DREAD
다섯 가지 평가 항목으로 위협의 위험도를 정량적으로 등급화하는 리스크 평가 모델.
분류 / 관점 / 적용 규모
리스크 평가관점: 공격자규모: 컴포넌트
핵심 단계 / 구성요소
- Damage (피해 규모)공격이 성공했을 때 발생하는 피해의 크기를 평가한다.
- Reproducibility (재현성)공격을 얼마나 안정적으로 재현할 수 있는지를 평가한다.
- Exploitability (악용 용이성)공격 실행에 필요한 노력, 기술, 자원의 수준을 평가한다.
- Affected users (영향 범위)공격으로 영향을 받는 사용자나 자산의 규모를 평가한다.
- Discoverability (발견 용이성)취약점을 얼마나 쉽게 발견할 수 있는지를 평가한다.
산출물
각 위협에 대해 다섯 항목의 점수를 합산 또는 평균한 위험 등급과 우선순위 목록.
강점
- 다섯 항목이 단순해 빠르게 위험 점수를 산정할 수 있다.
- STRIDE 등으로 도출한 위협의 우선순위를 정하는 데 유용하다.
- 정량적 수치로 이해관계자 간 소통이 쉬워진다.
한계
- 점수 부여가 주관적이어서 평가자에 따라 결과가 달라진다.
- Discoverability 항목이 방어자에게 오해를 줄 수 있어 Microsoft도 사용을 축소했다.
- 일관성 확보를 위해 명확한 평가 기준 정의가 반드시 필요하다.
대표 사용처
STRIDE로 식별한 위협의 위험도를 순위화하는 보조 기법으로 활용되며, 초기 Microsoft 보안 프로세스에서 사용되었다.