owasp/owasp-subtractive-hardening-top-10Das OWASP Subtractive Security Top 10 Project ist eine Initiative zur Identifizierung, Dokumentation und Förderung der wirkungsvollsten Möglichkeiten zur Reduzierung von Cyber-Risiken durch die Beseitigung von Angriffspfaden.
Das OWASP Subtractive Security Top 10 Project ist eine Initiative zur Identifizierung, Dokumentation und Förderung der wirkungsvollsten Möglichkeiten zur Reduzierung von Cyberrisiken durch die Beseitigung von Angriffspfaden.
Im Gegensatz zu traditionellen Sicherheitsrichtlinien, die sich in erster Linie auf das Hinzufügen von Kontrollen konzentrieren, legt das Subtractive Security Top 10 den Schwerpunkt auf die Entfernung unnötiger Angriffsflächen, Vertrauensbeziehungen, Protokolle, Berechtigungen, Dienste und Kommunikationspfade, die die Ausbreitung von Angreifern ermöglichen.
Das Projekt beruht auf dem Prinzip, dass die wirksamste Sicherheitskontrolle oft die vollständige Entfernung eines Angriffspfads ist, anstatt zu versuchen, ihn zu überwachen oder zu verwalten.
Die langfristige Vision des Projekts besteht darin, die Beseitigung von Angriffspfaden als grundlegende Disziplin der Sicherheitstechnik zu etablieren, unterstützt durch messbare Ergebnisse mittels des Path Erasure Rate (PER)-Standards.
Angreifer können nur Pfade durchlaufen, die existieren.
Das Ziel von Subtractive Security ist es, diese Pfade systematisch zu beseitigen oder einzuschränken, bis die Aktivitäten von Angreifern sich nicht mehr zu materiellen geschäftlichen Auswirkungen zusammensetzen können.
Der Zweck dieses Projekts ist es, praktische, evidenzbasierte Leitlinien für die Identifizierung und Beseitigung gängiger Angreiferpfade über Betriebssysteme, Cloud-Plattformen, Identitätssysteme und Unternehmensumgebungen hinweg bereitzustellen.
Jedes Top 10 konzentriert sich auf Angriffspfade, deren Entfernung unverhältnismäßig große Risikoreduzierungen bewirkt und gleichzeitig die betrieblichen Auswirkungen minimiert.
Das Projekt versucht, eine einfache Frage zu beantworten:
Was kann entfernt werden, um einen Angriff wesentlich schwieriger oder unmöglich zu machen?
Das Subtractive Security Top 10 Project ist mit dem Path Erasure Rate (PER) Engineering Standard (https://github.com/cfrenz/Path-Erasure-Engine/blob/main/PER-1.0_Engineering_Specification.md) und dem Path Erasure Precedence Standard (https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/PathErasurePrecedence.md) abgestimmt.
PER bietet eine Methodik zur Messung der Wirksamkeit von Sicherheitsverbesserungen durch die Quantifizierung der Reduzierung von Angreifern zugänglichen Angriffspfaden.
$$\text{PER} = \frac{|P_{\text{erased}}|}{|P_{\text{eligible}}|}$$
Dabei repräsentiert $P_{\text{eligible}}$ gültige, umsetzbare Angriffspfade, die innerhalb des Geltungsbereichs identifiziert wurden, und $P_{\text{erased}}$ repräsentiert die Teilmenge, bei der ausführbare Kanten strukturell entfernt wurden.
PER dient als quantitatives Messframework für Subtractive Security.
Das Subtractive Security Top 10 identifiziert hochwertige Angriffspfade, deren Beseitigung voraussichtlich zu einer bedeutenden Reduzierung der Angreiferfähigkeiten führen wird, während PER den Mechanismus zur Validierung und Messung dieser Reduzierungen bereitstellt.
Gemeinsam etablieren sie einen wiederholbaren technischen Prozess für die Entdeckung, Priorisierung, Beseitigung und Messung von Angriffspfaden.
Eine Referenzimplementierung zur Berechnung von PER ist verfügbar unter (https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/tree/main/PER).
Das Projekt basiert auf dem Prinzip, dass Sicherheitskontrollen nicht das gleiche Maß an Risikoreduzierung bieten.
Die Hierarchie spiegelt ein einfaches Prinzip wider:
Architektonische Löschung > Architektonische Einschränkung > Überwachung
Wann immer ein Angriffspfad beseitigt werden kann, ist die Beseitigung vorzuziehen. Wenn die Beseitigung nicht machbar ist, sollte der Pfad eingeschränkt werden. Die Überwachung ist restlichen Pfaden vorbehalten, die nicht entfernt oder ausreichend eingeschränkt werden können.
Subtractive Security priorisiert:
Angriffswege vollständig entfernen.
Beispiele:
Angriffswege einschränken, die nicht beseitigt werden können.
Beispiele:
Das Restrisiko überwachen, das nicht beseitigt oder eingeschränkt werden kann.
Beispiele:
Diese Hierarchie spiegelt die Überzeugung des Projekts wider, dass die Beseitigung eines Angriffswegs im Allgemeinen wirksamer ist als die Erkennung seiner Nutzung, wie im Assumption Burden Principle beschrieben.
Das Subtractive-Hardening-Framework und die Metrik Path Erasure Rate (PER) lassen ihre formale Abstammung durch eine ununterbrochene, zeitgestempelte Abfolge von peer-reviewter Forschung, Tests in Produktionsumgebungen und öffentlichen Offenlegungen von 2015 bis heute zurückverfolgen.
Um die zeitgestempelte öffentliche Aufzeichnung, die peer-reviewten Grundlagen und die historische Entwicklung des Frameworks einzusehen, siehe Lineage & Prior Art (Lineage.md).
Die OWASP Subtractive Hardening Top 10 sind eine Familie plattformspezifischer Standards für Sicherheitstechnik, die unter einer gemeinsamen Menge universeller architektonischer Gesetze operieren.
Das Fundament des Frameworks bilden die OWASP Universal Subtractive Security Laws Top 10, die plattformunabhängige Prinzipien zur Reduzierung von Angriffswegen definieren, die auf Betriebssysteme, Cloud-Plattformen, Identitätssysteme, SaaS-Umgebungen, Netzwerke, eingebettete Geräte und zukünftige Technologiedomänen anwendbar sind.
Umgebungsspezifische Standards liefern Referenzimplementierungen dieser universellen Gesetze innerhalb bestimmter Technologie-Stacks.
Das OWASP Subtractive Security Top 10 Project umfasst Governance-Standards, die die Reduzierung von Angriffswegen innerhalb von Sicherheitsprogrammen operationalisieren.
Diese Standards bieten Leitlinien für das Management von Risiken, bei denen Angriffswege noch nicht beseitigt werden können, für die Priorisierung von Behebungsarbeiten entsprechend der Reduzierung der Angreiferfähigkeiten und für die Steuerung externer Beziehungen, die neue Angriffswege einführen.
Veröffentlichte Governance-Standards:
