとされ，KEVカタログが現状の評価に活用される」とあります。この3つは、問2で出てきたCVSSの基本値・現状値・環境値の考え方と同じ並びです。

(4)は、表1の現状を1行ずつ裏返すと答えになります。「ニュースで話題になったもの」ではなく台帳にあるSWについて確認する。「全部を全部門に送って各部門が取捨選択」ではなく、該当する部門に優先度を付けて連絡し、対策したかを確認する。目標K-3の「重要な脆弱性を事業部が修正したかどうかを情シ部が確認できるようにする」も、項番2の「確認する」の根拠です。

導入SWの一元管理（目標K-2）は、4本目の記事で扱ったSBOMと同じ発想です。どのサーバに何のSWが入っているかが分かっていないと、脆弱性が公表されたときに、影響を受けるかどうかを判断できません。

2問に共通する「問題文のここを見る」チェックリスト

CBT方式の科目Bでは、問題文にマーカーを引けます。冒頭の会社やサービスの説明に出てくる「〇〇してくれる」「〇〇として扱われる」のような一文は、後半の設問で根拠として使われることが多いので、最初に読んだ時点で色を付けておくと迷いにくくなります。

最低限おさえる知識はこれだけ

脆弱性管理・資産管理の問題で、問題文に説明がないまま前提にされていた知識は、次のくらいでした。

Webアプリの脆弱性そのものは1本目のWeb問題の記事、DNSやネットワークの基本は3本目のネットワーク問題の記事にまとめています。

過去問の解説動画を見るなら

過去問の解説動画には、Udemyの講座を使っています。科目Bの過去問解説（令和7年秋・令和7年春・令和6年秋）が入っていて、この記事で扱った令和7年春の問2と問4を動画で見直せます。

令和8年度対応｜参考書の著者が教える 情報処理安全確保支援士 科目A・科目B対策（Udemy） 講座の内容を見る

まとめ

• 脆弱性管理の問題は、その値を誰が、何を見て決めるのかを確定すると答えになる。現状値は自分で情報を集める、EPSS値はFIRSTの値を写すだけ。令和7年春 問2では、ここの正答率が低かった
• 基本値（深刻度）だけで優先度を決めない。EPSS値が高ければMediumでも優先度A、低ければHighでも優先度Cになる
• CVSSの略号は意味まで押さえる。AC（攻撃条件の複雑さ）をC（機密性への影響）と取り違えた解答が多かった
• 資産管理の問題は、管理ルールの「登録していない」と、解約したのに残ったDNSレコードが答えの入口。サブドメインテイクオーバーの対策は、権威DNSサーバのCNAMEを消すこと
• KEVカタログは実際に悪用された脆弱性の一覧。令和7年春 問4では、ここの正答率が低かった

この分野は、用語が新しいぶん知識問題に見えますが、実際には本文の仕様と表の数字がそのまま答えの根拠になっています。解き直すときは、答えを覚えるのではなく、根拠になった文や表がどこにあったかを確認すると、初めて見る題材でも同じ場所を探せるようになります。

シリーズ6本目のインシデント対応・ログ解析問題の記事では、RDPでの感染拡大やC&Cサーバとの通信を、ログのどの行で答えるかに絞って解説しています。

この分野の攻撃と基本の対策の組み合わせは、聞き流し用の一問一答動画（攻撃と対策・42問・YouTube）でも耳で復習できます。

関連記事

• 情報処理安全確保支援士 科目B（午後）の出題傾向を分析｜出やすい分野ランキングと過去問リンク集
• 支援士 科目B（午後）のWeb問題の解き方｜XSS・CSP・CSRF
• 支援士 科目B（午後）の認証・API・スマホアプリ問題の解き方｜JWT・セッション固定
• 支援士 科目B（午後）のネットワーク・リモートワーク問題の解き方｜VPN・DDoS・無線LAN
• 支援士 科目B（午後）のサプライチェーン・クラウド問題の解き方｜委託先・SBOM・CI/CD
• 支援士 科目B（午後）のインシデント対応・ログ解析問題の解き方｜ログは「時系列に並べて、2つのログで裏付ける」
• 支援士 科目B（午後）のコード問題を全部解説｜「書く」はJava・SQL・正規表現の定番だけ

参考にした情報

• IPA 過去問題（令和7年度春期 科目B 問2・問4の問題・解答例・採点講評）

この記事で引用した問題文・解答例は、IPAが公開している過去問題からの抜粋です。一部を省略・要約し、表の形に整理しています。

よくある質問（FAQ）

Q1. 支援士の科目Bで、脆弱性管理の問題は出ていますか？

新形式になった令和5年秋期から令和7年秋期の5回では、令和7年春期に2問出ています。問2は公開サイトの脆弱性診断の結果をCVSSとEPSSで順位付けする問題、問4はIT資産管理とアタックサーフェスマネジメント（ASM）の問題です。令和7年春期 問1でも、SBOMを使った脆弱性管理が問われました。

Q2. CVSSの基本値・現状値・環境値は、どう違いますか？

基本値は脆弱性そのものの特性、現状値は攻撃コードの有無や対策の状況、環境値は利用者のシステム環境を反映した値です。令和7年春期 問2では、現状値を使うと攻撃コードなどの情報を多くの公開サイトから集めて判断する手間が掛かるため、FIRSTが公開しているEPSS値を代わりに使う方法が出題されました。採点講評では、この利用手順を理解していない解答が散見されたとされています。

Q3. EPSSとKEVカタログは、何が違いますか？

EPSSは、今後その脆弱性が悪用される確率をFIRSTが推定して公開している値です。KEVカタログは、米国CISAが公開している、実際に悪用された脆弱性の一覧です。令和7年春期 問4では、KEVカタログのフルスペル（Known Exploited Vulnerabilities catalog）と、掲載の主な条件（実際に悪用された）が問われ、どちらも正答率が低かったとされています。

Q4. サブドメインテイクオーバーの対策は、何と答えればいいですか？

令和7年春期 問4の解答例では、設定を変更するサーバは権威DNSサーバ、変更内容は終了したサブドメインのCNAMEレコードを削除する、でした。CDNなどのサービスを解約しても、そのサービスを指すCNAMEレコードが残っていると、第三者が同じサービスで取り直して、自社のサブドメインを乗っ取れてしまいます。採点講評では、この設問の正答率が低かったとされています。