脅威ディスカバリレベル（TDL）とは：CVSS × EPSS による脆弱性ランク付け
目次
公開された脆弱性のうち、ある30日間に悪用の動きが見えるのは1.5〜3%にとどまります（FIRST の観測）。深刻度の高い順に並べるだけでは、狙われないものから順に手を付けることになりかねません。
脅威ディスカバリレベル（TDL）は、深刻度と悪用確率を掛け合わせて5段階に畳み、そこへ根拠の質を反映させた、PentaTrail の技術側のランクです。
ベースの TDL に補正を当てて、実効の TDL が決まる
画面に出るのはベースそのままではなく、根拠の質・悪用の実績を反映した実効の TDL です。
図2：ベースの TDL に補正を当てる流れ
根拠が弱い所見は、最大3段階まで下がる
検出の裏付けの強さを評価し、弱いほど大きく下げます。
図3：裏付けの強さと、下げ幅の対応
深掘り：D になるのは、版を戻す配布物のホストに限る
外部の CVE 情報だけが根拠でも、それだけで D にはなりません。修正だけを古い版へ取り込む配布形態のホスト（Debian・Ubuntu・RHEL 系など）で、版の数字を見ただけでは直っているか分からない場合に D になります。
補正には順序があり、下げは TDL1 で頭打ち、上げは TDL5 で止まる
下げを先に足して頭打ちにしたうえで、悪用の実績が1つ分を戻す順序です。下げ切って TDL1 に沈んだ所見でも、KEV に載っていれば TDL2 まで戻ってきます。
図4：下げを先に頭打ちにしてから、上げを当てる
深掘り：順序が結果を変える場面
分かりやすいのは、CVSS 5.0 で外部の CVE 情報だけが根拠の所見です。ベースは TDL2 で、裏付けの弱さで3段階下げると計算上は TDL1 より下へ行きますが、そこで頭打ちになって TDL1 に止まります。そのうえで KEV 掲載の1段階上げが当たるので、最終的には TDL2 です。頭打ちを下げ側にだけ当てているので、下げが何段階積もっていても KEV の1段階は必ず効きます。
TDL は技術側の軸で、資産の重さと掛け合わせて TER になる
TDL だけでは、その脆弱性がどのシステムに乗っているかを見ていません。ビジネスインパクト（BI）と掛け合わせて、はじめて対応の順番になります。
図5：技術側の軸と事業側の軸を掛け合わせて、対応の順番にする
- 脅威エクスポージャーリスク：技術リスク × ビジネスリスクの統合評価
- 脆弱性の深刻度だけでは決まらない。対処の優先順位を左右する「ビジネスインパクト」とは
- CVSS・EPSS・KEV：脆弱性スコアの読み方と使い分け
自社の脆弱性の脅威ディスカバリレベル（TDL）は、無料のPentaTrail ASMで確認できます。資産の重要度を加味した対処の優先順位（TER）は、PentaTrail CTEMで確認できます。
付録：決定表と、実効ランクの求め方
表1：ベース TDL の決定表
| 条件 | TDL |
|---|---|
| CVSS ≥ 9 かつ EPSS ≥ 0.1 | TDL5 |
| CVSS ≥ 9 | TDL4 |
| CVSS ≥ 7 かつ EPSS ≥ 0.1 | TDL4 |
| CVSS ≥ 7 | TDL3 |
| CVSS ≥ 4 かつ EPSS ≥ 0.1 | TDL3 |
| CVSS ≥ 4 | TDL2 |
| EPSS ≥ 0.1 | TDL2 |
| その他 | TDL1 |
表2：CVSS も EPSS も無いときの読み替え
| スキャナの深刻度 | TDL |
|---|---|
| critical | TDL4 |
| high | TDL3 |
| medium | TDL2 |
| その他 | TDL1 |
| info | 順位付けの対象外 |
表3：裏付けの強さと下げ幅
| 裏付け | 下げ幅 | 主な根拠 |
|---|---|---|
| A | 0段階 | 複数の情報源によって検出が裏付けられている |
| B | 1 段階 | 手元のスキャン、または配布元の勧告 |
| C | 2 段階 | 上のどれにも当たらない場合の既定 |
| D | 3 段階 | 外部の CVE 情報のみ、かつ版を戻す配布物のホスト |
表4：実効のランクを求める順序
| 順 | やること |
|---|---|
| 1 | ベースのランクに、裏付けの下げ幅を足す |
| 2 | TDL1 で頭打ちにする |
| 3 | KEV 掲載なら1段階戻す |
| 4 | TDL5 を上限とする |
深刻度が info の所見は、この順序を通らずに対象外のまま残ります。
本文と表の値は、2026年8月17日に PentaTrail の算出処理そのもの（asm_calc_priority と asm_recalc_confidence）を参照して確認したものです。
PentaTrail CTEM/ASMで攻撃面を可視化しませんか？
CTEMフレームワークに基づき、外部攻撃面の発見から対応推進までを一気通貫で実現します。
