owasp/owasp-subtractive-hardening-top-10Il progetto OWASP Subtractive Security Top 10 è un'iniziativa volta a identificare, documentare e promuovere le opportunità a più alto impatto per ridurre il rischio informatico attraverso l'eliminazione dei percorsi di attacco.
Il Progetto OWASP Subtractive Security Top 10 è un'iniziativa volta a identificare, documentare e promuovere le opportunità a maggiore impatto per ridurre il rischio informatico attraverso l'eliminazione dei percorsi di attacco.
A differenza delle tradizionali linee guida di sicurezza che si concentrano principalmente sull'aggiunta di controlli, il Subtractive Security Top 10 enfatizza la rimozione della superficie di attacco non necessaria, delle relazioni di fiducia, dei protocolli, dei privilegi, dei servizi e dei percorsi di comunicazione che consentono l'avanzamento dell'avversario.
Il progetto si fonda sul principio che il controllo di sicurezza più efficace è spesso la completa rimozione di un percorso di attacco, piuttosto che tentare di monitorarlo o gestirlo.
La visione a lungo termine del progetto è quella di stabilire l'eliminazione dei percorsi di attacco come disciplina fondamentale di ingegneria della sicurezza, supportata da risultati misurabili attraverso lo standard Path Erasure Rate (PER).
Gli attaccanti possono percorrere solo i percorsi che esistono.
L'obiettivo della Subtractive Security è eliminare o limitare sistematicamente tali percorsi finché l'attività dell'avversario non può più comporsi in un impatto materiale sul business.
Lo scopo di questo progetto è fornire una guida pratica e basata sull'evidenza per identificare ed eliminare i percorsi di attacco comuni attraverso sistemi operativi, piattaforme cloud, sistemi di identità e ambienti aziendali.
Ciascun Top 10 si concentra sui percorsi di attacco la cui rimozione produce riduzioni sproporzionate del rischio, minimizzando al contempo l'impatto operativo.
Il progetto cerca di rispondere a una semplice domanda:
Cosa può essere rimosso per rendere un attacco materialmente più difficile o impossibile?
Il Progetto Subtractive Security Top 10 è allineato con lo Standard di Ingegneria Path Erasure Rate (PER) (https://github.com/cfrenz/Path-Erasure-Engine/blob/main/PER-1.0_Engineering_Specification.md)
PER fornisce una metodologia per misurare l'efficacia dei miglioramenti di sicurezza quantificando la riduzione dei percorsi di attacco accessibili all'avversario.
$$\text{PER} = \frac{|P_{\text{erased}}|}{|P_{\text{eligible}}|}$$
Dove $P_{\text{eligible}}$ rappresenta i percorsi di attacco validi e attuabili identificati nell'ambito, e $P_{\text{erased}}$ rappresenta il sottoinsieme in cui gli archi eseguibili sono stati rimossi strutturalmente.
PER funge da framework di misurazione quantitativa per la Subtractive Security.
Il Subtractive Security Top 10 identifica i percorsi di attacco ad alto valore la cui eliminazione dovrebbe produrre riduzioni significative della capacità dell'avversario, mentre PER fornisce il meccanismo per validare e misurare tali riduzioni.
Insieme stabiliscono un processo di ingegneria ripetibile per la scoperta, la prioritizzazione, l'eliminazione e la misurazione dei percorsi di attacco.
Il progetto si basa sul principio che i controlli di sicurezza non forniscono livelli uguali di riduzione del rischio.
La gerarchia riflette un semplice principio:
Cancellazione Architetturale > Limitazione Architetturale > Monitoraggio
Ogni volta che un percorso di attacco può essere eliminato, l'eliminazione è preferibile. Se l'eliminazione non è fattibile, il percorso dovrebbe essere limitato. Il monitoraggio è riservato ai percorsi residui che non possono essere rimossi o sufficientemente limitati.
La Subtractive Security dà priorità a:
Rimuovere completamente i percorsi di attacco.
Esempi:
Limitare i percorsi di attacco che non possono essere eliminati.
Esempi:
Monitorare il rischio residuo che non può essere cancellato o limitato.
Esempi:
Questa gerarchia riflette la convinzione del progetto che l'eliminazione di un percorso di attacco sia generalmente più efficace del rilevarne l'uso, come descritto nel Principio dell'Onere dell'Assunzione.
L'OWASP Subtractive Hardening Top 10 è una famiglia di standard di ingegneria della sicurezza specifici per piattaforma che operano sotto un insieme comune di leggi architetturali universali.
Alla base del framework vi è l'OWASP Universal Subtractive Security Laws Top 10, che definisce principi di riduzione dei percorsi di attacco indipendenti dalla piattaforma, applicabili a sistemi operativi, piattaforme cloud, sistemi di identità, ambienti SaaS, reti, dispositivi embedded e futuri domini tecnologici.
Gli standard specifici per ambiente forniscono implementazioni di riferimento di queste leggi universali all'interno di particolari stack tecnologici.
Il Progetto OWASP Subtractive Security Top 10 include standard di governance che rendono operativa la riduzione dei percorsi di attacco all'interno dei programmi di sicurezza.
Questi standard forniscono una guida per gestire il rischio laddove i percorsi di attacco non possono ancora essere eliminati, per prioritizzare il lavoro di remediation in base alla riduzione della capacità dell'attaccante e per governare le relazioni esterne che introducono nuovi percorsi di attacco.
Standard di Governance Pubblicati:
