脅威ディスカバリレベル（TDL）とは：CVSS × EPSS による脆弱性ランク付け
目次
公開された脆弱性のうち、ある30日間に悪用の動きが見えるのは1.5〜3%にとどまります（FIRST の観測）。深刻度の高い順に並べるだけでは、狙われないものから順に手を付けることになりかねません。
脅威ディスカバリレベル（TDL）は、深刻度と悪用確率を掛け合わせて5段階に畳み、そこへ根拠の質と検証の結果を反映させた、PentaTrail の技術側のランクです。
ベースの TDL に3つの補正を当てて、実効の TDL が決まる
画面に出るのはベースそのままではなく、根拠の質・検証の結果・悪用の実績を反映した実効の TDL です。下げる向きが2つ、上げる向きが1つあります。
図2：下げる補正が2つ、上げる補正が1つ
深掘り：2つの下げは、同時には効かない
根拠の弱さと、検証で届かなかったことは別のものを見ています。前者はその所見をどれだけ確からしく検出できたか、後者は実際に外から触って確かめられたかです。ただし能動的に確かめた所見は、確かめたという事実そのものが裏付けになるので、その時点で最上位の A として扱われます。つまり検証ぶんの1段階が効くときは裏付けの下げ幅がゼロで、裏付けの弱さで3段階下がるのは、まだ確かめていない所見のほうです。
根拠が弱い所見は、最大3段階まで下がる
検出の裏付けの強さを A から D の4段階で評価し、弱いほど大きく下げます。能動検証で確認済みなら下げ幅ゼロ、外部の CVE 情報だけが根拠なら3段階です。
図3：裏付けの強さと、下げ幅の対応
深掘り：D になるのは、版を戻す配布物のホストに限る
外部の CVE 情報だけが根拠でも、それだけで D にはなりません。修正だけを古い版へ取り込む配布形態のホスト（Debian・Ubuntu・RHEL 系など）で、版の数字を見ただけでは直っているか分からない場合に D になります。版の数字がそのまま使える製品なら、外部情報だけでも A の扱いです。
確かめて届かなかったら1段階下げ、悪用の実績があれば1段階上げる
能動的にスキャンして再現しなかった所見は、外から到達できないか既に直っている見込みが高いと判断します。逆に実際の攻撃で使われた実績があるものは、順番を前へ倒します。
図4：確かめた結果と、悪用の実績で動く向き
深掘り：確認できなかった所見を消さない理由
再現しなかったことは、存在しないことの証明にはなりません。スキャンの経路が塞がれていただけかもしれず、資格情報が要る画面の奥にあるのかもしれません。だから一覧から消さずに、順番だけを1つ下げて残します。詳しくはAIで脆弱性を検証するにあります。
補正には順序があり、下げは TDL1 で頭打ち、上げは TDL5 で止まる
下げを先に足して頭打ちにしたうえで、悪用の実績が1つ分を戻す順序です。下げ切って TDL1 に沈んだ所見でも、KEV に載っていれば TDL2 まで戻ってきます。
図5：下げを先に頭打ちにしてから、上げを当てる
深掘り：順序が結果を変える場面
分かりやすいのは、CVSS 5.0 で外部の CVE 情報だけが根拠の所見です。ベースは TDL2 で、裏付けの弱さで3段階下げると計算上は TDL1 より下へ行きますが、そこで頭打ちになって TDL1 に止まります。そのうえで KEV 掲載の1段階上げが当たるので、最終的には TDL2 です。頭打ちを下げ側にだけ当てているので、下げが何段階積もっていても KEV の1段階は必ず効きます。
TDL は技術側の軸で、資産の重さと掛け合わせて TER になる
TDL だけでは、その脆弱性がどのシステムに乗っているかを見ていません。ビジネスインパクト（BI）スコアと掛け合わせて、はじめて対応の順番になります。
図6：技術側の軸と事業側の軸を掛け合わせて、対応の順番にする
- 脅威エクスポージャーリスク：技術リスク × ビジネスリスクの統合評価
- ビジネスインパクト（BI）スコアとは
- CVSS・EPSS・KEV：脆弱性スコアの読み方と使い分け
- AIで脆弱性を検証する：発見だけでは守れない
自社の脆弱性がどの TDL に落ちるかは、14日間無料で試せます。
付録：決定表と、実効ランクの求め方
表1：ベース TDL の決定表
| 条件 | TDL |
|---|---|
| CVSS ≥ 9 かつ EPSS ≥ 0.1 | TDL5 |
| CVSS ≥ 9 | TDL4 |
| CVSS ≥ 7 かつ EPSS ≥ 0.1 | TDL4 |
| CVSS ≥ 7 | TDL3 |
| CVSS ≥ 4 かつ EPSS ≥ 0.1 | TDL3 |
| CVSS ≥ 4 | TDL2 |
| EPSS ≥ 0.1 | TDL2 |
| その他 | TDL1 |
表2：CVSS も EPSS も無いときの読み替え
| スキャナの深刻度 | TDL |
|---|---|
| critical | TDL4 |
| high | TDL3 |
| medium | TDL2 |
| その他 | TDL1 |
| info | 順位付けの対象外 |
表3：裏付けの強さと下げ幅
| 裏付け | 下げ幅 | 主な根拠 |
|---|---|---|
| A | 0 段階 | ディープスキャン系のツールで検出、または能動的に確かめた所見（再現しなかった場合を含む） |
| B | 1 段階 | 手元のスキャン、または配布元の勧告 |
| C | 2 段階 | 上のどれにも当たらない場合の既定 |
| D | 3 段階 | 外部の CVE 情報のみ、かつ版を戻す配布物のホスト |
表4：実効のランクを求める順序
| 順 | やること |
|---|---|
| 1 | ベースのランクに、裏付けの下げ幅と未確認の1段階を足す |
| 2 | TDL1 で頭打ちにする |
| 3 | KEV 掲載なら1段階戻す |
| 4 | TDL5 を上限とする |
深刻度が info の所見は、この順序を通らずに対象外のまま残ります。
本文と表の値は、2026年8月17日に PentaTrail の算出処理そのもの（asm_calc_priority と asm_recalc_confidence）を参照して確認したものです。
