DREAD (модель оценки риска)

DREAD — это часть системы оценки рисков компьютерной безопасности угроз , которая ранее использовалась в Microsoft. Он предоставляет мнемонику для оценки рисков угроз безопасности с использованием пяти категорий.

Категории

Категории:

• D повреждение – насколько серьезной будет атака?
• Воспроизводимость – насколько легко воспроизвести атаку?
• Эксплуатируемость – сколько работы нужно, чтобы начать атаку?
• Затронутые пользователи – сколько людей пострадает?
• Обнаруживаемость – насколько легко обнаружить угрозу?

Название DREAD происходит от инициалов пяти перечисленных категорий. Первоначально он был предложен для моделирования угроз, но от него отказались, когда выяснилось, что рейтинги не очень последовательны и являются предметом дискуссий. К 2008 году его производство было прекращено в Microsoft.

Когда данная угроза оценивается с помощью DREAD, каждой категории присваивается рейтинг от 1 до 10. Сумма всех рейтингов по данной проблеме может использоваться для определения приоритетности различных проблем.

Дебаты о доступности

Некоторые эксперты по безопасности считают, что включение элемента «Обнаруживаемость» в качестве последнего D вознаграждает безопасность за счет неясности , поэтому некоторые организации либо перешли на шкалу DREAD-D «СТРАХ минус D» (которая опускает возможность обнаружения), либо всегда предполагают, что возможность обнаружения находится на своем уровне. максимальный рейтинг.

См. также

• Кибербезопасность и противодействие
• СТРАЙД

Внешние ссылки

• Повышение безопасности веб-приложений: угрозы и меры противодействия
• DREADful, сообщение в блоге MSDN
• Опыт моделирования угроз в Microsoft, Адам Шостак