DREAD: โมเดลประเมินความเสี่ยงภัยคุกคาม (Threat Risk Assessment Model)
DREAD ย่อมาจะอะไร?
แต่ละตัวอักษรแทนเกณฑ์ประเมิน 5 ด้าน:
| ตัวอักษร | เกณฑ์ | คำถามประเมิน |
|---|---|---|
| D | Damage Potential (ความเสียหาย) | ถ้าโจมตีสำเร็จ ความเสียหายมีมากแค่ไหน? (ข้อมูลลับ, ระบบล่ม, เงิน, ชื่อเสียง) |
| R | Reproducibility (ความสามารถในการทำซ้ำ) | โจมตีง่ายแค่ไหน? ทำซ้ำได้ทุกครั้งหรือต้องเงื่อนไขพิเศษ? |
| E | Exploitability (ความง่ายในการเอ็กซ์พลอยต์) | ต้องมีทักษะ/เครื่องมือระดับไหน? (Script Kiddie / Expert / Zero-day) |
| A | Affected Users (ผู้ใช้ที่ได้รับผลกระทบ) | มีผู้ใช้กี่คนได้รับผลกระทบ? (คนเดียว / แผนก / ทั้งองค์กร / ลูกค้าสาธารณะ) |
| D | Discoverability (ความง่ายในการค้นพบ) | ช่องโหว่ง่ายแค่ไหนที่จะถูกค้นพบ? (Public Info / Source Code / Internal Only) |
วิธีคำนวณคะแนน DREAD
แต่ละเกณฑ์ให้คะแนน 1 (ต่ำ) - 3 (สูง) หรือ 1-10
DREAD Score = D + R + E + A + D (รวม 5-15 หรือ 5-50)
คะแนนสูง = ลำดับความสำคัญในการแก้ไขสูง
ตัวอย่างการประเมิน
| ภัยคุกคาม | D | R | E | A | D | รวม | Priority |
|---|---|---|---|---|---|---|---|
| SQL Injection บน Login | 3 | 3 | 3 | 3 | 3 | 15 | Critical 🔴 |
| XSS บนหน้าโปรไฟล์ | 2 | 3 | 2 | 2 | 2 | 11 | High 🟠 |
| Info Disclosure ใน Error Msg | 1 | 3 | 1 | 2 | 2 | 9 | Medium 🟡 |
| Weak Password Policy | 2 | 2 | 2 | 3 | 1 | 10 | Medium 🟡 |
DREAD vs STRIDE
| ด้าน | STRIDE | DREAD |
|---|---|---|
| จุดมุ่งหมาย | จัดประเภท ประเภทภัยคุกคาม | ประเมิน ความรุนแรง/ความเสี่ยง |
| องค์ประกอบ | Spoofing, Tampering, Repudiation, Information Disclosure, DoS, Elevation of Privilege | Damage, Reproducibility, Exploitability, Affected Users, Discoverability |
| ใช้เมื่อ | ระหว่าง Design/Threat Modeling | Prioritization / Risk Ranking |
| ผลลัพธ์ | รายการภัยคุกคามตามประเภท | คะแนนความเสี่ยง สำหรับตัดสินใจแก้ไข |
STRIDE ย่อมาจะอะไร?
- Spoofing (ปลอมแปลงตัวตน)
- Tampering (แก้ไขข้อมูล)
- Repudiation (ปฏิเสธการกระทำ)
- Information Disclosure (รั่วไหลข้อมูล)
- Denial of Service (ปฏิเสธบริการ)
- Elevation of Privilege (เพิ่มสิทธิ์)
สถานะของ DREAD
- พัฒนาโดย Microsoft (ประมาณ 2000s)
- ใช้ใน OpenStack และองค์กรบางแห่งต่อเนื่อง
- Microsoft เลิกใช้งาน (Deprecated) แทนด้วย CVSS (Common Vulnerability Scoring System) และ ATT&CK
- แต่ DREAD ยังคง เข้าใจง่าย ใช้งานได้จริง สำหรับทีมเล็ก/โปรเจกต์เฉพาะ
เทคนิค Threat Modeling อื่นๆ
- PASTA (Process for Attack Simulation and Threat Analysis) - 7 ขั้นตอน
- CVSS - มาตรฐานให้คะแนนช่องโหว่ (NVD ใช้)
- Attack Trees - แผนภูมิต้นไม้แสดงเส้นทางโจมตี
- Security Cards - การ์ดสำหรับ Blockstorming ภัยคุกคาม
- Hazard Matrix / OCTAVE - สำหรับ Organizational Risk
สรุป
DREAD = Damage, Reproducibility, Exploitability, Affected Users, Discoverability ใช้จัดลำดับความสำคัญภัยคุกคาม ใช้ร่วมกับ STRIDE (จัดประเภท) ได้ผลลัพธ์ดี แม้ Microsoft จะ Deprecated แล้ว แต่ยังใช้งานได้ดีสำหรับ Practical Prioritization
