EPSSもKEVも知らないまま、私は脆弱性トリアージツールを作っていた

脆弱性トリアージCLI「triage-lens」の作者は、ツールの中核であるEPSSやCISA KEVを説明できないまま、テスト373件を通してv0.2.0として公開していた。CVSSについても確信がないと認める。ここで筆者が思い出すのは、車載ソフトウェア開発のPMOをしていた頃に見た開発現場の本音だ。全部直すのは無理だと誰もが分かっている。だから必要なのは指摘の羅列ではなく、順番を決める根拠である。筆者はツールを作った動機の半分がこの記憶にあるという。

面白いのはここだ。筆者は理論を理解してからツールを作ったのではなく、理解が追いつかないまま、ツールの出力を外部の事実と突き合わせる手段を先に確保した。CVSSは痛さの高さ、EPSSは今後30日で実際に悪用される確率、KEVは実際に悪用が確認された記録と整理されている。AIの鬼の本音を言えば、AIに1時間で書かせた「それらしい解説」より、CISAのカタログと照合した一回の検証のほうが信用に値する。分からないものを分からないと認め、外側から確かめる態度は、専門家でなくても今日から使える。

中小企業の現場で言えば、脆弱性の一覧が届いたら、まず「実際に悪用が確認されているか」を見ることだ。リポジトリは公開されており、レポートのP0欄には「KEV掲載＝実際に悪用されている」と理由が書かれている。それがないものは、「今後悪用されそうか」と痛さの二軸で順番を決める。痛さの大きさだけで並べた表は、優先順位を決めていないのと同じである。