EPSSとは
（悪用確率の参考指標）

EPSSで何が分かるのか

EPSSが示すのは「どれくらい危ない脆弱性か（深刻度）」ではなく、「どれくらい悪用されそうか（確率）」 です。

FIRSTのFAQでは、EPSSは published CVE ごとに日次で更新され、次の30日間に exploitation activity が観測される確率を出すと説明されています。さらに、スコアだけでなく percentile（パーセンタイル） も提供され、これは「全脆弱性の中でどれくらい上位に位置するか」を示します。

CVSS・KEVとの違い

ここは実務で最も混同しやすいところです。ざっくり以下のように分けて見ると整理しやすいです。

CVSSは脆弱性の深刻度や成立条件を表す指標、EPSSは「悪用される確率」を表す指標です。
FIRSTは User Guide で、EPSSは risk score ではなく、risk の中の threat 要素を測るものだと明言しています。つまり、EPSSだけで「直す/直さない」を決めるのではなく、CVSS、対象版数、到達性、業務影響などと組み合わせて総合的にリスクを判断するのが前提です。

サプライヤー実務での使いどころ

サプライヤー実務において、EPSSは “最初の優先度付け（足切りや順序付け）” に向いています。

たとえば、NVDやベンダ通知で複数のCVE候補が見つかった時、まずは以下の順に見ていくと、現場の負荷をかなり減らせます。

1. KEV に載っているか（即時対応が必要か）
2. EPSS が高いか（急いで評価すべきか）
3. 自社製品に搭載されているか（対象版数の確認）
4. 外部から到達できるか（攻撃経路の有無）

FIRSTの probability/percentile の解説でも、EPSSの probability は絶対確率、percentile は全体の中での順位を示すため、両方を見ると判断しやすいと説明されています。

また、EPSSはCSVやAPIでも取得できるため、台帳やトリアージシートに取り込んで運用しやすいのも利点です。FIRSTのデータページとAPIドキュメントでは、cve、epss、percentile などの基本項目が公開されていることが示されています。

よくある誤解

• 誤解1：EPSSが低い＝安全である

  違います。 EPSSが低いのは「悪用される可能性が相対的に低い」と予測されているだけで、影響がゼロという意味ではありません。FIRSTも、EPSSは never zero（決してゼロにはならない）であり、risk 全体の一部しか見ていないと説明しています。

• 誤解2：EPSSだけで優先度を決めてよい

  違います。 FIRSTは EPSS を risk score として扱うべきではないと明示しており、CVSSや資産価値、到達性、業務影響などと合わせて使うべきだとしています。

• 誤解3：percentile と probability は同じ意味だ

  違います。 probability は絶対確率、percentile は順位です。たとえば「10%」の probability は数字だけ見ると低く見えますが、全脆弱性の中ではかなり上位（percentileが高い側）に入ることがあります。FIRSTの解説でも、この違いを意識するよう説明されています。

---

FAQ：EPSSとは