DREAD
Risikobewertungsmodell für Sicherheitsbedrohungen: Damage, Reproducibility, Exploitability, Affected Users, Discoverability. Punktzahl 1–10 je Dimension, der Durchschnitt ergibt das Risiko. Von Microsoft entwickelt, 2010 von Microsoft selbst verworfen, aber immer noch im Einsatz.
Kritik: subjektive Bewertungen — dieselbe Bedrohung kann von verschiedenen Analysten völlig unterschiedlich eingestuft werden. Microsoft gab DREAD zugunsten von CVSS-artigem Scoring auf. Moderne Alternativen: CVSS (NIST-Standard, nach der Entdeckung angewendet), EPSS (Exploit Prediction Scoring System — Wahrscheinlichkeit, dass eine Schwachstelle ausgenutzt wird), KEV (Known Exploited Vulnerabilities, CISA-Katalog). DREAD lebt weiter im internen Threat Modeling, wo CVSS zu formal wirkt. In Workshops liefert das gemeinsame Brainstormen von DREAD-Werten trotz der Subjektivität eine schnelle Priorisierung.