owasp/owasp-subtractive-hardening-top-10El Proyecto OWASP Subtractive Security Top 10 es una iniciativa para identificar, documentar y promover las oportunidades de mayor impacto para reducir el riesgo cibernético mediante la eliminación de rutas de ataque.
El Proyecto OWASP Subtractive Security Top 10 es una iniciativa para identificar, documentar y promover las oportunidades de mayor impacto para reducir el riesgo cibernético mediante la eliminación de rutas de ataque.
A diferencia de las guías de seguridad tradicionales que se centran principalmente en añadir controles, el Subtractive Security Top 10 hace hincapié en la eliminación de la superficie de ataque innecesaria, las relaciones de confianza, los protocolos, los privilegios, los servicios y las rutas de comunicación que permiten el avance del adversario.
El proyecto se fundamenta en el principio de que el control de seguridad más eficaz suele ser la eliminación completa de una ruta de ataque en lugar de intentar monitorizarla o gestionarla.
La visión a largo plazo del proyecto es establecer la eliminación de rutas de ataque como una disciplina fundamental de la ingeniería de seguridad respaldada por resultados medibles a través del estándar Path Erasure Rate (PER).
Los atacantes solo pueden recorrer las rutas que existen.
El objetivo de la Subtractive Security es eliminar o restringir sistemáticamente esas rutas hasta que la actividad del adversario ya no pueda componerse en un impacto empresarial material.
El propósito de este proyecto es proporcionar una guía práctica y basada en evidencia para identificar y eliminar rutas de ataque comunes en sistemas operativos, plataformas en la nube, sistemas de identidad y entornos empresariales.
Cada Top 10 se centra en rutas de ataque cuya eliminación produce reducciones desproporcionadas del riesgo al tiempo que minimiza el impacto operativo.
El proyecto busca responder a una pregunta sencilla:
¿Qué se puede eliminar para hacer que un ataque sea materialmente más difícil o imposible?
El Proyecto Subtractive Security Top 10 está alineado con el Estándar de Ingeniería Path Erasure Rate (PER) (https://github.com/cfrenz/Path-Erasure-Engine/blob/main/PER-1.0_Engineering_Specification.md) y el Estándar de Precedencia de Path Erasure (https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/PathErasurePrecedence.md)
PER proporciona una metodología para medir la eficacia de las mejoras de seguridad cuantificando la reducción de las rutas de ataque accesibles al adversario.
$$\text{PER} = \frac{|P_{\text{erased}}|}{|P_{\text{eligible}}|}$$
Donde $P_{\text{eligible}}$ representa las rutas de ataque válidas y accionables identificadas dentro del alcance, y $P_{\text{erased}}$ representa el subconjunto en el que los bordes ejecutables se han eliminado estructuralmente.
PER sirve como marco de medición cuantitativa para la Subtractive Security.
El Subtractive Security Top 10 identifica rutas de ataque de alto valor cuya eliminación se espera que produzca reducciones significativas en la capacidad del adversario, mientras que PER proporciona el mecanismo para validar y medir esas reducciones.
Juntos establecen un proceso de ingeniería repetible para el descubrimiento, la priorización, la eliminación y la medición de rutas de ataque.
Una implementación de referencia sobre cómo calcular PER está disponible en (https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/tree/main/PER).
El proyecto se basa en el principio de que los controles de seguridad no proporcionan niveles iguales de reducción del riesgo.
La jerarquía refleja un principio sencillo:
Eliminación arquitectónica > Restricción arquitectónica > Monitorización
Siempre que se pueda eliminar una ruta de ataque, se prefiere la eliminación. Si la eliminación no es factible, la ruta debe restringirse. La monitorización se reserva para las rutas residuales que no pueden eliminarse ni restringirse suficientemente.
La Subtractive Security prioriza:
Eliminar las rutas de ataque por completo.
Ejemplos:
Restringir las rutas de ataque que no pueden eliminarse.
Ejemplos:
Monitorear el riesgo residual que no puede eliminarse ni restringirse.
Ejemplos:
Esta jerarquía refleja la convicción del proyecto de que la eliminación de una ruta de ataque es generalmente más eficaz que detectar su uso, tal como se describe en el Principio de Carga de Suposiciones.
El marco de Endurecimiento Sustractivo y la métrica Path Erasure Rate (PER) trazan su linaje formal a través de una progresión ininterrumpida y con marcas de tiempo de investigación revisada por pares, pruebas en entornos de producción y divulgaciones públicas que datan de 2015 hasta el presente.
Para revisar el registro público con marcas de tiempo, los fundamentos revisados por pares y el desarrollo histórico del marco, consulte Linaje y técnica previa (Lineage.md).
El OWASP Subtractive Hardening Top 10 es una familia de estándares de ingeniería de seguridad específicos de cada plataforma que operan bajo un conjunto común de leyes arquitectónicas universales.
En la base del marco se encuentra el OWASP Universal Subtractive Security Laws Top 10, que define principios de reducción de rutas de ataque independientes de la plataforma, aplicables a sistemas operativos, plataformas en la nube, sistemas de identidad, entornos SaaS, redes, dispositivos embebidos y futuros dominios tecnológicos.
Los estándares específicos de cada entorno proporcionan implementaciones de referencia de estas leyes universales dentro de pilas tecnológicas concretas.
El Proyecto OWASP Subtractive Security Top 10 incluye estándares de gobernanza que operacionalizan la reducción de rutas de ataque dentro de los programas de seguridad.
Estos estándares proporcionan orientación para gestionar el riesgo donde las rutas de ataque aún no pueden eliminarse, priorizar el trabajo de remediación de acuerdo con la reducción de la capacidad del atacante y gobernar las relaciones externas que introducen nuevas rutas de ataque.
Estándares de gobernanza publicados:
