EPSSとは：悪用確率スコアの見方と、CVSSとの使い分け
目次
EPSSとは
EPSS（Exploit Prediction Scoring System） は、FIRSTが提供する脆弱性の悪用予測スコアリングシステムです。各CVE脆弱性が今後30日以内に実際に悪用される確率を、0〜1（0%〜100%）で表します。
CVSSが脆弱性の「技術的な深刻度」を測るのに対し、EPSSは「実際に攻撃に使われる可能性」を測ります。この違いが、脆弱性管理の優先順位付けを大きく変えます。
なぜEPSSが必要なのか
まず、脆弱性の数が多すぎます。2023年に公開された新規CVEは約29,000件、2024年はさらに増え、毎月2,000件以上が報告されています。すべてに対応するのは、物理的に不可能です。
そのうえ、CVSSの深刻度だけでは絞り込めません。CVSSがCritical（9.0以上）でも、実際に攻撃に悪用されるのは、そのうちのごく一部です。逆に、CVSS Mediumの脆弱性が、大規模な攻撃キャンペーンで使われることもあります。
リソースは有限です。EPSSを使えば、「本当に悪用される可能性が高い脆弱性」に、限られた人手を集中させられます。
EPSSの仕組み
EPSSは機械学習モデルを使い、次のような要素からスコアを算出します。
入力データ
- 脆弱性の特性: CVSSベクトル、CWEタイプ、影響を受ける製品
- 悪用情報: Exploit-DB、Metasploitなどの攻撃コードの有無
- 脅威インテリジェンス: ダークウェブでの言及、攻撃ツールへの組み込み
- 時間的要素: 脆弱性公開からの経過日数
スコアの特徴
- 日次更新: 新たな脅威情報に基づき毎日再計算
- 確率値: 0.0（悪用されない）〜 1.0（確実に悪用される）
- パーセンタイル: 全CVEの中での相対位置
EPSSスコアの読み方
| EPSSスコア | パーセンタイル目安 | 対応指針 |
|---|---|---|
| 0.9以上 | 上位0.1% | 即座に対応（攻撃がほぼ確実） |
| 0.5〜0.9 | 上位1% | 緊急対応 |
| 0.1〜0.5 | 上位5% | 早期対応を推奨 |
| 0.01〜0.1 | 上位20% | 計画的に対応 |
| 0.01未満 | 下位80% | リスクベースで判断 |
CVSSとEPSSの組み合わせ
CVSSとEPSSを2軸で評価すると、脆弱性を4つの象限に分類できます。
高CVSS × 高EPSS → 最優先
技術的に深刻で、実際に悪用される可能性も高いものです。即座に対応します。
高CVSS × 低EPSS → 計画的対応
深刻ですが、悪用される可能性は低いものです。パッチサイクルで対応します。
低CVSS × 高EPSS → 要注意
深刻度は低いものの、攻撃者に狙われています。侵入の足がかりになりえます。
低CVSS × 低EPSS → モニタリング
現時点では低リスクです。定期的に再評価します。
PentaTrail での EPSS 活用
PentaTrail/CTEM は発見した脆弱性に CVSS と EPSS の両スコアを表示し、両者を組み合わせた 脅威ディスカバリレベル（TDL） を算出します。さらに KEV ブーストや BI スコア と組み合わせて TER バンド を決定し、「本当に今対応すべき脆弱性」を即座に判断できます。
EPSS ベースの優先順位付けを試すには 14日間無料で始める。
