Dalam dunia keamanan siber, terutama saat membahas threat modelling, dua nama yang sering muncul adalah STRIDE dan DREAD. Karena keduanya sama-sama digunakan dalam proses analisis keamanan, tidak sedikit orang yang menganggap STRIDE dan DREAD memiliki fungsi yang sama. Padahal, keduanya dirancang untuk menjawab pertanyaan yang berbeda.

Secara sederhana, STRIDE membantu tim mengidentifikasi jenis ancaman yang mungkin muncul pada sebuah sistem, sedangkan DREAD digunakan untuk menilai tingkat risiko dari ancaman yang telah ditemukan. Dengan kata lain, STRIDE membantu menjawab pertanyaan “Ancaman apa saja yang mungkin terjadi?”, sementara DREAD membantu menjawab “Ancaman mana yang harus diprioritaskan?”

Memahami perbedaan tersebut penting agar tim dapat memilih pendekatan yang sesuai dengan kebutuhan proyek. Dalam praktiknya, kedua metode ini bahkan dapat digunakan secara berurutan sehingga proses analisis keamanan menjadi lebih terstruktur.

1. Mengenal STRIDE

STRIDE adalah metode yang digunakan untuk mengidentifikasi berbagai jenis ancaman pada sebuah sistem.

Metode ini mengelompokkan ancaman ke dalam enam kategori, yaitu:

  • Spoofing
  • Tampering
  • Repudiation
  • Information Disclosure
  • Denial of Service
  • Elevation of Privilege

Dengan menggunakan enam kategori tersebut, tim dapat mengevaluasi setiap komponen sistem secara lebih sistematis sehingga kemungkinan ancaman yang terlewat menjadi lebih kecil.

Fokus utama STRIDE adalah mencari dan mengelompokkan ancaman.

2. Mengenal DREAD

Berbeda dengan STRIDE, DREAD digunakan setelah ancaman berhasil ditemukan.

DREAD membantu tim memperkirakan tingkat risiko suatu ancaman berdasarkan lima aspek penilaian, yaitu:

  • Damage Potential
  • Reproducibility
  • Exploitability
  • Affected Users
  • Discoverability

Melalui penilaian tersebut, organisasi dapat menentukan ancaman mana yang perlu ditangani lebih dahulu.

Fokus utama DREAD adalah menentukan prioritas risiko.

3. Perbedaan STRIDE dan DREAD

Walaupun sering digunakan dalam proses yang sama, kedua metode ini memiliki tujuan yang berbeda.

Aspek STRIDE DREAD
Tujuan Mengidentifikasi ancaman Menilai tingkat risiko ancaman
Fokus Jenis ancaman Prioritas penanganan
Digunakan pada tahap Saat threat modelling Setelah ancaman ditemukan
Hasil Daftar potensi ancaman Tingkat prioritas setiap ancaman
Pertanyaan utama “Apa ancamannya?” “Seberapa besar risikonya?”

Perbedaan tersebut menunjukkan bahwa STRIDE dan DREAD bukan metode yang saling menggantikan, melainkan saling melengkapi.

4. Kapan Sebaiknya Menggunakan STRIDE?

STRIDE lebih tepat digunakan ketika tim sedang merancang atau mengevaluasi arsitektur sistem.

Misalnya saat:

  • mengembangkan aplikasi baru;
  • membuat Data Flow Diagram (DFD);
  • meninjau desain API;
  • mengevaluasi arsitektur cloud;
  • melakukan threat modelling pada aplikasi AI.

Pada tahap ini, tujuan utama adalah memastikan setiap komponen telah dianalisis dari berbagai sudut pandang keamanan.

5. Kapan DREAD Lebih Bermanfaat?

DREAD lebih sesuai digunakan ketika tim telah memiliki daftar ancaman dan perlu menentukan prioritas mitigasi.

Sebagai contoh:

  • menentukan kerentanan yang harus diperbaiki lebih dahulu;
  • menyusun prioritas pekerjaan tim keamanan;
  • mengalokasikan sumber daya untuk mitigasi risiko;
  • membantu proses diskusi mengenai tingkat risiko.

Dengan demikian, organisasi dapat memusatkan perhatian pada ancaman yang memiliki dampak paling besar.

6. Contoh Penggunaan Bersama

Sebuah perusahaan sedang mengembangkan aplikasi layanan pelanggan berbasis web.

Pada tahap perancangan, tim menggunakan STRIDE untuk mengevaluasi seluruh komponen sistem. Dari proses tersebut ditemukan beberapa potensi ancaman, seperti spoofing pada proses login, information disclosure pada data pelanggan, dan denial of service pada API.

Setelah daftar ancaman selesai disusun, tim menggunakan DREAD untuk menilai tingkat risiko masing-masing ancaman.

Hasil penilaian menunjukkan bahwa kebocoran data pelanggan memiliki risiko tertinggi sehingga menjadi prioritas utama untuk diperbaiki sebelum aplikasi dirilis.

Contoh ini menunjukkan bahwa kedua metode dapat digunakan secara berurutan untuk menghasilkan proses threat modelling yang lebih terarah.

7. Apakah DREAD Masih Relevan?

Dalam praktik keamanan modern, STRIDE masih banyak digunakan sebagai metode identifikasi ancaman.

Sementara itu, penggunaan DREAD sudah tidak seumum dulu. Salah satu alasannya adalah karena penilaian dalam DREAD cukup bergantung pada interpretasi tim sehingga hasilnya dapat berbeda antara satu organisasi dan organisasi lainnya.

Sebagai alternatif, banyak organisasi kini menggunakan pendekatan penilaian risiko yang disesuaikan dengan kebutuhan bisnis, tingkat dampak, kemungkinan terjadinya ancaman, maupun kerangka kerja keamanan yang diterapkan.

Meskipun demikian, memahami DREAD tetap bermanfaat karena memberikan dasar mengenai cara berpikir dalam menentukan prioritas risiko.

KESIMPULAN

STRIDE dan DREAD bukanlah metode yang saling bersaing, melainkan dua pendekatan yang memiliki tujuan berbeda dalam proses threat modelling. STRIDE membantu tim mengenali berbagai jenis ancaman yang mungkin muncul, sedangkan DREAD membantu menentukan ancaman mana yang perlu diprioritaskan berdasarkan tingkat risikonya.

Dengan memahami fungsi masing-masing metode, organisasi dapat menyusun proses analisis keamanan yang lebih sistematis, mulai dari mengidentifikasi ancaman hingga menentukan strategi mitigasi yang paling tepat. Pendekatan tersebut membantu tim membangun sistem yang lebih aman sekaligus menggunakan sumber daya secara lebih efektif dalam menghadapi berbagai risiko keamanan siber.