مدل‌سازی تهدید با DREAD: مقدمه‌ای بر آنالیز کیفی ریسک

پیش‌بینی‌ می‌شود تا سال 2025، هزینه جهانی مبارزه با جرائم سایبری به 10.5 تریلیون دلار برسد. با هک شدن روزانه 30.000 وب سایت، شرکت‌ها در هر مقیاس و اندازه‌ای که هستند، باید امنیت سایبری را در اولویت خود قرار دهند. با افزایش سرسام‌آور حملات سایبری و هزینه‌های مقابله با آن، سازمان‌ها روش‌های مختلفی را برای مدل‌سازی تهدیدات سایبری و ارزیابی خطرات و آسیب‌پذیری‌های امنیتی شبکه توسعه داده‌اند. یکی از این روش‌های تجزیه و تحلیل ریسک، DREAD است. DREAD یک فریم‌ورک مدل‌سازی تهدید است که ابتدا توسط مایکروسافت ایجاد شد. اگرچه مایکروسافت به دلیل نگرانی‌هایی که درباره ساختار درونی این مدل داشت، آن را کنار گذاشت. اما امروزه DREAD هنوز هم توسط کسب‌وکارهای کوچک، شرکت‌هایFortune 500  و ارتش مورد استفاده قرار می‌گیرد.

مدل DREAD چیست؟

مدل DREAD شدت کمی یک تهدید سایبری را با استفاده از یک سیستم رتبه‌بندی دارای مقیاس‌بندی ارزیابی می‌کند. در این سیستم مقادیر عددی گوناگونی به دسته‌های مختلف ریسک اعطا می‌شود. مدل‌ DREAD دارای پنج دسته است (Meier et al., 2003):

• آسیب: درک میزان آسیب احتمالی که یک تهدید خاص می‌تواند ایجاد کند.
• تکرارپذیری: مشخص شدن این‌که تکرار یک حمله تا چه حد آسان یا دشوار خواهد بود.
• قابلیت بهره‌برداری: آسیب‌پذیری‌های سیستم را برای اطمینان از حساسیت به حملات سایبری تجزیه و تحلیل کنید.
• کاربران متأثر شده: محاسبه کنید که چند کاربر تحت تأثیر یک حمله سایبری قرار خواهند گرفت.
• قابلیت کشف: تعیین کنید که کشف نقاط آسیب‌پذیر در زیرساخت سیستم تا چه حد آسان یا دشوار خواهد بود.

مدل DREAD تحلیلگران را قادر می‌سازد تا با تعیین رتبه‌بندی بین 0 تا 10 در هر یک از دسته‌های بالا، شدت تهدیدات را رتبه‌بندی، مقایسه و بر حسب اولویت بچینند. رتبه‌بندی نهایی که به‌عنوان میانگین رتبه‌بندی این دسته‌ها محاسبه می‌شود، شدت کلی خطر را نشان می‌دهد.

آسیب احتمالی: یک حمله تا چه حد می‌تواند خسارت وارد کند؟

0: بدون آسیب

5: افشای اطلاعات

8: داده‌های غیرحساس کاربر، که مربوط به یک فرد یا کارفرما هستند، به خطر افتاده‌اند

9: داده‌های اداری حساس به خطر افتاده‌اند

10: تخریب یک سیستم اطلاعاتی، از دسترس خارج شدن برنامه یا داده

تکرارپذیری: چگونه می‌توان حمله را به راحتی بازتولید کرد؟

0: سخت یا غیرممکن

5: پیچیده

7.5: آسان

10: بسیار آسان

قابلیت بهره‌برداری: برای راه‌اندازی حمله به چه چیزی نیاز است؟

2.5: برنامه‌نویسی پیشرفته و مهارت‌های شبکه

5: ابزارهای حمله موجود

9: پروکسی‌های برنامه وب

10: مرورگر وب

کاربران آسیب‌دیده: این حمله بر چند نفر تأثیر می‌گذارد؟

0: هیچ کاربری

2.5: کاربر منفرد

6: تعداد کمی از کاربران

8: کاربران اداری

10: همه کاربران

کشف‌پذیری: کشف آسیب‌پذیری تا چه حد آسان است؟

0: کشف آسیب‌پذیری سخت است.

5: درخواست‌های HTTP می‌توانند آسیب‌پذیری را کشف کنند.

8: آسیب‌پذیری در دامنه عمومی کشف شده است.

10: آسیب‌پذیری در نوار آدرس وب یا فرم کشف شده است.

رتبه‌بندی کلی تهدید

رتبه‌بندی کلی تهدید با جمع امتیازهای به‌دست آمده در این پنج حوزه کلیدی محاسبه می‌شود. دسته‌بندی‌های شدت خطر برای یک تهدید به شرح زیر است:

بحرانی (40-50): آسیب‌پذیری بحرانی؛ فورا آدرس شود.

بالا (25-39): آسیب‌پذیری شدید؛ برای بررسی و حل و فصل به دنبال راه حل فوری باشید.

متوسط (11-24): خطر متوسط؛ پس از پرداختن به خطرات شدید و بحرانی، این خطرات هم بررسی شوند.

کم (1-10): کم‌خطر برای زیرساخت‌ها و داده‌ها.

مدل‌سازی تهدید سایبری با استفاده از چارچوب DREAD بر اساس نیاز شما قابل تنظیم است. با این حال، برای اعمال موفقیت‌آمیز یک چارچوب تحلیل ریسک درونی مانند مدل DREAD، به تخصص گسترده‌ای در زمینه امنیت سایبری نیاز دارید تا اطمینان حاصل کنید که تجزیه و تحلیل شما از تهدیدات سایبری دقیق است. بدون دانش به روز در زمینه دامنه، در معرض خطر از دست دادن اطلاعات مهم توسط آسیب‌پذیری‌های سیستم هستید و بردارهای حمله احتمالی نیز انتظار شما را می‌کشند.

منبع : eccouncil    (رفرنس‌ها در پی‌نوشت مقاله انگلیسی)