Projet OWASP Top 10 de Sécurité Soustractive

Vue d'ensemble

Le projet OWASP Top 10 de Sécurité Soustractive est une initiative visant à identifier, documenter et promouvoir les opportunités à plus fort impact de réduction du cyber-risque par l'élimination des chemins d'attaque.

Contrairement aux recommandations de sécurité traditionnelles qui se concentrent principalement sur l'ajout de contrôles, le Top 10 de Sécurité Soustractive met l'accent sur la suppression des surfaces d'attaque, des relations de confiance, des protocoles, des privilèges, des services et des chemins de communication inutiles qui permettent la progression d'un adversaire.

Le projet repose sur le principe selon lequel le contrôle de sécurité le plus efficace est souvent la suppression complète d'un chemin d'attaque plutôt que la tentative de le surveiller ou de le gérer.

La vision à long terme du projet est d'établir l'élimination des chemins d'attaque comme une discipline fondamentale de l'ingénierie de sécurité, soutenue par des résultats mesurables via la norme Path Erasure Rate (PER).

Principe directeur

Les attaquants ne peuvent emprunter que les chemins qui existent.

L'objectif de la Sécurité Soustractive est d'éliminer ou de contraindre systématiquement ces chemins jusqu'à ce que l'activité d'un adversaire ne puisse plus se composer en un impact commercial matériel.

Objectif

L'objectif de ce projet est de fournir des recommandations pratiques et fondées sur des preuves pour identifier et éliminer les chemins d'attaque courants à travers les systèmes d'exploitation, les plateformes cloud, les systèmes d'identité et les environnements d'entreprise.

Chaque Top 10 se concentre sur les chemins d'attaque dont la suppression produit des réductions de risque disproportionnées tout en minimisant l'impact opérationnel.

Le projet cherche à répondre à une question simple :

Que peut-on supprimer pour rendre une attaque matériellement plus difficile ou impossible ?

Relation avec la norme Path Erasure Rate (PER 1.0)

Le projet Top 10 de Sécurité Soustractive est aligné sur la norme d'ingénierie Path Erasure Rate (PER) (https://github.com/cfrenz/Path-Erasure-Engine/blob/main/PER-1.0_Engineering_Specification.md)

PER fournit une méthodologie pour mesurer l'efficacité des améliorations de sécurité en quantifiant la réduction des chemins d'attaque accessibles à un adversaire.

$$\text{PER} = \frac{|P_{\text{erased}}|}{|P_{\text{eligible}}|}$$

Où $P_{\text{eligible}}$ représente les chemins d'attaque valides et exploitables identifiés dans le périmètre, et $P_{\text{erased}}$ représente le sous-ensemble où les arêtes exécutables ont été structurellement supprimées.

PER sert de cadre de mesure quantitative pour la Sécurité Soustractive.

Le Top 10 de Sécurité Soustractive identifie les chemins d'attaque à forte valeur dont l'élimination devrait produire des réductions significatives des capacités d'un adversaire, tandis que PER fournit le mécanisme pour valider et mesurer ces réductions.

Ensemble, ils établissent un processus d'ingénierie reproductible pour la découverte, la priorisation, l'élimination et la mesure des chemins d'attaque.

• Identifier les chemins d'attaque
• Mesurer l'exposition des chemins d'attaque
• Supprimer ou contraindre les chemins d'attaque
• Mesurer la réduction obtenue
• Améliorer en continu l'architecture de sécurité

Hiérarchie d'efficacité

Le projet repose sur le principe selon lequel les contrôles de sécurité n'offrent pas des niveaux égaux de réduction du risque.

La hiérarchie reflète un principe simple :

Suppression architecturale > Contrainte architecturale > Surveillance

Chaque fois qu'un chemin d'attaque peut être éliminé, l'élimination est privilégiée. Si l'élimination n'est pas réalisable, le chemin doit être contraint. La surveillance est réservée aux chemins résiduels qui ne peuvent pas être supprimés ou suffisamment contraints.

La Sécurité Soustractive priorise :

1. Suppression architecturale

Supprimer entièrement les chemins d'attaque.

Exemples :

• Supprimer les protocoles hérités
• Supprimer les privilèges inutiles
• Supprimer l'exposition publique
• Supprimer les identités dormantes
• Supprimer les relations de confiance inutiles

2. Contrainte architecturale

Contraindre les chemins d'attaque qui ne peuvent pas être éliminés.

Exemples :

• Segmentation
• Frontières de permissions
• Accès conditionnel
• Points de terminaison privés
• Restrictions de privilèges

3. Surveillance et détection

Surveiller le risque résiduel qui ne peut pas être supprimé ou contraint.

Exemples :

• Journalisation
• Alertes
• SIEM
• IDS/IPS
• Détection sur les points de terminaison

Cette hiérarchie reflète la conviction du projet que l'élimination d'un chemin d'attaque est généralement plus efficace que la détection de son utilisation.

Structure du projet

Le Top 10 de Durcissement Soustractif OWASP est une famille de normes d'ingénierie de sécurité spécifiques aux plateformes, fonctionnant sous un ensemble commun de lois architecturales universelles.

À la base du cadre se trouve le Top 10 des Lois Universelles de Sécurité Soustractive OWASP, qui définit des principes de réduction des chemins d'attaque indépendants de la plateforme, applicables aux systèmes d'exploitation, aux plateformes cloud, aux systèmes d'identité, aux environnements SaaS, aux réseaux, aux appareils embarqués et aux futurs domaines technologiques.

Les normes spécifiques aux environnements fournissent des implémentations de référence de ces lois universelles au sein de piles technologiques particulières.

Fondation universelle

• Top 10 des Lois Universelles de Sécurité Soustractive

Normes de plateforme publiées

• Top 10 de Durcissement Soustractif Windows
• Top 10 de Durcissement Soustractif Linux
• Top 10 de Durcissement Soustractif Active Directory
• Top 10 de Durcissement Soustractif AWS
• Top 10 de Durcissement Soustractif Microsoft 365
• Top 10 de Durcissement Soustractif Réseau
• Top 10 de Durcissement Soustractif IoT
• Top 10 de Durcissement Soustractif macOS

Normes planifiées et futures

• Top 10 de Durcissement Soustractif Gestion des identités et des accès (IAM)
• Top 10 de Durcissement Soustractif Azure
• Top 10 de Durcissement Soustractif Google Cloud Platform (GCP)
• Top 10 de Durcissement Soustractif Conteneurs et Kubernetes
• Top 10 de Durcissement Soustractif CI/CD et chaîne d'approvisionnement logicielle
• Top 10 de Durcissement Soustractif Infrastructure IA et LLM
• Top 10 de Durcissement Soustractif Dispositifs médicaux
• Normes supplémentaires à mesure que de nouveaux domaines architecturaux émergent

Relation architecturale

Universal Security Laws
        ↓
Path Erasure Rate (PER)
        ↓
Platform Standards
        ↓
Implementation Controls

Chaque norme de plateforme applique les mêmes principes architecturaux sous-jacents :

• Réduire l'accessibilité inutile.
• Réduire les relations de confiance inutiles.
• Réduire l'exposition des identifiants.
• Réduire la propagation des privilèges.
• Réduire les chemins d'attaque exécutables.
• Réduire l'exposition du plan de contrôle.
• Réduire la surface d'attaque.
• Imposer des communications déterministes.
• Contraindre les chemins d'attaque résiduels.
• Mesurer l'amélioration structurelle via PER.

Les détails d'implémentation varient selon la plateforme, mais les lois architecturales sous-jacentes restent cohérentes.

Ces normes sont conçues pour une adoption parallèle et un déploiement en couches. Composées ensemble, elles offrent une réduction des chemins d'attaque à l'échelle de l'entreprise couvrant les environnements de points de terminaison, serveurs, identités, cloud, SaaS, réseaux et systèmes embarqués.

Composition de la pile et adoption parallèle

La famille Top 10 de Durcissement Soustractif OWASP est conçue pour une exécution composable et parallèle.

Les publications individuelles du Top 10 ne sont pas destinées à être implémentées de manière isolée. Les systèmes d'entreprise modernes sont composés de plusieurs couches technologiques, chacune contribuant avec des chemins d'attaque, des relations de confiance et des opportunités de progression d'adversaire uniques.

La sécurisation d'un actif d'entreprise nécessite l'application de contrôles soustractifs spécifiques à la plateforme, simultanément sur toutes les couches pertinentes.

Exemples :

• Durcissement Soustractif AWS + Durcissement Soustractif Linux
• Durcissement Soustractif Active Directory + Durcissement Soustractif Windows
• Durcissement Soustractif Kubernetes + Durcissement Soustractif Linux
• Durcissement Soustractif SaaS + Durcissement Soustractif Gestion des identités et des accès
• Durcissement Soustractif Azure + Durcissement Soustractif Active Directory

Les chemins d'attaque ne respectent pas les frontières architecturales.

Une charge de travail cloud compromise peut exploiter les chemins d'attaque du système d'exploitation. Une station de travail compromise peut exploiter les chemins d'attaque d'identité. Une identité compromise peut exploiter les chemins d'attaque du plan de contrôle cloud.

La Sécurité Soustractive promeut donc une réduction parallèle des chemins d'attaque sur toutes les couches applicables de la pile technologique.

Défense en profondeur par effacement de chemins en couches

La Sécurité Soustractive reconnaît que tous les contrôles, y compris les contrôles soustractifs, peuvent échouer en raison d'une mauvaise configuration, d'une dérive opérationnelle, d'une implémentation incomplète ou de l'évolution des exigences métier. La Sécurité Soustractive étend donc le concept traditionnel de défense en profondeur en mettant l'accent sur la suppression des chemins d'attaque à travers plusieurs couches architecturales.

Plutôt que de s'appuyer uniquement sur des technologies de surveillance ou de prévention indépendantes, les organisations devraient chercher à éliminer, réduire ou contraindre le même chemin d'attaque partout où il apparaît dans la pile.

Exemples :

• Réduire la confiance administrative dans Linux tout en segmentant simultanément le mouvement latéral au niveau du réseau.
• Restreindre les relations de confiance d'identité cloud tout en éliminant les chemins d'escalade de privilèges au niveau du système d'exploitation.
• Imposer le déterminisme de sortie aux couches du point de terminaison, du réseau et du plan de contrôle cloud.

Cette approche crée de multiples frontières indépendamment non conductrices que les attaquants doivent surmonter. Le résultat est une défense en profondeur par effacement de chemins en couches plutôt qu'une détection en couches.

L'objectif n'est pas simplement de durcir les composants individuels.

L'objectif est de réduire la conductivité totale des chemins d'attaque du système dans son ensemble.

Objectifs du projet

• Promouvoir l'élimination des chemins d'attaque comme stratégie de sécurité primaire.
• Encourager l'amélioration mesurable de la sécurité via PER.
• Fournir des recommandations actionnables pour réduire l'exposition architecturale.
• Établir un vocabulaire commun pour l'ingénierie de sécurité soustractive.
• Améliorer les résultats de sécurité grâce à une prise de décision fondée sur des preuves.
• Faire progresser la sécurité comme discipline d'ingénierie ancrée dans une réduction mesurable du risque.

Périmètre

Ce projet se concentre sur les améliorations architecturales qui réduisent les opportunités d'accessibilité, de privilège, de mobilité et de persistance d'un adversaire.

D'un point de vue théorique des graphes, le projet se concentre sur la réduction de l'accessibilité d'un adversaire en éliminant ou en contraignant les arêtes exécutables dans les graphes d'attaque.

L'objectif est de réduire le nombre de chemins capables de se composer en un impact commercial matériel. Les recommandations sont sélectionnées en fonction de leur potentiel à éliminer ou à contraindre matériellement les chemins d'attaque plutôt que de leur popularité, de leur valeur de conformité ou de leur visibilité opérationnelle.

Contribution

Le projet OWASP Top 10 de Sécurité Soustractive accueille les contributions des praticiens de la sécurité, chercheurs, architectes, ingénieurs cloud, ingénieurs de plateformes et défenseurs intéressés par le développement des méthodologies de réduction des chemins d'attaque.

Les retours de la communauté, la recherche empirique, les expériences d'implémentation et les techniques proposées de suppression des chemins d'attaque sont encouragés.

En savoir plus

• Norme d'ingénierie Path Erasure Rate (PER) (https://github.com/cfrenz/Path-Erasure-Engine/blob/main/PER-1.0_Engineering_Specification.md)
• Sécurité fondée sur des preuves (https://subtractivesecurity.substack.com/p/the-cyber-falsifiability-crisis-and)
• Cadre d'ingénierie de sécurité soustractive (https://subtractivesecurity.substack.com/p/the-law-of-subtractive-risk-moving)

"L'efficacité de la sécurité est maximisée lorsque les chemins d'attaque sont supprimés, pas simplement observés."

Licence

Ce projet est open-source et publié sous la Licence Apache 2.0. Toute la documentation, les spécifications et le code sont libres d'utilisation, de modification et de distribution à des fins commerciales et non commerciales selon les termes de la licence.

Responsables du projet

• Christopher Frenz — Fondateur du projet et auteur principal