owasp/owasp-subtractive-hardening-top-10El Proyecto OWASP Subtractive Security Top 10 es una iniciativa para identificar, documentar y promover las oportunidades de mayor impacto para reducir el riesgo cibernético mediante la eliminación de rutas de ataque.
# Proyecto OWASP Subtractive Security Top 10
## Descripción general
El Proyecto OWASP Subtractive Security Top 10 es una iniciativa para identificar, documentar y promover las oportunidades de mayor impacto para reducir el riesgo cibernético mediante la eliminación de rutas de ataque.
A diferencia de las guías de seguridad tradicionales que se centran principalmente en añadir controles, el Subtractive Security Top 10 hace hincapié en la eliminación de la superficie de ataque innecesaria, las relaciones de confianza, los protocolos, los privilegios, los servicios y las rutas de comunicación que permiten el avance del adversario.
El proyecto se fundamenta en el principio de que el control de seguridad más eficaz suele ser la eliminación completa de una ruta de ataque en lugar de intentar monitorizarla o gestionarla.
La visión a largo plazo del proyecto es establecer la eliminación de rutas de ataque como una disciplina fundamental de la ingeniería de seguridad respaldada por resultados medibles a través del estándar Path Erasure Rate (PER).
## Principio rector
Los atacantes solo pueden recorrer las rutas que existen.
El objetivo de la Subtractive Security es eliminar o restringir sistemáticamente esas rutas hasta que la actividad del adversario ya no pueda componerse en un impacto empresarial material.
<img width="1536" height="1024" alt="EraseRoads" src="https://github.com/user-attachments/assets/a6b1a1cd-d6cb-4c43-b081-7d32291e71c5" />
## Propósito
El propósito de este proyecto es proporcionar una guía práctica y basada en evidencia para identificar y eliminar rutas de ataque comunes en sistemas operativos, plataformas en la nube, sistemas de identidad y entornos empresariales.
Cada Top 10 se centra en rutas de ataque cuya eliminación produce reducciones desproporcionadas del riesgo al tiempo que minimiza el impacto operativo.
El proyecto busca responder a una pregunta sencilla:
> ¿Qué se puede eliminar para hacer que un ataque sea materialmente más difícil o imposible?
## Relación con el Estándar Path Erasure Rate (PER 1.0)
El Proyecto Subtractive Security Top 10 está alineado con el Estándar de Ingeniería Path Erasure Rate (PER) (https://github.com/cfrenz/Path-Erasure-Engine/blob/main/PER-1.0_Engineering_Specification.md) y el Estándar de Precedencia de Path Erasure (https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/PathErasurePrecedence.md)
PER proporciona una metodología para medir la eficacia de las mejoras de seguridad cuantificando la reducción de las rutas de ataque accesibles al adversario.
$$\text{PER} = \frac{|P_{\text{erased}}|}{|P_{\text{eligible}}|}$$
Donde **$P_{\text{eligible}}$** representa las rutas de ataque válidas y accionables identificadas dentro del alcance, y **$P_{\text{erased}}$** representa el subconjunto en el que los bordes ejecutables se han eliminado estructuralmente.
PER sirve como marco de medición cuantitativa para la Subtractive Security.
El Subtractive Security Top 10 identifica rutas de ataque de alto valor cuya eliminación se espera que produzca reducciones significativas en la capacidad del adversario, mientras que PER proporciona el mecanismo para validar y medir esas reducciones.
Juntos establecen un proceso de ingeniería repetible para el descubrimiento, la priorización, la eliminación y la medición de rutas de ataque.
- Identificar rutas de ataque
- Medir la exposición de las rutas de ataque
- Eliminar o restringir rutas de ataque
- Medir la reducción resultante
- Mejorar continuamente la arquitectura de seguridad
Una implementación de referencia sobre cómo calcular PER está disponible en (https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/tree/main/PER).
## Jerarquía de eficacia
El proyecto se basa en el principio de que los controles de seguridad no proporcionan niveles iguales de reducción del riesgo.
La jerarquía refleja un principio sencillo:
Eliminación arquitectónica > Restricción arquitectónica > Monitorización
Siempre que se pueda eliminar una ruta de ataque, se prefiere la eliminación. Si la eliminación no es factible, la ruta debe restringirse. La monitorización se reserva para las rutas residuales que no pueden eliminarse ni restringirse suficientemente.
La Subtractive Security prioriza:
### 1. Eliminación arquitectónica
Eliminar las rutas de ataque por completo.
Ejemplos:
- Eliminar protocolos heredados
- Eliminar privilegios innecesarios
- Eliminar la exposición pública
- Eliminar identidades inactivas
- Eliminar relaciones de confianza innecesarias
### 2. Restricción arquitectónica
Restringir las rutas de ataque que no pueden eliminarse.
Ejemplos:
- Segmentación
- Límites de permisos
- Acceso condicional
- Endpoints privados
- Restricciones de privilegios
### 3. Monitoreo y detección
Monitorear el riesgo residual que no puede eliminarse ni restringirse.
Ejemplos:
- Registro (logging)
- Alertas
- SIEM
- IDS/IPS
- Detección de endpoints
Esta jerarquía refleja la convicción del proyecto de que la eliminación de una ruta de ataque es generalmente más eficaz que detectar su uso, tal como se describe en el [Principio de Carga de Suposiciones](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/HierarchyOfEfficacy.md).
## Procedencia y linaje
El marco de Endurecimiento Sustractivo y la métrica Path Erasure Rate (PER) trazan su linaje formal a través de una progresión ininterrumpida y con marcas de tiempo de investigación revisada por pares, pruebas en entornos de producción y divulgaciones públicas que datan de 2015 hasta el presente.
Para revisar el registro público con marcas de tiempo, los fundamentos revisados por pares y el desarrollo histórico del marco, consulte [**Linaje y técnica previa (Lineage.md)**](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/Lineage.md).
# Estructura del proyecto
El OWASP Subtractive Hardening Top 10 es una familia de estándares de ingeniería de seguridad específicos de cada plataforma que operan bajo un conjunto común de leyes arquitectónicas universales.
En la base del marco se encuentra el OWASP Universal Subtractive Security Laws Top 10, que define principios de reducción de rutas de ataque independientes de la plataforma, aplicables a sistemas operativos, plataformas en la nube, sistemas de identidad, entornos SaaS, redes, dispositivos embebidos y futuros dominios tecnológicos.
Los estándares específicos de cada entorno proporcionan implementaciones de referencia de estas leyes universales dentro de pilas tecnológicas concretas.
## Fundamento universal
- ([Universal Subtractive Security Laws Top 10](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/UniversalSubtractiveLaws.md))
- ([Rutas de ataque como modos de fallo](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/AttackPathFailureModes.md))
- ([Prueba de Kerckhoffs arquitectónica](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/ArchitecturalKerckhoffsTest.md))
## Estándares de gobernanza
El Proyecto OWASP Subtractive Security Top 10 incluye estándares de gobernanza que operacionalizan la reducción de rutas de ataque dentro de los programas de seguridad.
Estos estándares proporcionan orientación para gestionar el riesgo donde las rutas de ataque aún no pueden eliminarse, priorizar el trabajo de remediación de acuerdo con la reducción de la capacidad del atacante y gobernar las relaciones externas que introducen nuevas rutas de ataque.
Estándares de gobernanza publicados:
- ([Estándar de Gestión de Excepciones Sustractivas y Deuda de Seguridad](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/SubtractiveExceptionHandling.md))
- ([Estándar de Gestión de Vulnerabilidades Sustractivas y Eliminación de Rutas](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/SubtractiveVulnerabilityManagement.md))
- ([Estándar de Gobernanza de Riesgos de Terceros e Integraciones Sustractivas](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/SubtractiveTPRM.md))
- ([Estándar de Validación de Controles Sustractivos](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/SubtractiveControlValidation.md))
- ([Estándar de Establecimiento de Líneas Base Sustractivas](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/SubtractiveBaselines.md))
- ([Estándar de Inmunidad de Rebaño Sustractiva](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/SubtractiveHerdImmunity.md))
- ([Estándar de RCA de Alertas Sustractivas](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/SubtractiveAlertRCA.md))
- ([Evaluación de Proveedores de Seguridad](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/SecurityVendorAssessment.md))
- ([Modelado de Amenazas Sustractivo](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/SubtractiveThreatModeling.md))
En conjunto, estos estándares transforman la reducción de rutas de ataque de un marco arquitectónico en un modelo operativo de seguridad práctico.
## Estándares de Plataforma Publicados
- ([Top 10 de Endurecimiento Sustractivo de Active Directory](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/ActiveDirectorySubtractiveTop10.md))
- ([Top 10 de Endurecimiento Sustractivo de IA](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/AISubtractiveTop10.md))
- ([Top 10 de Endurecimiento Sustractivo de Aplicaciones](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/ApplicationSubtractiveTop10.md))
- ([Top 10 de Endurecimiento Sustractivo de AWS](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/AWSSubtractiveTop10.md))
- ([Top 10 de Endurecimiento Sustractivo de Pipelines CI/CD](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/CICDPipelineSubtractiveTop10.md))
- ([Top 10 de Endurecimiento Sustractivo de Almacenes de Datos](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/DatastoreSubtractiveTop10.md))
- ([Top 10 de Endurecimiento Sustractivo de HPC](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/HPCSubtractiveTop10.md))
- ([Top 10 de Endurecimiento Sustractivo de IoT](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/IoTSubtractiveTop10.md))
- ([Top 10 de Endurecimiento Sustractivo de Linux](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/LinuxSubtractiveTop10.md))
- ([Top 10 de Endurecimiento Sustractivo de macOS](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/macOSSubtractiveTop10.md))
- ([Top 10 de Endurecimiento Sustractivo de Microsoft 365](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/M365SubtractiveTop10.md))
- ([Top 10 de Endurecimiento Sustractivo de Redes](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/NetworkSubtractiveTop10.md))
- ([Top 10 de Endurecimiento Sustractivo de Seguridad Física](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/PhysicalSubtractiveTop10.md))
- ([Top 10 de Endurecimiento Sustractivo de Seguridad de Salesforce](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/SalesforceSubtractiveTop10.md))
- ([Top 10 de Endurecimiento Sustractivo de Windows](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/WindowsSubtractiveTop10.md))
## Estándares Planificados y Futuros
- Top 10 de Endurecimiento Sustractivo de Gestión de Identidades y Accesos (IAM)
- Top 10 de Endurecimiento Sustractivo de Azure
- Top 10 de Endurecimiento Sustractivo de Google Cloud Platform (GCP)
- Top 10 de Endurecimiento Sustractivo de Contenedores y Kubernetes
- Top 10 de Endurecimiento Sustractivo de Dispositivos Médicos
- Estándares adicionales a medida que surjan nuevos dominios arquitectónicos
## Modelo Operativo de Seguridad
El Proyecto OWASP Subtractive Security Top 10 es más que una colección de guías de endurecimiento.
El proyecto combina:
- Leyes Universales de Seguridad
- Tasa de Erradicación de Rutas (PER)
- Estándares de Endurecimiento de Plataformas
- Estándares de Gobernanza
en un modelo operativo de ingeniería de seguridad repetible.
Los estándares de plataforma identifican las rutas de ataque que deben eliminarse.
Los estándares de gobernanza determinan cómo se priorizan las rutas de ataque, cómo se gestionan las rutas residuales y cómo se gobiernan las relaciones con terceros.
En conjunto, estos estándares proporcionan un marco completo para reducir la disponibilidad de rutas de ataque mediante una mejora arquitectónica medible.
## Relación Arquitectónica
```text
Universal Security Laws
↓
Path Erasure Rate (PER)
↓
Platform Standards + Governance Standards
↓
Implementation Controls
↓
Measured Risk Reduction
```
Cada estándar de plataforma aplica los mismos principios arquitectónicos subyacentes:
- Reducir la alcanzabilidad innecesaria.
- Reducir las relaciones de confianza innecesarias.
- Reducir la exposición de credenciales.
- Reducir la propagación de privilegios.
- Reducir las rutas de ataque ejecutables.
- Reducir la exposición del plano de control.
- Reducir la superficie de ataque.
- Imponer comunicaciones deterministas.
- Restringir las rutas de ataque residuales.
- Medir la mejora estructural mediante PER.
Los detalles de implementación varían según la plataforma, pero las leyes arquitectónicas subyacentes permanecen consistentes.
Estos estándares están diseñados para su adopción paralela y despliegue por capas. Cuando se componen conjuntamente, proporcionan una reducción de rutas de ataque a nivel empresarial en entornos de endpoint, servidor, identidad, nube, SaaS, red y sistemas embebidos.
## Composición de la pila y adopción paralela
La familia OWASP Subtractive Hardening Top 10 está diseñada para una ejecución componible y paralela.
Las publicaciones individuales del Top 10 no están pensadas para implementarse de forma aislada. Los sistemas empresariales modernos se componen de múltiples capas tecnológicas, cada una de las cuales aporta rutas de ataque, relaciones de confianza y oportunidades únicas para la progresión del adversario.
Asegurar un activo empresarial requiere aplicar controles sustractivos específicos de cada plataforma de forma concurrente en todas las capas relevantes.
Los ejemplos incluyen:
- AWS Subtractive Hardening + Linux Subtractive Hardening
- Active Directory Subtractive Hardening + Windows Subtractive Hardening
- Kubernetes Subtractive Hardening + Linux Subtractive Hardening
- SaaS Subtractive Hardening + Identity and Access Management Subtractive Hardening
- Azure Subtractive Hardening + Active Directory Subtractive Hardening
Las rutas de ataque no respetan las fronteras arquitectónicas.
Una carga de trabajo en la nube comprometida puede aprovechar rutas de ataque del sistema operativo. Una estación de trabajo comprometida puede aprovechar rutas de ataque de identidad. Una identidad comprometida puede aprovechar rutas de ataque del plano de control de la nube.
Por lo tanto, Subtractive Security promueve la reducción paralela de rutas de ataque en todas las capas aplicables de la pila tecnológica.
### Defensa en profundidad mediante la eliminación de rutas por capas
Subtractive Security reconoce que todos los controles, incluidos los controles sustractivos, pueden fallar debido a una mala configuración, deriva operativa, implementación incompleta o cambios en los requisitos del negocio. Subtractive Security, por lo tanto, amplía el concepto tradicional de defensa en profundidad enfatizando la eliminación de rutas de ataque en múltiples capas arquitectónicas.
En lugar de depender únicamente de tecnologías independientes de monitoreo o prevención, las organizaciones deben procurar eliminar, reducir o restringir la misma ruta de ataque dondequiera que aparezca dentro de la pila.
Los ejemplos incluyen:
- Reducir la confianza administrativa dentro de Linux mientras se segmenta simultáneamente el movimiento lateral en la capa de red.
- Restringir las relaciones de confianza de identidad en la nube mientras se eliminan las rutas de escalada de privilegios a nivel de sistema operativo.
- Imponer el determinismo de egreso en las capas de endpoint, red y plano de control de la nube.
Este enfoque crea múltiples fronteras independientemente no conductivas que los atacantes deben superar. El resultado es una defensa en profundidad mediante la eliminación de rutas por capas en lugar de la detección por capas.
El objetivo no es simplemente endurecer componentes individuales.
El objetivo es reducir la conductividad total de rutas de ataque del sistema en su conjunto.
<img width="1536" height="1024" alt="Flammability" src="https://github.com/user-attachments/assets/18b9d839-fba6-4d5b-9ae4-c84ed4e8e07f" />
## Objetivos del proyecto
- Promover la eliminación de rutas de ataque como estrategia de seguridad primordial.
- Fomentar la mejora medible de la seguridad mediante PER.
- Proporcionar orientación práctica para reducir la exposición arquitectónica.
- Establecer un vocabulario común para la ingeniería de seguridad sustractiva.
- Mejorar los resultados de seguridad mediante la toma de decisiones basada en evidencia.
- Impulsar la seguridad como disciplina de ingeniería fundamentada en la reducción medible del riesgo.
## Alcance
Este proyecto se centra en mejoras arquitectónicas que reducen las oportunidades de alcanzabilidad, privilegio, movilidad y persistencia del adversario.
Desde una perspectiva de teoría de grafos, el proyecto se centra en reducir la alcanzabilidad del adversario mediante la eliminación o restricción de las aristas ejecutables dentro de los grafos de ataque.
El objetivo es reducir el número de rutas capaces de combinarse para producir un impacto material en el negocio. Las recomendaciones se seleccionan en función de su potencial para eliminar o restringir materialmente las rutas del atacante, en lugar de su popularidad, su valor de cumplimiento normativo o su visibilidad operativa.
## Contribuir
El Proyecto OWASP Subtractive Security Top 10 acoge con satisfacción las contribuciones de profesionales de la seguridad, investigadores, arquitectos, ingenieros de la nube, ingenieros de plataformas y defensores interesados en impulsar metodologías de reducción de rutas de ataque.
Se fomentan los comentarios de la comunidad, la investigación empírica, las experiencias de implementación y las técnicas propuestas para la eliminación de rutas de ataque.
## Más información
- Estándar de Ingeniería de la Tasa de Borrado de Rutas (PER) (https://github.com/cfrenz/Path-Erasure-Engine/blob/main/PER-1.0_Engineering_Specification.md)
- Seguridad Basada en Evidencia (https://subtractivesecurity.substack.com/p/the-cyber-falsifiability-crisis-and)
- Marco de Ingeniería de Seguridad Sustractiva (https://subtractivesecurity.substack.com/p/the-law-of-subtractive-risk-moving)
- Subtractive Security Substack (https://subtractivesecurity.substack.com/)
---
*"La eficacia de la seguridad se maximiza cuando se eliminan las rutas de ataque, no cuando simplemente se observan."*
## Licencia
Este proyecto es de código abierto y se publica bajo la [Licencia Apache 2.0](https://www.apache.org/licenses/LICENSE-2.0). Toda la documentación, especificaciones y código son libres de usar, modificar y distribuir con fines comerciales y no comerciales bajo los términos de la licencia.
## Líderes del proyecto
- **Christopher Frenz** — Fundador del proyecto y autor principal