LEV（Likely Exploited Vulnerabilities）について

　NISTが5/19に、新たに「ある脆弱性が過去に悪用された確率を測定するための式」としてLEV (Likerly Exploited Vulnerabilities)を提案するPDFを公開しました。このLEVは、以前に紹介したKEVやEPSSを補完するものとして定義されています。

こちらの記事では、この新しい指標「LEV」について簡単に説明します。

「未経験からでもホワイトハッカーになれる！」実践的セキュリティスクール「セキュ塾」

サイバーセキュリティ技術者育成コース（2025年10月生募集中）
ホワイトハッカー育成コース（2025年8月生募集中）
脅威インテリジェンス育成コース（受講生随時募集中）

LEV (Likely Exploited Vulnerabilities)
LEVのユースケース
LEVの計算式
- LEV方程式
比較・実装について
参考情報
- 関連記事:

LEV (Likely Exploited Vulnerabilities)

　皆さんもご存知のように、脆弱性は毎日の様に公開されています。下記は2002年から2024年に公開された毎月のCVE数（Rejectedは含めていない）ですが、右肩上がりに上昇しており、2024年には5,000件/月を超える月も観測されています。

　しかし、実際に悪用された脆弱性の数は非常に少ないものになります。CISA KEV（実際に悪用が観測されている脆弱性を登録したもの）に、2024年にどれくらい登録されたかをカウントしたのが下の図になります。

　このように実際に悪用された脆弱性数は（厳密な論理的にはこの比較は適切ではありませんが）ざっくりと毎月で数千件：数十件ということで、せいぜい数%しか悪用されていない割合になっています。

　一方で、脆弱性に対応するために企業が支払うコストはかなりのものになるため、どの脆弱性が悪用されるかを予測する事は非常に重要になっています。

　この様な「実際の脆弱性管理の観点から、対処すべき脆弱性を絞ろう」という考えとしてEPSSやKEVがありますが、これらには下記のような問題点があります。

　「悪用の予測」目的の指標ではEPSSが広まりつつありますが、このEPSSはあくまでも「新しく公開された、その時点で悪用が観測されていない脆弱性が以降30日以内に悪用される確率」であり、「その時点で既に悪用が観測されている脆弱性（つまりEPSSとしては100%になるはず）」については適用できません。これはEPSSのFAQにも記載されています（「Everyone knows this vulnerability has been exploited, why doesn’t EPSS score it at 100%?」参照）。EPSSは結局のところ、脅威を事前に察知するというモデルになっています。
「過去に悪用が観測されている」リストとしてはKEVが使えるはずですが、KEVはその性質上「実際にCISAが悪用を認識した」あるいは「悪用されているという連絡を受けた」ものが載っているだけであり、悪用されたものを100%包含しているリストではありません（KEVの記事の「CISA KEVの問題点」参照）。

　これらの様な事情から、「ある脆弱性が過去に悪用された確率を測定するための式」として、LEV (Likely Exploited Vulnerabilities) が提案されました。LEVは基本的に「過去のEPSSスコアから計算される」ため、EPSSの優先順位付けの理論を補完する形にもなっています。