On Computing Enterprise IT Risk Metrics

Bhatt, Sandeep N.; Horne, William; Rao, Prasad

doi:10.1007/978-3-642-21424-0_22

Cited by 4 publications

(2 citation statements)

References 7 publications

(10 reference statements)

Supporting

Mentioning

Contrasting

Unclassified

Order By: Relevance

“…Mesmo considerando a exclusão dos trabalhos com viés econômico do levantamento bibliográfico, ainda existe espaço para pesquisa quando o alvoé a quantificação de risco, mas sem considerar a perspectiva econômica. Dos três trabalhos investigados, um deles propõem um conjunto de métricas para minimizar os riscos de ataquesà organização [3], o outro trabalho estima o risco baseado em melhorias no CVSS [2] e o outro propõe um modelo para auxiliar as tomadas de decisões relacionadasà TIC [4]. O objetivo da avaliação da eficiência de controles de segurançaé fornecer recursos para um profissional de segurança comparar as diversas medidas propostas na literatura e assim decidir quais serão implementadas.…”

Section: Resultsunclassified

Investigação sobre a Ausência de Validação nos Métodos Empregados para Quantificar Segurança da Informação

Miani¹,

Zarpelão²,

Mendes³

2015

Anais Do Simpósio Brasileiro De Sistemas De Informação (SBSI)

View full text Add to dashboard Cite

RESUMOAárea conhecida como quantificação de segurançaé fundamental para construção de modelos e métricas relevantes para apoiar as decisões que devem ser tomadas para a proteção de sistemas e redes. A investigação proposta nesse trabalho consiste em identificar as razões que envolvem a ausência de validação nos métodos empregados para a quantificação da segurança. Os resultados encontrados ao longo da análise crítica e classificação de 57 trabalhos científicos revelam que grande parte dos modelos para quantificar segurança buscam medir alvos genéricos e complexos, como por exemplo medir a segurança da rede ou a segurança da organização, contudo, as tentativas de validações aparecem com maior frequência nos trabalhos que propõem a quantificação de alvos locais e específicos. Palavras-ChaveModelos de quantificação de segurança, Métricas de segurança, Validação ABSTRACTTo understand the actions that lead to successful attacks and also how they can be mitigated, researchers should identify and measure the factors that influence both attackers and victims. Quantifying security is particularly important to construct relevant metrics that support the decisions that need to be made to protect systems and networks. In this work, we aimed at investigating the lack of validation in security quantification methods. Different approaches to security quantification were examined and 57 papers are classified. The results show that most of papers seek to measure generic and complex targets like measuring network security or the security of an entire organization, however, the incidence of validation attempts is higher in works that propose the quantification of specific targets.

show abstract

Section: Resultsunclassified

Investigação sobre a Ausência de Validação nos Métodos Empregados para Quantificar Segurança da Informação

Miani¹,

Zarpelão²,

Mendes³

2015

Anais Do Simpósio Brasileiro De Sistemas De Informação (SBSI)

View full text Add to dashboard Cite

show abstract

“…Access rules: Bhatt et al [55] presented a model-driven technique for automated policy-based access analysis and added three access rules for Apache. Govindavajhala et al [56], [57], [58], [59] suggested separating scanning from analysis to reduce the size of code running in privileged mode.…”

Section: Extension Findingsmentioning

confidence: 99%

A Survey of MulVAL Extensions and Their Attack Scenarios Coverage

et al. 2023

View full text Add to dashboard Cite

Organizations employ various adversary models to assess the risk and potential impact of attacks on their networks. A popular method of visually representing cyber risks is the attack graph. Attack graphs represent vulnerabilities and actions an attacker can take to identify and compromise an organization's assets. Attack graphs facilitate the visual presentation and algorithmic analysis of attack scenarios in the form of attack paths. MulVAL is a generic open-source framework for constructing logical attack graphs, which has been widely used by researchers and practitioners and extended by them with additional attack scenarios. This paper surveys all of the existing MulVAL extensions and maps all MulVAL interaction rules to MITRE ATT&CK Techniques to estimate their attack scenarios coverage. This survey aligns current MulVAL extensions along unified ontological concepts and highlights the existing gaps. It paves the way for the systematic improvement of MulVAL and the comprehensive modeling of the entire landscape of adversarial behaviors captured in MITRE ATT&CK.

show abstract