owasp/owasp-subtractive-hardening-top-10Le projet OWASP Subtractive Security Top 10 est une initiative visant à identifier, documenter et promouvoir les opportunités à plus fort impact pour réduire le cyber-risque grâce à l'élimination des chemins d'attaque.
Le projet OWASP Subtractive Security Top 10 est une initiative visant à identifier, documenter et promouvoir les opportunités à plus fort impact pour réduire le risque cyber par l'élimination des chemins d'attaque.
Contrairement aux recommandations de sécurité traditionnelles qui se concentrent principalement sur l'ajout de contrôles, le Subtractive Security Top 10 met l'accent sur la suppression de la surface d'attaque, des relations de confiance, des protocoles, des privilèges, des services et des chemins de communication inutiles qui permettent la progression de l'attaquant.
Le projet repose sur le principe selon lequel le contrôle de sécurité le plus efficace est souvent la suppression complète d'un chemin d'attaque plutôt que la tentative de le surveiller ou de le gérer.
La vision à long terme du projet est d'établir l'élimination des chemins d'attaque comme une discipline fondamentale d'ingénierie de la sécurité, soutenue par des résultats mesurables grâce au standard Path Erasure Rate (PER).
Les attaquants ne peuvent parcourir que les chemins qui existent.
L'objectif du Subtractive Security est d'éliminer ou de contraindre systématiquement ces chemins jusqu'à ce que l'activité de l'attaquant ne puisse plus se composer en un impact métier significatif.
L'objectif de ce projet est de fournir des recommandations pratiques et fondées sur des preuves pour identifier et éliminer les chemins d'attaque courants sur les systèmes d'exploitation, les plateformes cloud, les systèmes d'identité et les environnements d'entreprise.
Chaque Top 10 se concentre sur des chemins d'attaque dont la suppression produit des réductions de risque disproportionnées tout en minimisant l'impact opérationnel.
Le projet cherche à répondre à une question simple :
Que peut-on supprimer pour rendre une attaque matériellement plus difficile ou impossible ?
Le projet Subtractive Security Top 10 est aligné sur la norme d'ingénierie Path Erasure Rate (PER) (https://github.com/cfrenz/Path-Erasure-Engine/blob/main/PER-1.0_Engineering_Specification.md) et sur le standard Path Erasure Precedence (https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/PathErasurePrecedence.md)
PER fournit une méthodologie pour mesurer l'efficacité des améliorations de sécurité en quantifiant la réduction des chemins d'attaque accessibles à l'attaquant.
$$\text{PER} = \frac{|P_{\text{erased}}|}{|P_{\text{eligible}}|}$$
Où $P_{\text{eligible}}$ représente les chemins d'attaque valides et exploitables identifiés dans le périmètre, et $P_{\text{erased}}$ représente le sous-ensemble dont les arêtes exécutables ont été structurellement supprimées.
PER sert de cadre de mesure quantitative pour le Subtractive Security.
Le Subtractive Security Top 10 identifie les chemins d'attaque à forte valeur dont l'élimination devrait produire des réductions significatives de la capacité de l'attaquant, tandis que PER fournit le mécanisme de validation et de mesure de ces réductions.
Ensemble, ils établissent un processus d'ingénierie reproductible pour la découverte, la priorisation, l'élimination et la mesure des chemins d'attaque.
Une implémentation de référence pour le calcul du PER est disponible à l'adresse (https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/tree/main/PER).
Le projet repose sur le principe selon lequel les contrôles de sécurité ne fournissent pas des niveaux égaux de réduction des risques.
La hiérarchie reflète un principe simple :
Suppression architecturale > Contrainte architecturale > Surveillance
Chaque fois qu'un chemin d'attaque peut être éliminé, l'élimination est préférée. Si l'élimination n'est pas réalisable, le chemin doit être contraint. La surveillance est réservée aux chemins résiduels qui ne peuvent être supprimés ou suffisamment contraints.
Le Subtractive Security priorise :
Supprimer entièrement les chemins d'attaque.
Exemples :
Contraindre les chemins d'attaque qui ne peuvent pas être éliminés.
Exemples :
Surveiller le risque résiduel qui ne peut être supprimé ni contraint.
Exemples :
Cette hiérarchie reflète la conviction du projet selon laquelle l'élimination d'un chemin d'attaque est généralement plus efficace que la détection de son utilisation, comme décrit dans le Principe de charge de l'hypothèse.
Le cadre de durcissement soustractif et la métrique du taux d'effacement des chemins (PER) retracent leur filiation formelle à travers une progression ininterrompue et horodatée de recherches évaluées par les pairs, de tests en environnement de production et de divulgations publiques allant de 2015 à aujourd'hui.
Pour consulter l'historique public horodaté, les fondements évalués par les pairs et le développement historique du cadre, reportez-vous à Filiation et antériorité (Lineage.md).
L'OWASP Subtractive Hardening Top 10 est une famille de normes d'ingénierie de sécurité spécifiques à chaque plateforme, fonctionnant sous un ensemble commun de lois architecturales universelles.
Au fondement du cadre se trouve l'OWASP Universal Subtractive Security Laws Top 10, qui définit des principes de réduction des chemins d'attaque indépendants de la plateforme, applicables aux systèmes d'exploitation, aux plateformes cloud, aux systèmes d'identité, aux environnements SaaS, aux réseaux, aux dispositifs embarqués et aux futurs domaines technologiques.
Les normes spécifiques à chaque environnement fournissent des implémentations de référence de ces lois universelles au sein de piles technologiques particulières.
Le projet OWASP Subtractive Security Top 10 inclut des normes de gouvernance qui opérationnalisent la réduction des chemins d'attaque au sein des programmes de sécurité.
Ces normes fournissent des orientations pour gérer le risque là où les chemins d'attaque ne peuvent pas encore être éliminés, pour prioriser les travaux de remédiation en fonction de la réduction des capacités de l'attaquant, et pour gouverner les relations externes qui introduisent de nouveaux chemins d'attaque.
Normes de gouvernance publiées :
