脆弱性の検出結果 (Vulnerability Findings)

検出結果（Finding）とは、ターゲット上で特定された、検証済みのセキュリティ脆弱性または設定上の弱点のことです。Resolvyはすべての検出結果をVulnerability Tracker内に集約し、チームが効率的に連携して修正対応（レメディエーション）を行えるようにします。

深刻度レベル (Severity Levels)

Resolvyは、対応の優先順位を決めやすくするため、検出結果をCVSSベースの深刻度メトリクスにマッピングします：

• Critical: リモートコード実行 (RCE)、データベースが露出するSQLインジェクション、または認証なしでの乗っ取りなど。直ちにパッチを適用する必要があります。
• High: 重要なビジネス機能が露出する、重大な脆弱性（深刻なXSS、認証バイパスなど）。
• Medium: 他の問題と連鎖した際に攻撃者を支援する可能性がある、軽微なコードの欠陥またはサーバーの設定ミス。
• Low: 詳細すぎるスタックトレース、ディレクトリリスティング、またはHTTPセキュリティヘッダーの欠落。
• Info: 即座にリスクとはならない、情報シグナル的なメタデータ、受動的な観察結果、または役立つ設定情報。
• Unknown: 追加の手動検証が必要な、または未分類の潜在的な検出結果。

トリアージステータス (Triaging Statuses)

社内の開発チケットと連携させるために、検出結果のステータスを以下のように更新できます：

• Open: 新しく記録された検出結果。まだアクションは取られていません。
• In Progress: 開発者がコードパッチの作成やファイアウォールルールの調整をアクティブに行っています。
• Resolved: 開発者がパッチまたは修正を適用し、検証を待っている状態です。
• Verified: 検証スキャンがエンドポイントを再テストし、問題が完全に解消されたことを確認した状態です。

リスクスコアの計算と評価基準 (Risk Score Calculation & Rating Scale)

Resolvyは、スキャンおよびワークスペースごとに0.0から10.0の範囲で動的なリスクスコア（Risk Score）を計算し、全体のセキュリティ状況を定量化します。これは業界標準のCVSS v3.1に直接準拠しています。スコアが高くなるほど、セキュリティリスクが高いことを示します。

数値化されたCVSSスコアがない検出結果の取り扱い

一部のスキャンツールやカスタムチェックでは、具体的な数値のCVSSスコアではなく、テキストベースの深刻度（Critical, High, Medium, Low）のみが識別される場合があります。0〜10の標準化されたスケールを維持するため、Resolvyは業界の中央値に基づいて、これらの検出結果を以下のデフォルトのCVSSスコアに自動的にマッピングします：

• Critical: スコア 9.5 を自動割り当て
• High: スコア 8.0 を自動割り当て
• Medium: スコア 5.5 を自動割り当て
• Low: スコア 2.0 を自動割り当て
• Info & Unknown: スコア 0.0 を自動割り当て

計算式 (Formula)

Resolvyは「最も弱いリンク（弱点）」を重視するセキュリティ原則を採用しています。全体の「リスクスコア」は、未トリアージのアクティブな全検出結果の中から、最も高いCVSSスコアを抽出することで計算されます：

// アクティブなすべての検出結果のCVSSスコアの配列
const cvssScores = [finding1.cvss, finding2.cvss, ...findingN.cvss];

// 最終的なリスクスコアは検出された最大値となる
riskScore = Math.max(0.0, ...cvssScores);

[!NOTE] この計算式は最大値（Max）を使用するため、スコアは数学的に最大10.0に制限されます。これにより、深刻度の低い大量の問題によって最も危険な単一の脆弱性が薄められたり隠されたりすることなく、現在のリスク状況を正確に反映させることができます。

リスクレベルのカテゴリ (Risk Level Categories)

最終的に計算されたリスクスコアに基づき、Resolvyはターゲットのリスクステータスを5つのレベルに分類します：

リスクスコア	リスクカテゴリ	UI カラーインジケーター
0.0	None / Clean	グレー / ブルー
0.1 - 3.9	Low Risk	グリーン
4.0 - 6.9	Medium Risk	イエロー
7.0 - 8.9	High Risk	オレンジ
9.0 - 10.0	Critical Risk	レッド