DREAD（リスク評価モデル）

DREADは、以前マイクロソフトで使用されていたコンピュータセキュリティの 脅威をリスク評価するシステムの一部です。 ^{[1] 5つのカテゴリを使用してセキュリティの脅威のリスク評価を行うための}記憶術を提供します。

カテゴリーは次のとおりです:

• 被害– 攻撃はどの程度ひどいものになるでしょうか?
• 再現性 – 攻撃を再現するのはどれくらい簡単ですか?
• 悪用可能性 – 攻撃を開始するにはどれくらいの作業が必要ですか?
• 影響を受けるユーザー– 何人が影響を受けるでしょうか?
• 発見可能性- 脅威を発見するのはどれくらい簡単ですか?

DREAD という名前は、リストされている 5 つのカテゴリの頭文字に由来しています。当初は脅威モデリングのために提案されましたが、評価に一貫性がなく議論の余地があることが判明したため、中止されました。2008 年までに Microsoft では廃止されました。^[2]

DREADを使用して特定の脅威を評価すると、各カテゴリに1から10までの評価が与えられます。 ^[3]特定の問題に対するすべての評価の合計を使用して、さまざまな問題の優先順位付けを行うことができます。

一部のセキュリティ専門家は、最後のDとして「発見可能性」要素を含めることは、セキュリティを隠蔽することで報いることになると考えており、一部の組織では、発見可能性を省略したDREAD-D「DREADマイナスD」スケールに移行するか、発見可能性が常に最大評価であると想定しています。^{[4] [5]}

• サイバーセキュリティと対策
• ストライド

• Web アプリケーション セキュリティの向上: 脅威と対策
• DREADful、MSDN ブログ投稿
• マイクロソフトでの脅威モデリングの経験、アダム・ショスタック