Модель DREAD
Что такое Модель DREAD?
Модель DREADКачественная модель оценки рисков, оценивающая угрозы по показателям Damage, Reproducibility, Exploitability, Affected users и Discoverability.
DREAD — это качественная модель оценки рисков, представленная Microsoft в начале 2000-х вместе со STRIDE для моделирования угроз приложений. Каждая выявленная угроза оценивается по пяти измерениям — Damage potential, Reproducibility, Exploitability, Affected users и Discoverability — обычно по шкале от 1 до 10, после чего значения суммируются или усредняются, давая относительный показатель риска для приоритизации. Microsoft официально отказалась от DREAD из-за субъективности и непоследовательности оценок, однако модель по-прежнему широко преподаётся и применяется в AppSec, моделировании угроз и оценках рисков по ISO 27001, когда нужна более лёгкая схема, чем CVSS или полноценный количественный анализ. DREAD естественно сочетается с угрозами, выявленными по STRIDE.
● Примеры
- 01
Сессия моделирования угроз, где каждая угроза по STRIDE оценивается по DREAD для приоритизации бэклога устранения.
- 02
Команда product security применяет DREAD на ранних архитектурных ревью, где оценка типа CVE ещё неприменима.
● Частые вопросы
Что такое Модель DREAD?
Качественная модель оценки рисков, оценивающая угрозы по показателям Damage, Reproducibility, Exploitability, Affected users и Discoverability. Относится к категории Соответствие и стандарты в кибербезопасности.
Что означает Модель DREAD?
Качественная модель оценки рисков, оценивающая угрозы по показателям Damage, Reproducibility, Exploitability, Affected users и Discoverability.
Как защититься от Модель DREAD?
Защита от Модель DREAD обычно сочетает технические меры и операционные практики, как описано в определении выше.
Какие есть другие названия Модель DREAD?
Распространённые альтернативные названия: Модель риска DREAD.