KEV（Known Exploited Vulnerability）

KEV（Known Exploited Vulnerabilities）は、米国のCISAが公開している、実際の攻撃で悪用されたことが確認された脆弱性のカタログです。

■ 試験で押さえるポイント

• 載っている脆弱性は、実際に狙われているものです。

• 修正の優先順位を決めるときの、重要な手掛かりになります。

• 米国の連邦機関には、期限までの修正が求められています。

■ 過去問での着眼点

深刻度（CVSS）だけでなく、実際に悪用されているかで優先順位を決める考え方を押さえます。

例: 自社の製品の脆弱性がKEVに載ったら、他より優先して修正プログラムを適用します。

■ 未掲載・期限と自組織の該当確認

• KEVに載ったことは悪用の確認を示すが、自組織の全端末が侵害された証拠ではない。製品・バージョン・有効な機能・公開状態を調べ、該当資産と修正手段を特定する。

• 未掲載でも悪用がない保証にはならない。CVSS、EPSS、資産の重要性、公開範囲も併用する。KEVの期限を一般企業へ一律に適用する法的義務とは扱わず、対象となる米国連邦機関の要件と自組織の対応期限を区別する。

• 対応後は配備された修正版と検査結果を確認する。既に侵入された可能性があれば、パッチ適用に加え、関連ログ、永続化、資格情報漏えいを調査する。