owasp/owasp-subtractive-hardening-top-10Das OWASP Subtractive Security Top 10 Project ist eine Initiative zur Identifizierung, Dokumentation und Förderung der wirkungsvollsten Möglichkeiten zur Reduzierung von Cyber-Risiken durch die Beseitigung von Angriffspfaden.
# OWASP Subtractive Security Top 10 Project
## Überblick
Das OWASP Subtractive Security Top 10 Project ist eine Initiative zur Identifizierung, Dokumentation und Förderung der wirkungsvollsten Möglichkeiten zur Reduzierung von Cyberrisiken durch die Beseitigung von Angriffspfaden.
Im Gegensatz zu traditionellen Sicherheitsrichtlinien, die sich in erster Linie auf das Hinzufügen von Kontrollen konzentrieren, legt das Subtractive Security Top 10 den Schwerpunkt auf die Entfernung unnötiger Angriffsflächen, Vertrauensbeziehungen, Protokolle, Berechtigungen, Dienste und Kommunikationspfade, die die Ausbreitung von Angreifern ermöglichen.
Das Projekt beruht auf dem Prinzip, dass die wirksamste Sicherheitskontrolle oft die vollständige Entfernung eines Angriffspfads ist, anstatt zu versuchen, ihn zu überwachen oder zu verwalten.
Die langfristige Vision des Projekts besteht darin, die Beseitigung von Angriffspfaden als grundlegende Disziplin der Sicherheitstechnik zu etablieren, unterstützt durch messbare Ergebnisse mittels des Path Erasure Rate (PER)-Standards.
## Leitprinzip
Angreifer können nur Pfade durchlaufen, die existieren.
Das Ziel von Subtractive Security ist es, diese Pfade systematisch zu beseitigen oder einzuschränken, bis die Aktivitäten von Angreifern sich nicht mehr zu materiellen geschäftlichen Auswirkungen zusammensetzen können.
<img width="1536" height="1024" alt="EraseRoads" src="https://github.com/user-attachments/assets/a6b1a1cd-d6cb-4c43-b081-7d32291e71c5" />
## Zweck
Der Zweck dieses Projekts ist es, praktische, evidenzbasierte Leitlinien für die Identifizierung und Beseitigung gängiger Angreiferpfade über Betriebssysteme, Cloud-Plattformen, Identitätssysteme und Unternehmensumgebungen hinweg bereitzustellen.
Jedes Top 10 konzentriert sich auf Angriffspfade, deren Entfernung unverhältnismäßig große Risikoreduzierungen bewirkt und gleichzeitig die betrieblichen Auswirkungen minimiert.
Das Projekt versucht, eine einfache Frage zu beantworten:
> Was kann entfernt werden, um einen Angriff wesentlich schwieriger oder unmöglich zu machen?
## Beziehung zum Path Erasure Rate Standard (PER 1.0)
Das Subtractive Security Top 10 Project ist mit dem Path Erasure Rate (PER) Engineering Standard (https://github.com/cfrenz/Path-Erasure-Engine/blob/main/PER-1.0_Engineering_Specification.md) und dem Path Erasure Precedence Standard (https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/PathErasurePrecedence.md) abgestimmt.
PER bietet eine Methodik zur Messung der Wirksamkeit von Sicherheitsverbesserungen durch die Quantifizierung der Reduzierung von Angreifern zugänglichen Angriffspfaden.
$$\text{PER} = \frac{|P_{\text{erased}}|}{|P_{\text{eligible}}|}$$
Dabei repräsentiert **$P_{\text{eligible}}$** gültige, umsetzbare Angriffspfade, die innerhalb des Geltungsbereichs identifiziert wurden, und **$P_{\text{erased}}$** repräsentiert die Teilmenge, bei der ausführbare Kanten strukturell entfernt wurden.
PER dient als quantitatives Messframework für Subtractive Security.
Das Subtractive Security Top 10 identifiziert hochwertige Angriffspfade, deren Beseitigung voraussichtlich zu einer bedeutenden Reduzierung der Angreiferfähigkeiten führen wird, während PER den Mechanismus zur Validierung und Messung dieser Reduzierungen bereitstellt.
Gemeinsam etablieren sie einen wiederholbaren technischen Prozess für die Entdeckung, Priorisierung, Beseitigung und Messung von Angriffspfaden.
- Angriffspfade identifizieren
- Angriffspfad-Exposition messen
- Angriffspfade entfernen oder einschränken
- Resultierende Reduzierung messen
- Sicherheitsarchitektur kontinuierlich verbessern
Eine Referenzimplementierung zur Berechnung von PER ist verfügbar unter (https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/tree/main/PER).
## Hierarchie der Wirksamkeit
Das Projekt basiert auf dem Prinzip, dass Sicherheitskontrollen nicht das gleiche Maß an Risikoreduzierung bieten.
Die Hierarchie spiegelt ein einfaches Prinzip wider:
Architektonische Löschung > Architektonische Einschränkung > Überwachung
Wann immer ein Angriffspfad beseitigt werden kann, ist die Beseitigung vorzuziehen. Wenn die Beseitigung nicht machbar ist, sollte der Pfad eingeschränkt werden. Die Überwachung ist restlichen Pfaden vorbehalten, die nicht entfernt oder ausreichend eingeschränkt werden können.
Subtractive Security priorisiert:
### 1. Architektonische Beseitigung
Angriffswege vollständig entfernen.
Beispiele:
- Legacy-Protokolle entfernen
- Unnötige Berechtigungen entfernen
- Öffentliche Exposition entfernen
- Ruhende Identitäten entfernen
- Unnötige Vertrauensbeziehungen entfernen
### 2. Architektonische Einschränkung
Angriffswege einschränken, die nicht beseitigt werden können.
Beispiele:
- Segmentierung
- Berechtigungsgrenzen
- Bedingter Zugriff
- Private Endpunkte
- Berechtigungseinschränkungen
### 3. Überwachung und Erkennung
Das Restrisiko überwachen, das nicht beseitigt oder eingeschränkt werden kann.
Beispiele:
- Protokollierung
- Alarmierung
- SIEM
- IDS/IPS
- Endpoint-Erkennung
Diese Hierarchie spiegelt die Überzeugung des Projekts wider, dass die Beseitigung eines Angriffswegs im Allgemeinen wirksamer ist als die Erkennung seiner Nutzung, wie im [Assumption Burden Principle](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/HierarchyOfEfficacy.md) beschrieben.
## Provenienz & Abstammung
Das Subtractive-Hardening-Framework und die Metrik Path Erasure Rate (PER) lassen ihre formale Abstammung durch eine ununterbrochene, zeitgestempelte Abfolge von peer-reviewter Forschung, Tests in Produktionsumgebungen und öffentlichen Offenlegungen von 2015 bis heute zurückverfolgen.
Um die zeitgestempelte öffentliche Aufzeichnung, die peer-reviewten Grundlagen und die historische Entwicklung des Frameworks einzusehen, siehe [**Lineage & Prior Art (Lineage.md)**](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/Lineage.md).
# Projektstruktur
Die OWASP Subtractive Hardening Top 10 sind eine Familie plattformspezifischer Standards für Sicherheitstechnik, die unter einer gemeinsamen Menge universeller architektonischer Gesetze operieren.
Das Fundament des Frameworks bilden die OWASP Universal Subtractive Security Laws Top 10, die plattformunabhängige Prinzipien zur Reduzierung von Angriffswegen definieren, die auf Betriebssysteme, Cloud-Plattformen, Identitätssysteme, SaaS-Umgebungen, Netzwerke, eingebettete Geräte und zukünftige Technologiedomänen anwendbar sind.
Umgebungsspezifische Standards liefern Referenzimplementierungen dieser universellen Gesetze innerhalb bestimmter Technologie-Stacks.
## Universelles Fundament
- ([Universal Subtractive Security Laws Top 10](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/UniversalSubtractiveLaws.md))
- ([Attack Paths as Failure Modes](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/AttackPathFailureModes.md))
- ([Architectural Kerckhoffs Test](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/ArchitecturalKerckhoffsTest.md))
## Governance-Standards
Das OWASP Subtractive Security Top 10 Project umfasst Governance-Standards, die die Reduzierung von Angriffswegen innerhalb von Sicherheitsprogrammen operationalisieren.
Diese Standards bieten Leitlinien für das Management von Risiken, bei denen Angriffswege noch nicht beseitigt werden können, für die Priorisierung von Behebungsarbeiten entsprechend der Reduzierung der Angreiferfähigkeiten und für die Steuerung externer Beziehungen, die neue Angriffswege einführen.
Veröffentlichte Governance-Standards:
- ([Subtractive Exception & Security Debt Management Standard](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/SubtractiveExceptionHandling.md))
- ([Subtractive Vulnerability & Path Erasure Management Standard](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/SubtractiveVulnerabilityManagement.md))
- ([Subtractive Third-Party Risk & Integration Governance Standard](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/SubtractiveTPRM.md))
- ([Subtractive Control Validation Standard](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/SubtractiveControlValidation.md))
- ([Subtractive Baselining Standard](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/SubtractiveBaselines.md))
- ([Subtractive Herd Immunity Standard](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/SubtractiveHerdImmunity.md))
- ([Subtractive Alert RCA Standard](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/SubtractiveAlertRCA.md))
- ([Security Vendor Assessment](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/SecurityVendorAssessment.md))
- ([Subtractive Threat Modeling](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/SubtractiveThreatModeling.md))
Zusammen verwandeln diese Standards die Reduzierung von Angriffspfaden von einem Architekturrahmen in ein praktisches Sicherheitsbetriebsmodell.
## Veröffentlichte Plattformstandards
- ([Active Directory Subtractive Hardening Top 10](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/ActiveDirectorySubtractiveTop10.md))
- ([AI Subtractive Hardening Top 10](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/AISubtractiveTop10.md))
- ([Application Hardening Top 10](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/ApplicationSubtractiveTop10.md))
- ([AWS Subtractive Hardening Top 10](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/AWSSubtractiveTop10.md))
- ([CI/CD Pipeline Subtractive Hardening Top 10](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/CICDPipelineSubtractiveTop10.md))
- ([Datastore Subtractive Hardening Top 10](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/DatastoreSubtractiveTop10.md))
- ([HPC Subtractive Hardening Top 10](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/HPCSubtractiveTop10.md))
- ([IoT Subtractive Hardening Top 10](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/IoTSubtractiveTop10.md))
- ([Linux Subtractive Hardening Top 10](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/LinuxSubtractiveTop10.md))
- ([macOS Subtractive Hardening Top 10](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/macOSSubtractiveTop10.md))
- ([Microsoft 365 Subtractive Hardening Top 10](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/M365SubtractiveTop10.md))
- ([Network Subtractive Hardening Top 10](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/NetworkSubtractiveTop10.md))
- ([Physical Security Subtractive Hardening Top 10](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/PhysicalSubtractiveTop10.md))
- ([Salesforce Security Subtractive Hardening Top 10](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/SalesforceSubtractiveTop10.md))
- ([Windows Subtractive Hardening Top 10](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/WindowsSubtractiveTop10.md))
## Geplante und zukünftige Standards
- Identity & Access Management (IAM) Subtractive Hardening Top 10
- Azure Subtractive Hardening Top 10
- Google Cloud Platform (GCP) Subtractive Hardening Top 10
- Container & Kubernetes Subtractive Hardening Top 10
- Medical Device Subtractive Hardening Top 10
- Weitere Standards, sobald neue Architekturdomänen entstehen
## Sicherheitsbetriebsmodell
Das OWASP Subtractive Security Top 10 Project ist mehr als eine Sammlung von Hardening-Leitfäden.
Das Projekt kombiniert:
- Universelle Sicherheitsgesetze
- Path Erasure Rate (PER)
- Plattform-Hardening-Standards
- Governance-Standards
zu einem wiederholbaren Betriebsmodell für Security Engineering.
Plattformstandards identifizieren Angriffspfade, die entfernt werden sollten.
Governance-Standards bestimmen, wie Angriffspfade priorisiert werden, wie Restpfade verwaltet werden und wie Beziehungen zu Dritten geregelt werden.
Zusammen bieten diese Standards einen vollständigen Rahmen zur Reduzierung der Verfügbarkeit von Angriffspfaden durch messbare architektonische Verbesserung.
## Architektonische Beziehung
```text
Universal Security Laws
↓
Path Erasure Rate (PER)
↓
Platform Standards + Governance Standards
↓
Implementation Controls
↓
Measured Risk Reduction
```
Jeder Plattformstandard folgt denselben zugrunde liegenden Architekturprinzipien:
- Unnötige Erreichbarkeit reduzieren.
- Unnötige Vertrauensbeziehungen reduzieren.
- Offenlegung von Anmeldeinformationen reduzieren.
- Ausbreitung von Berechtigungen reduzieren.
- Ausführbare Angriffspfade reduzieren.
- Exposition der Control Plane reduzieren.
- Angriffsfläche reduzieren.
- Deterministische Kommunikation erzwingen.
- Verbleibende Angriffspfade einschränken.
- Strukturelle Verbesserungen durch PER messen.
Die Implementierungsdetails variieren je nach Plattform, aber die zugrunde liegenden Architekturgesetze bleiben konsistent.
Diese Standards sind für die parallele Einführung und den geschichteten Einsatz konzipiert. Zusammengesetzt ermöglichen sie eine unternehmensweite Reduzierung von Angriffspfaden über Endpoint-, Server-, Identitäts-, Cloud-, SaaS-, Netzwerk- und Embedded-System-Umgebungen hinweg.
## Stack-Komposition & parallele Einführung
Die OWASP Subtractive Hardening Top 10-Familie ist für komponierbare, parallele Ausführung konzipiert.
Einzelne Top-10-Veröffentlichungen sind nicht für die isolierte Implementierung gedacht. Moderne Unternehmenssysteme bestehen aus mehreren Technologieebenen, von denen jede eigene Angriffspfade, Vertrauensbeziehungen und Möglichkeiten für die Ausbreitung von Angreifern mit sich bringt.
Die Absicherung eines Unternehmensassets erfordert die gleichzeitige Anwendung plattformspezifischer subtraktiver Kontrollen über alle relevanten Ebenen hinweg.
Beispiele hierfür sind:
- AWS Subtractive Hardening + Linux Subtractive Hardening
- Active Directory Subtractive Hardening + Windows Subtractive Hardening
- Kubernetes Subtractive Hardening + Linux Subtractive Hardening
- SaaS Subtractive Hardening + Identity and Access Management Subtractive Hardening
- Azure Subtractive Hardening + Active Directory Subtractive Hardening
Angriffspfade respektieren keine Architekturgrenzen.
Eine kompromittierte Cloud-Workload kann Angriffspfade des Betriebssystems nutzen. Eine kompromittierte Workstation kann Identitätsangriffspfade nutzen. Eine kompromittierte Identität kann Angriffspfade der Cloud-Control-Plane nutzen.
Subtractive Security fördert daher die parallele Reduzierung von Angriffspfaden über alle anwendbaren Ebenen des Technologie-Stacks hinweg.
### Defense in Depth durch geschichtete Pfadlöschung
Subtractive Security erkennt an, dass alle Kontrollen, einschließlich subtraktiver Kontrollen, aufgrund von Fehlkonfiguration, operativer Drift, unvollständiger Implementierung oder sich ändernden Geschäftsanforderungen versagen können. Subtractive Security erweitert daher das traditionelle Konzept von Defense in Depth, indem es die Entfernung von Angriffspfaden über mehrere Architekturebenen hinweg betont.
Anstatt sich ausschließlich auf unabhängige Überwachungs- oder Präventionstechnologien zu verlassen, sollten Organisationen danach streben, denselben Angriffspfad zu beseitigen, zu reduzieren oder einzuschränken, wo immer er innerhalb des Stacks auftritt.
Beispiele hierfür sind:
- Reduzierung des administrativen Vertrauens innerhalb von Linux bei gleichzeitiger Segmentierung der lateralen Bewegung auf der Netzwerkebene.
- Einschränkung von Cloud-Identitätsvertrauensbeziehungen bei gleichzeitiger Beseitigung von Privilegieneskalationspfaden auf Betriebssystemebene.
- Erzwingung von Egress-Determinismus auf den Ebenen Endpoint, Netzwerk und Cloud-Control-Plane.
Dieser Ansatz schafft mehrere unabhängig voneinander nicht leitfähige Grenzen, die Angreifer überwinden müssen. Das Ergebnis ist Defense in Depth durch geschichtete Pfadlöschung statt durch geschichtete Erkennung.
Das Ziel ist nicht lediglich, einzelne Komponenten zu härten.
Das Ziel ist, die gesamte Angriffspfad-Leitfähigkeit des Systems als Ganzes zu reduzieren.
<img width="1536" height="1024" alt="Flammability" src="https://github.com/user-attachments/assets/18b9d839-fba6-4d5b-9ae4-c84ed4e8e07f" />
## Projektziele
- Die Beseitigung von Angriffspfaden als primäre Sicherheitsstrategie fördern.
- Messbare Sicherheitsverbesserungen durch PER fördern.
- Umsetzbare Leitlinien zur Reduzierung der Architekturexposition bereitstellen.
- Ein gemeinsames Vokabular für subtraktives Security-Engineering etablieren.
- Sicherheitsergebnisse durch evidenzbasierte Entscheidungsfindung verbessern.
- Sicherheit als Ingenieursdisziplin voranbringen, die auf messbarer Risikoreduzierung basiert.
## Geltungsbereich
Dieses Projekt konzentriert sich auf architektonische Verbesserungen, die die Erreichbarkeit, Privilegien, Mobilität und Persistenzmöglichkeiten von Angreifern reduzieren.
Aus graphentheoretischer Sicht konzentriert sich das Projekt darauf, die Erreichbarkeit von Angreifern zu reduzieren, indem ausführbare Kanten innerhalb von Angriffsgraphen eliminiert oder eingeschränkt werden.
Das Ziel besteht darin, die Anzahl der Pfade zu reduzieren, die sich zu materiellem geschäftlichem Schaden zusammensetzen lassen. Empfehlungen werden basierend auf ihrem Potenzial ausgewählt, Angreiferpfade zu eliminieren oder wesentlich einzuschränken, und nicht basierend auf ihrer Popularität, ihrem Compliance-Wert oder ihrer operativen Sichtbarkeit.
## Mitwirken
Das OWASP Subtractive Security Top 10 Project heißt Beiträge von Sicherheitspraktikern, Forschern, Architekten, Cloud-Engineers, Plattform-Engineers und Verteidigern willkommen, die daran interessiert sind, Methoden zur Reduzierung von Angriffspfaden voranzutreiben.
Community-Feedback, empirische Forschung, Implementierungserfahrungen und vorgeschlagene Techniken zur Entfernung von Angriffspfaden sind erwünscht.
## Mehr erfahren
- Path Erasure Rate (PER) Engineering Standard (https://github.com/cfrenz/Path-Erasure-Engine/blob/main/PER-1.0_Engineering_Specification.md)
- Evidence-Based Security (https://subtractivesecurity.substack.com/p/the-cyber-falsifiability-crisis-and)
- Subtractive Security Engineering Framework (https://subtractivesecurity.substack.com/p/the-law-of-subtractive-risk-moving)
- Subtractive Security Substack (https://subtractivesecurity.substack.com/)
---
*„Die Sicherheitseffektivität ist maximiert, wenn Angriffspfade entfernt und nicht bloß beobachtet werden."*
## Lizenzierung
Dieses Projekt ist Open Source und wird unter der [Apache License 2.0](https://www.apache.org/licenses/LICENSE-2.0) veröffentlicht. Sämtliche Dokumentationen, Spezifikationen und Code dürfen gemäß den Bedingungen der Lizenz frei für kommerzielle und nicht-kommerzielle Zwecke verwendet, verändert und verbreitet werden.
## Projektleiter
- **Christopher Frenz** — Projektgründer & Hauptautor