owasp/owasp-subtractive-hardening-top-10مشروع OWASP للأمن الطرحي Top 10 هو مبادرة تهدف إلى تحديد وتوثيق وتعزيز الفرص ذات التأثير الأعلى لتقليل المخاطر السيبرانية من خلال إزالة مسارات الهجوم.
# مشروع OWASP Subtractive Security Top 10
## نظرة عامة
مشروع OWASP Subtractive Security Top 10 هو مبادرة لتحديد وتوثيق وتعزيز الفرص الأعلى تأثيرًا لتقليل المخاطر السيبرانية من خلال إزالة مسارات الهجوم.
وعلى عكس الإرشادات الأمنية التقليدية التي تركز بشكل أساسي على إضافة الضوابط، يؤكد Subtractive Security Top 10 على إزالة سطح الهجوم غير الضروري، وعلاقات الثقة، والبروتوكولات، والامتيازات، والخدمات، ومسارات الاتصال التي تُمكّن تقدم المهاجم.
ويقوم المشروع على مبدأ أن الضابط الأمني الأكثر فعالية غالبًا ما يكون الإزالة الكاملة لمسار الهجوم بدلًا من محاولة مراقبته أو إدارته.
وتتمثل الرؤية طويلة المدى للمشروع في ترسيخ إزالة مسارات الهجوم كتخصص أساسي في هندسة الأمن تدعمه نتائج قابلة للقياس من خلال معيار Path Erasure Rate (PER).
## المبدأ التوجيهي
لا يستطيع المهاجمون عبور سوى المسارات الموجودة.
ويتمثل هدف Subtractive Security في الإزالة المنهجية لتلك المسارات أو تقييدها حتى لا يعود نشاط المهاجم قادرًا على التكوّن ليُحدث تأثيرًا تجاريًا جوهريًا.
<img width="1536" height="1024" alt="EraseRoads" src="https://github.com/user-attachments/assets/a6b1a1cd-d6cb-4c43-b081-7d32291e71c5" />
## الغرض
الغرض من هذا المشروع هو تقديم إرشادات عملية قائمة على الأدلة لتحديد مسارات المهاجمين الشائعة وإزالتها عبر أنظمة التشغيل والمنصات السحابية وأنظمة الهوية والبيئات المؤسسية.
يركز كل عنصر من عناصر Top 10 على مسارات الهجوم التي تُنتج إزالتها تخفيضات غير متناسبة في المخاطر مع تقليل التأثير التشغيلي إلى أدنى حد.
ويسعى المشروع إلى الإجابة عن سؤال بسيط:
> ما الذي يمكن إزالته لجعل الهجوم أكثر صعوبة بشكل جوهري أو مستحيلًا؟
## العلاقة بمعيار Path Erasure Rate (PER 1.0)
يتوافق مشروع Subtractive Security Top 10 مع معيار هندسة Path Erasure Rate (PER) (https://github.com/cfrenz/Path-Erasure-Engine/blob/main/PER-1.0_Engineering_Specification.md) ومع معيار Path Erasure Precedence (https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/PathErasurePrecedence.md)
يوفر PER منهجية لقياس فعالية التحسينات الأمنية من خلال تحديد الكمّية لتخفيض مسارات الهجوم التي يمكن للمهاجم الوصول إليها.
$$\text{PER} = \frac{|P_{\text{erased}}|}{|P_{\text{eligible}}|}$$
حيث تمثل **$P_{\text{eligible}}$** مسارات الهجوم الصالحة والقابلة للتنفيذ المحددة ضمن النطاق، وتمثل **$P_{\text{erased}}$** المجموعة الفرعية التي أُزيلت فيها الحواف القابلة للتنفيذ هيكليًا.
يعمل PER كإطار قياس كمّي لـ Subtractive Security.
يحدد Subtractive Security Top 10 مسارات الهجوم عالية القيمة التي يُتوقع أن تُنتج إزالتها تخفيضات ذات مغزى في قدرة المهاجم، بينما يوفر PER الآلية للتحقق من تلك التخفيضات وقياسها.
ومعًا يؤسسان عملية هندسية قابلة للتكرار لاكتشاف مسارات الهجوم وتحديد أولوياتها وإزالتها وقياسها.
- تحديد مسارات الهجوم
- قياس تعرّض مسارات الهجوم
- إزالة مسارات الهجوم أو تقييدها
- قياس التخفيض الناتج
- التحسين المستمر لبنية الأمن
يتوفر تنفيذ مرجعي لكيفية حساب PER على (https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/tree/main/PER).
## تسلسل الفعالية
يقوم المشروع على مبدأ أن الضوابط الأمنية لا توفر مستويات متساوية من تقليل المخاطر.
ويعكس التسلسل مبدأً بسيطًا:
الحذف المعماري > التقييد المعماري > المراقبة
كلما أمكن إزالة مسار هجوم، كانت الإزالة هي المفضلة. وإذا لم تكن الإزالة ممكنة، ينبغي تقييد المسار. وتُخصص المراقبة للمسارات المتبقية التي لا يمكن إزالتها أو تقييدها بشكل كافٍ.
يعطي Subtractive Security الأولوية لـ:
### 1. الحذف المعماري
إزالة مسارات الهجوم بالكامل.
أمثلة:
- إزالة البروتوكولات القديمة
- إزالة الصلاحيات غير الضرورية
- إزالة التعرض العام
- إزالة الهويات الخاملة
- إزالة علاقات الثقة غير الضرورية
### 2. التقييد المعماري
تقييد مسارات الهجوم التي لا يمكن القضاء عليها.
أمثلة:
- التقسيم
- حدود الصلاحيات
- الوصول الشرطي
- نقاط النهاية الخاصة
- قيود الصلاحيات
### 3. المراقبة والكشف
مراقبة المخاطر المتبقية التي لا يمكن حذفها أو تقييدها.
أمثلة:
- التسجيل
- التنبيهات
- SIEM
- IDS/IPS
- كشف نقاط النهاية
تعكس هذا التسلسل الهرمي اعتقاد المشروع بأن القضاء على مسار الهجوم أكثر فعالية بشكل عام من اكتشاف استخدامه كما هو موضح في [مبدأ عبء الافتراض](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/HierarchyOfEfficacy.md).
## المصدر والنسب
تتتبع إطار التقسية الطرحية ومقياس معدل محو المسار (PER) نسبهما الرسمي عبر تقدم غير منقطع ومُوقَّع زمنياً من الأبحاث المحكّمة واختبارات بيئة الإنتاج والإفصاحات العامة منذ عام 2015 حتى الوقت الحاضر.
لمراجعة السجل العام المُوقَّع زمنياً والأسس المحكّمة والتطور التاريخي للإطار، راجع [**النسب والأعمال السابقة (Lineage.md)**](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/Lineage.md).
# هيكل المشروع
إن OWASP Subtractive Hardening Top 10 هي عائلة من معايير هندسة الأمن الخاصة بمنصات محددة تعمل بموجب مجموعة مشتركة من القوانين المعمارية العالمية.
في أساس الإطار يوجد OWASP Universal Subtractive Security Laws Top 10، الذي يحدد مبادئ تقليل مسارات الهجوم المستقلة عن المنصة والقابلة للتطبيق عبر أنظمة التشغيل والمنصات السحابية وأنظمة الهوية وبيئات SaaS والشبكات والأجهزة المدمجة ومجالات التكنولوجيا المستقبلية.
توفر المعايير الخاصة بالبيئات تطبيقات مرجعية لهذه القوانين العالمية ضمن حزم تقنية معينة.
## الأساس العالمي
- ([القوانين العالمية للتقسية الطرحية Top 10](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/UniversalSubtractiveLaws.md))
- ([مسارات الهجوم كأنماط فشل](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/AttackPathFailureModes.md))
- ([اختبار Kerckhoffs المعماري](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/ArchitecturalKerckhoffsTest.md))
## معايير الحوكمة
يتضمن مشروع OWASP Subtractive Security Top 10 معايير حوكمة تُشغِّل تقليل مسارات الهجوم ضمن برامج الأمن.
توفر هذه المعايير إرشادات لإدارة المخاطر حيث لا يمكن بعد القضاء على مسارات الهجوم، وإعطاء الأولوية لأعمال المعالجة وفقاً لتقليل قدرة المهاجم، وحوكمة العلاقات الخارجية التي تُدخل مسارات هجوم جديدة.
معايير الحوكمة المنشورة:
- ([معيار الإدارة الطَرْحية للاستثناءات وديون الأمن](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/SubtractiveExceptionHandling.md))
- ([معيار الإدارة الطَرْحية للثغرات ومحو المسارات](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/SubtractiveVulnerabilityManagement.md))
- ([معيار الحوكمة الطَرْحية لمخاطر الأطراف الثالثة والتكامل](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/SubtractiveTPRM.md))
- ([معيار التحقق الطَرْحي من الضوابط](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/SubtractiveControlValidation.md))
- ([معيار وضع خطوط الأساس الطَرْحي](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/SubtractiveBaselines.md))
- ([معيار مناعة القطيع الطَرْحية](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/SubtractiveHerdImmunity.md))
- ([معيار التحليل الجذري للتنبيهات الطَرْحي](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/SubtractiveAlertRCA.md))
- ([تقييم مورّد الأمن](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/SecurityVendorAssessment.md))
- ([النمذجة الطَرْحية للتهديدات](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/SubtractiveThreatModeling.md))
تُحوِّل هذه المعايير مجتمعةً تقليص مسارات الهجوم من إطار معماري إلى نموذج تشغيلي أمني عملي.
## معايير المنصات المنشورة
- ([أفضل 10 ممارسات للتحصين الطَرْحي في Active Directory](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/ActiveDirectorySubtractiveTop10.md))
- ([أفضل 10 ممارسات للتحصين الطَرْحي في الذكاء الاصطناعي](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/AISubtractiveTop10.md))
- ([أفضل 10 ممارسات لتحصين التطبيقات](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/ApplicationSubtractiveTop10.md))
- ([أفضل 10 ممارسات للتحصين الطَرْحي في AWS](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/AWSSubtractiveTop10.md))
- ([أفضل 10 ممارسات للتحصين الطَرْحي لخطوط أنابيب CI/CD](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/CICDPipelineSubtractiveTop10.md))
- ([أفضل 10 ممارسات للتحصين الطَرْحي لمخازن البيانات](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/DatastoreSubtractiveTop10.md))
- ([أفضل 10 ممارسات للتحصين الطَرْحي في الحوسبة عالية الأداء (HPC)](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/HPCSubtractiveTop10.md))
- ([أفضل 10 ممارسات للتحصين الطَرْحي في إنترنت الأشياء (IoT)](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/IoTSubtractiveTop10.md))
- ([أفضل 10 ممارسات للتحصين الطَرْحي في Linux](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/LinuxSubtractiveTop10.md))
- ([أفضل 10 ممارسات للتحصين الطَرْحي في macOS](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/macOSSubtractiveTop10.md))
- ([أفضل 10 ممارسات للتحصين الطَرْحي في Microsoft 365](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/M365SubtractiveTop10.md))
- ([أفضل 10 ممارسات للتحصين الطَرْحي في الشبكات](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/NetworkSubtractiveTop10.md))
- ([أفضل 10 ممارسات للتحصين الطَرْحي في الأمن المادي](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/PhysicalSubtractiveTop10.md))
- ([أفضل 10 ممارسات للتحصين الطَرْحي لأمن Salesforce](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/SalesforceSubtractiveTop10.md))
- ([أفضل 10 ممارسات للتحصين الطَرْحي في Windows](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/WindowsSubtractiveTop10.md))
## المعايير المخطَّطة والمستقبلية
- أفضل 10 ممارسات للتحصين الطَرْحي في إدارة الهوية والوصول (IAM)
- أفضل 10 ممارسات للتحصين الطَرْحي في Azure
- أفضل 10 ممارسات للتحصين الطَرْحي في Google Cloud Platform (GCP)
- أفضل 10 ممارسات للتحصين الطَرْحي في الحاويات وKubernetes
- أفضل 10 ممارسات للتحصين الطَرْحي في الأجهزة الطبية
- معايير إضافية مع ظهور مجالات معمارية جديدة
## نموذج التشغيل الأمني
مشروع OWASP Subtractive Security Top 10 هو أكثر من مجرد مجموعة من أدلة التحصين.
يجمع المشروع بين:
- قوانين الأمان العالمية
- معدل محو المسارات (PER)
- معايير تحصين المنصات
- معايير الحوكمة
في نموذج تشغيلي هندسي أمني قابل للتكرار.
تحدد معايير المنصات مسارات الهجوم التي ينبغي إزالتها.
تحدد معايير الحوكمة كيفية إعطاء الأولوية لمسارات الهجوم، وكيفية إدارة المسارات المتبقية، وكيفية حوكمة علاقات الأطراف الثالثة.
توفر هذه المعايير معًا إطارًا كاملًا لتقليل توفر مسارات الهجوم من خلال تحسين معماري قابل للقياس.
## العلاقة المعمارية
```text
Universal Security Laws
↓
Path Erasure Rate (PER)
↓
Platform Standards + Governance Standards
↓
Implementation Controls
↓
Measured Risk Reduction
```
تنطبق كل معيار من معايير المنصات على المبادئ المعمارية الأساسية نفسها:
- تقليل إمكانية الوصول غير الضرورية.
- تقليل علاقات الثقة غير الضرورية.
- تقليل تعرّض بيانات الاعتماد.
- تقليل انتشار الامتيازات.
- تقليل مسارات الهجوم القابلة للتنفيذ.
- تقليل تعرّض مستوى التحكم.
- تقليل مساحة سطح الهجوم.
- فرض اتصالات حتمية.
- تقييد مسارات الهجوم المتبقية.
- قياس التحسّن البنيوي من خلال PER.
تختلف تفاصيل التنفيذ باختلاف المنصة، لكن القوانين المعمارية الأساسية تبقى متسقة.
صُممت هذه المعايير للتبنّي المتوازي والنشر متعدد الطبقات. وعند تركيبها معًا، فإنها توفر تقليلًا لمسارات الهجوم على مستوى المؤسسة عبر بيئات نقاط النهاية والخوادم والهوية والسحابة وSaaS والشبكات والأنظمة المدمجة.
## تركيب الحزمة والتبنّي المتوازي
صُممت عائلة OWASP Subtractive Hardening Top 10 للتنفيذ القابل للتركيب والمتوازي.
لا يُقصد تنفيذ منشورات Top 10 الفردية بمعزل عن غيرها. تتكوّن أنظمة المؤسسات الحديثة من طبقات تقنية متعددة، تسهم كل منها بمسارات هجوم وعلاقات ثقة وفرص فريدة لتقدّم المهاجم.
يتطلب تأمين أصل مؤسسي تطبيق ضوابط الطرح الخاصة بكل منصة بشكل متزامن عبر جميع الطبقات ذات الصلة.
تشمل الأمثلة ما يلي:
- AWS Subtractive Hardening + Linux Subtractive Hardening
- Active Directory Subtractive Hardening + Windows Subtractive Hardening
- Kubernetes Subtractive Hardening + Linux Subtractive Hardening
- SaaS Subtractive Hardening + Identity and Access Management Subtractive Hardening
- Azure Subtractive Hardening + Active Directory Subtractive Hardening
لا تحترم مسارات الهجوم الحدود المعمارية.
قد يستغل حمل عمل سحابي مخترق مسارات هجوم نظام التشغيل. وقد تستغل محطة عمل مخترقة مسارات هجوم الهوية. وقد تستغل هوية مخترقة مسارات هجوم مستوى التحكم السحابي.
لذلك تعزز Subtractive Security تقليل مسارات الهجوم المتوازي عبر جميع الطبقات المعمول بها في حزمة التقنية.
### الدفاع في العمق من خلال محو المسارات متعدد الطبقات
تدرك Subtractive Security أن جميع الضوابط، بما في ذلك ضوابط الطرح، قد تفشل بسبب سوء التكوين أو الانحراف التشغيلي أو التنفيذ غير المكتمل أو تغيّر متطلبات الأعمال. ولذلك، توسّع Subtractive Security المفهوم التقليدي للدفاع في العمق من خلال التأكيد على إزالة مسارات الهجوم عبر طبقات معمارية متعددة.
بدلًا من الاعتماد فقط على تقنيات المراقبة أو المنع المستقلة، ينبغي للمؤسسات السعي إلى إزالة مسار الهجوم نفسه أو تقليله أو تقييده أينما ظهر داخل الحزمة.
تشمل الأمثلة ما يلي:
- تقليل الثقة الإدارية داخل Linux مع تقطيع الحركة الجانبية في الوقت نفسه على مستوى الشبكة.
- تقييد علاقات ثقة الهوية السحابية مع إزالة مسارات تصعيد الامتيازات على مستوى نظام التشغيل.
- فرض حتمية الخروج (egress) على مستويات نقاط النهاية والشبكة ومستوى التحكم السحابي.
يُنشئ هذا النهج حدودًا متعددة غير موصلة بشكل مستقل يجب على المهاجمين تجاوزها. والنتيجة هي الدفاع في العمق من خلال محو المسارات متعدد الطبقات بدلًا من الكشف متعدد الطبقات.
الهدف ليس مجرد تحصين المكونات الفردية.
الهدف هو تقليل إجمالي موصلية مسارات الهجوم للنظام ككل.
<img width="1536" height="1024" alt="Flammability" src="https://github.com/user-attachments/assets/18b9d839-fba6-4d5b-9ae4-c84ed4e8e07f" />
## أهداف المشروع
- تعزيز إزالة مسارات الهجوم كاستراتيجية أمنية أساسية.
- تشجيع التحسّن الأمني القابل للقياس من خلال PER.
- تقديم إرشادات قابلة للتنفيذ لتقليل التعرّض المعماري.
- إنشاء مفردات مشتركة لهندسة الأمن بالطرح.
- تحسين النتائج الأمنية من خلال اتخاذ القرارات القائمة على الأدلة.
- النهوض بالأمن كتخصص هندسي قائم على تقليل المخاطر القابل للقياس.
## النطاق
يركّز هذا المشروع على التحسينات المعمارية التي تقلل من إمكانية وصول المهاجم وامتيازاته وحركته وفرص استمراريته.
من منظور نظرية المخططات، يركز المشروع على تقليل إمكانية وصول الخصم من خلال إزالة الحواف القابلة للتنفيذ أو تقييدها داخل مخططات الهجوم.
الهدف هو تقليل عدد المسارات القادرة على التجمّع لتشكّل تأثيرًا تجاريًا جوهريًا. يتم اختيار التوصيات بناءً على قدرتها المحتملة على إزالة مسارات المهاجم أو تقييدها تقييدًا جوهريًا، بدلًا من شعبيتها أو قيمتها الامتثالية أو ظهورها التشغيلي.
## المساهمة
يرحّب مشروع OWASP Subtractive Security Top 10 بمساهمات ممارسي الأمن والباحثين والمعماريين ومهندسي السحابة ومهندسي المنصات والمدافعين المهتمين بتطوير منهجيات تقليل مسارات الهجوم.
يُشجَّع على تقديم ملاحظات المجتمع والأبحاث التجريبية وتجارب التنفيذ وتقنيات إزالة مسارات الهجوم المقترحة.
## اعرف المزيد
- Path Erasure Rate (PER) Engineering Standard (https://github.com/cfrenz/Path-Erasure-Engine/blob/main/PER-1.0_Engineering_Specification.md)
- Evidence-Based Security (https://subtractivesecurity.substack.com/p/the-cyber-falsifiability-crisis-and)
- Subtractive Security Engineering Framework (https://subtractivesecurity.substack.com/p/the-law-of-subtractive-risk-moving)
- Subtractive Security Substack (https://subtractivesecurity.substack.com/)
---
*"تصل فعالية الأمن إلى أقصاها عندما تُزال مسارات الهجوم، لا عندما تُراقَب فحسب."*
## الترخيص
هذا المشروع مفتوح المصدر ومُصدَر بموجب [Apache License 2.0](https://www.apache.org/licenses/LICENSE-2.0). جميع الوثائق والمواصفات والشفرة البرمجية حرة الاستخدام والتعديل والتوزيع للأغراض التجارية وغير التجارية وفقًا لشروط الترخيص.
## قادة المشروع
- **Christopher Frenz** — مؤسس المشروع والمؤلف الرئيسي