owasp/owasp-subtractive-hardening-top-10Das OWASP Subtractive Security Top 10 Project ist eine Initiative zur Identifizierung, Dokumentation und Förderung der wirkungsvollsten Möglichkeiten zur Reduzierung von Cyber-Risiken durch die Beseitigung von Angriffspfaden.
Das OWASP Subtractive Security Top 10 Projekt ist eine Initiative zur Identifizierung, Dokumentation und Förderung der wirkungsvollsten Möglichkeiten zur Reduzierung von Cyber-Risiken durch die Beseitigung von Angriffspfaden.
Im Gegensatz zu traditionellen Sicherheitsempfehlungen, die sich hauptsächlich auf das Hinzufügen von Kontrollen konzentrieren, betont das Subtractive Security Top 10 die Beseitigung unnötiger Angriffsflächen, Vertrauensbeziehungen, Protokolle, Privilegien, Dienste und Kommunikationspfade, die das Fortschreiten von Angreifern ermöglichen.
Das Projekt basiert auf dem Prinzip, dass die effektivste Sicherheitskontrolle oft die vollständige Beseitigung eines Angriffspfads ist, anstatt zu versuchen, ihn zu überwachen oder zu verwalten.
Die langfristige Vision des Projekts ist es, die Beseitigung von Angriffspfaden als grundlegende Sicherheits-Engineering-Disziplin zu etablieren, unterstützt durch messbare Ergebnisse mittels des Path Erasure Rate (PER) Standards.
Angreifer können nur Pfade nutzen, die existieren.
Das Ziel von Subtractive Security ist es, diese Pfade systematisch zu beseitigen oder einzuschränken, bis sich Aktivitäten von Angreifern nicht mehr zu materiellen geschäftlichen Auswirkungen zusammensetzen können.
Der Zweck dieses Projekts ist es, praktische, evidenzbasierte Leitlinien zur Identifizierung und Beseitigung häufiger Angreiferpfade über Betriebssysteme, Cloud-Plattformen, Identitätssysteme und Unternehmensumgebungen hinweg bereitzustellen.
Jedes Top 10 konzentriert sich auf Angriffspfade, deren Beseitigung überproportionale Risikoreduzierungen bei minimalen betrieblichen Auswirkungen erzielt.
Das Projekt versucht, eine einfache Frage zu beantworten:
Was kann entfernt werden, um einen Angriff materiell schwieriger oder unmöglich zu machen?
Das Subtractive Security Top 10 Projekt ist ausgerichtet am Path Erasure Rate (PER) Engineering Standard (https://github.com/cfrenz/Path-Erasure-Engine/blob/main/PER-1.0_Engineering_Specification.md)
PER bietet eine Methodik zur Messung der Wirksamkeit von Sicherheitsverbesserungen, indem die Reduzierung von für Angreifer zugänglichen Angriffspfaden quantifiziert wird.
$$\text{PER} = \frac{|P_{\text{erased}}|}{|P_{\text{eligible}}|}$$
Wobei $P_{\text{eligible}}$ gültige, umsetzbare Angriffspfade darstellt, die innerhalb des Geltungsbereichs identifiziert wurden, und $P_{\text{erased}}$ die Teilmenge darstellt, bei der ausführbare Kanten strukturell entfernt wurden.
PER dient als quantitativer Messrahmen für Subtractive Security.
Das Subtractive Security Top 10 identifiziert hochwertige Angriffspfade, deren Beseitigung voraussichtlich zu sinnvollen Reduzierungen der Fähigkeiten von Angreifern führt, während PER den Mechanismus zur Validierung und Messung dieser Reduzierungen bereitstellt.
Zusammen etablieren sie einen wiederholbaren Engineering-Prozess für die Entdeckung, Priorisierung, Beseitigung und Messung von Angriffspfaden.
Das Projekt basiert auf dem Prinzip, dass Sicherheitskontrollen nicht gleiche Risikoreduzierungsniveaus bieten.
Die Hierarchie spiegelt ein einfaches Prinzip wider:
Architektonische Löschung > Architektonische Einschränkung > Überwachung
Wann immer ein Angriffspfad beseitigt werden kann, ist die Beseitigung zu bevorzugen. Wenn die Beseitigung nicht machbar ist, sollte der Pfad eingeschränkt werden. Überwachung ist für Restpfade reserviert, die nicht entfernt oder ausreichend eingeschränkt werden können.
Subtractive Security priorisiert:
Angriffspfade vollständig entfernen.
Beispiele:
Angriffspfade einschränken, die nicht beseitigt werden können.
Beispiele:
Das Restrisiko überwachen, das nicht gelöscht oder eingeschränkt werden kann.
Beispiele:
Diese Hierarchie spiegelt die Überzeugung des Projekts wider, dass die Beseitigung eines Angriffspfads im Allgemeinen effektiver ist als die Erkennung seiner Nutzung.
Das OWASP Subtractive Hardening Top 10 ist eine Familie plattformspezifischer Sicherheits-Engineering-Standards, die unter einer gemeinsamen Reihe universeller architektonischer Gesetze operieren.
An der Basis des Frameworks steht das OWASP Universal Subtractive Security Laws Top 10, das plattformagnostische Prinzipien zur Angriffspfad-Reduzierung definiert, die auf Betriebssysteme, Cloud-Plattformen, Identitätssysteme, SaaS-Umgebungen, Netzwerke, eingebettete Geräte und zukünftige Technologiedomänen anwendbar sind.
Umgebungsspezifische Standards bieten Referenzimplementierungen dieser universellen Gesetze innerhalb bestimmter Technologie-Stacks.
Universal Security Laws
↓
Path Erasure Rate (PER)
↓
Platform Standards
↓
Implementation Controls
Jeder Plattformstandard wendet dieselben zugrunde liegenden architektonischen Prinzipien an:
Die Implementierungsdetails variieren je nach Plattform, aber die zugrunde liegenden architektonischen Gesetze bleiben konsistent.
Diese Standards sind für parallele Einführung und gestaffelte Bereitstellung ausgelegt. Wenn sie zusammengesetzt werden, bieten sie unternehmensweite Angriffspfad-Reduzierung über Endpunkt-, Server-, Identitäts-, Cloud-, SaaS-, Netzwerk- und eingebettete Systemumgebungen hinweg.
Die OWASP Subtractive Hardening Top 10 Familie ist für komponierbare, parallele Ausführung ausgelegt.
Einzelne Top-10-Veröffentlichungen sind nicht dafür gedacht, isoliert implementiert zu werden. Moderne Unternehmenssysteme bestehen aus mehreren Technologieebenen, die jeweils einzigartige Angriffspfade, Vertrauensbeziehungen und Möglichkeiten für das Fortschreiten von Angreifern beitragen.
Die Absicherung eines Unternehmens-Assets erfordert die gleichzeitige Anwendung plattformspezifischer subtraktiver Kontrollen über alle relevanten Ebenen hinweg.
Beispiele umfassen:
Angriffspfade respektieren keine architektonischen Grenzen.
Eine kompromittierte Cloud-Workload kann Betriebssystem-Angriffspfade ausnutzen. Eine kompromittierte Workstation kann Identitäts-Angriffspfade ausnutzen. Eine kompromittierte Identität kann Cloud-Control-Plane-Angriffspfade ausnutzen.
Subtractive Security fördert daher die parallele Angriffspfad-Reduzierung über alle anwendbaren Ebenen des Technologie-Stacks hinweg.
Subtractive Security erkennt an, dass alle Kontrollen, einschließlich subtraktiver Kontrollen, aufgrund von Fehlkonfiguration, betrieblicher Abweichung, unvollständiger Implementierung oder sich ändernder Geschäftsanforderungen versagen können. Subtractive Security erweitert daher das traditionelle Konzept der Defense in Depth, indem es die Beseitigung von Angriffspfaden über mehrere architektonische Ebenen hinweg betont.
Anstatt sich ausschließlich auf unabhängige Überwachungs- oder Präventionstechnologien zu verlassen, sollten Organisationen versuchen, denselben Angriffspfad überall dort zu beseitigen, zu reduzieren oder einzuschränken, wo er im Stack erscheint.
Beispiele umfassen:
Dieser Ansatz schafft mehrere unabhängig nicht-leitfähige Grenzen, die Angreifer überwinden müssen. Das Ergebnis ist Defense in Depth durch geschichtete Pfad-Löschung anstelle von geschichteter Erkennung.
Das Ziel ist nicht nur, einzelne Komponenten zu härten.
Das Ziel ist es, die gesamte Angriffspfad-Leitfähigkeit des Systems als Ganzes zu reduzieren.
Dieses Projekt konzentriert sich auf architektonische Verbesserungen, die Erreichbarkeit, Privilegien, Mobilität und Persistenzmöglichkeiten von Angreifern reduzieren.
Aus graphentheoretischer Perspektive konzentriert sich das Projekt auf die Reduzierung der Erreichbarkeit von Angreifern durch die Beseitigung oder Einschränkung ausführbarer Kanten in Angriffsgraphen.
Das Ziel ist es, die Anzahl der Pfade zu reduzieren, die sich zu materiellen geschäftlichen Auswirkungen zusammensetzen können. Empfehlungen werden basierend auf ihrem Potenzial ausgewählt, Angreiferpfade zu beseitigen oder materiell einzuschränken, und nicht aufgrund ihrer Beliebtheit, ihres Compliance-Werts oder ihrer betrieblichen Sichtbarkeit.
Das OWASP Subtractive Security Top 10 Projekt begrüßt Beiträge von Sicherheitspraktikern, Forschern, Architekten, Cloud-Ingenieuren, Plattformingenieuren und Verteidigern, die sich für die Weiterentwicklung von Methoden zur Angriffspfad-Reduzierung interessieren.
Community-Feedback, empirische Forschung, Implementierungserfahrungen und vorgeschlagene Techniken zur Beseitigung von Angriffspfaden sind ausdrücklich erwünscht.
"Die Wirksamkeit von Sicherheit wird maximiert, wenn Angriffspfade entfernt werden, nicht nur beobachtet."
Dieses Projekt ist Open Source und unter der Apache License 2.0 veröffentlicht. Alle Dokumentationen, Spezifikationen und Codes sind unter den Bedingungen der Lizenz für kommerzielle und nicht-kommerzielle Zwecke frei nutzbar, modifizierbar und verteilbar.