OWASP-Subtractive-Hardening-Top-10

# OWASP 減算型セキュリティ Top 10 プロジェクト

![OWASP Project Level](https://img.shields.io/badge/OWASP-Incubator%20Project-blue)
![Standard](https://img.shields.io/badge/Specification-PER--1.0-orange)

## 概要

OWASP 減算型セキュリティ Top 10 プロジェクトは、攻撃経路の排除を通じてサイバーリスクを低減するための、最も影響の大きい機会を特定・文書化・推進する取り組みです。

主にコントロールの追加に焦点を当てる従来のセキュリティガイダンスとは異なり、減算型セキュリティ Top 10 は、攻撃者の進行を可能にする不要な攻撃対象領域、信頼関係、プロトコル、権限、サービス、および通信経路の除去を重視します。

本プロジェクトは、最も効果的なセキュリティコントロールとは、攻撃経路を監視・管理しようとするのではなく、しばしばその完全な除去であるという原則に基づいています。

本プロジェクトの長期的なビジョンは、Path Erasure Rate (PER) 標準を通じた測定可能な成果に支えられた、基盤的なセキュリティエンジニアリング分野として、攻撃経路の排除を確立することです。

## 基本原則

攻撃者は、存在する経路しか通過できません。

減算型セキュリティの目的は、攻撃者の活動が重大なビジネスインパクトへと構成され得なくなるまで、それらの経路を体系的に排除または制約することです。
<img width="1536" height="1024" alt="EraseRoads" src="https://github.com/user-attachments/assets/a6b1a1cd-d6cb-4c43-b081-7d32291e71c5" />

## 目的

本プロジェクトの目的は、オペレーティングシステム、クラウドプラットフォーム、アイデンティティシステム、およびエンタープライズ環境全体にわたる一般的な攻撃者経路を特定し排除するための、実践的かつ証拠に基づくガイダンスを提供することです。

各 Top 10 は、運用への影響を最小限に抑えつつ、除去によって不釣り合いなほど大きなリスク低減をもたらす攻撃経路に焦点を当てています。

本プロジェクトは、シンプルな問いに答えようとしています:

> 攻撃を実質的により困難または不可能にするために、何を除去できるか?

## Path Erasure Rate 標準 (PER 1.0) との関係

減算型セキュリティ Top 10 プロジェクトは、Path Erasure Rate (PER) エンジニアリング標準 (https://github.com/cfrenz/Path-Erasure-Engine/blob/main/PER-1.0_Engineering_Specification.md) および Path Erasure Precedence 標準 (https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/PathErasurePrecedence.md) と整合しています。

PER は、攻撃者がアクセス可能な攻撃経路の削減を定量化することにより、セキュリティ改善の有効性を測定する方法論を提供します。

$$\text{PER} = \frac{|P_{\text{erased}}|}{|P_{\text{eligible}}|}$$

ここで **$P_{\text{eligible}}$** はスコープ内で特定された有効かつ実行可能な攻撃経路を表し、**$P_{\text{erased}}$** は実行可能なエッジが構造的に除去された部分集合を表します。

PER は、減算型セキュリティの定量的な測定フレームワークとして機能します。

減算型セキュリティ Top 10 は、除去によって攻撃者能力の有意な低減をもたらすことが期待される高価値な攻撃経路を特定し、一方で PER はそれらの低減を検証・測定するためのメカニズムを提供します。

両者は相まって、攻撃経路の発見、優先順位付け、排除、および測定のための反復可能なエンジニアリングプロセスを確立します。

- 攻撃経路を特定する
- 攻撃経路の露出を測定する
- 攻撃経路を除去または制約する
- 結果として生じる低減を測定する
- セキュリティアーキテクチャを継続的に改善する

PER を計算する方法のリファレンス実装は (https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/tree/main/PER) で入手できます。

## 有効性の階層

本プロジェクトは、セキュリティコントロールが同等のレベルのリスク低減を提供するわけではないという原則に基づいています。

この階層は、シンプルな原則を反映しています:

アーキテクチャ上の削除 > アーキテクチャ上の制約 > 監視

攻撃経路を排除できる場合は常に、排除が優先されます。排除が実行不可能な場合は、経路を制約すべきです。監視は、除去も十分な制約もできない残存経路のために確保されます。

減算型セキュリティは以下を優先します:

### 1. アーキテクチャ上の削除
攻撃経路を完全に除去します。

例:
- レガシープロトコルの削除
- 不要な権限の削除
- パブリック露出の削除
- 休眠状態のIDの削除
- 不要な信頼関係の削除

### 2. アーキテクチャ上の制約
排除できない攻撃経路を制約します。

例:
- セグメンテーション
- 権限境界
- 条件付きアクセス
- プライベートエンドポイント
- 権限の制限

### 3. 監視と検出
削除も制約もできない残余リスクを監視します。

例:
- ログ記録
- アラート通知
- SIEM
- IDS/IPS
- エンドポイント検出

この階層は、[Assumption Burden Principle](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/HierarchyOfEfficacy.md)で述べられているように、攻撃経路の利用を検出するよりも攻撃経路を排除する方が一般に効果的であるという、本プロジェクトの信念を反映しています。

## 来歴と系譜

Subtractive HardeningフレームワークとPath Erasure Rate (PER)メトリクスは、2015年から現在に至るまで、査読済み研究、本番環境でのテスト、および公開開示が途切れることなくタイムスタンプ付きで積み重ねられてきた系譜を持っています。

タイムスタンプ付きの公開記録、査読済みの基盤、およびフレームワークの歴史的発展を確認するには、[**Lineage & Prior Art (Lineage.md)**](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/Lineage.md)を参照してください。

# プロジェクト構成

OWASP Subtractive Hardening Top 10は、共通の普遍的なアーキテクチャ法則の下で運用される、プラットフォーム固有のセキュリティエンジニアリング標準のファミリーです。

フレームワークの基盤となるのはOWASP Universal Subtractive Security Laws Top 10であり、オペレーティングシステム、クラウドプラットフォーム、IDシステム、SaaS環境、ネットワーク、組み込みデバイス、および将来の技術領域にわたって適用可能な、プラットフォーム非依存の攻撃経路削減原則を定義しています。

環境固有の標準は、特定の技術スタック内におけるこれらの普遍的法則のリファレンス実装を提供します。

## 普遍的な基盤

- ([Universal Subtractive Security Laws Top 10](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/UniversalSubtractiveLaws.md))
- ([Attack Paths as Failure Modes](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/AttackPathFailureModes.md))
- ([Architectural Kerckhoffs Test](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/ArchitecturalKerckhoffsTest.md))

## ガバナンス標準

OWASP Subtractive Security Top 10プロジェクトには、セキュリティプログラム内で攻撃経路削減を運用化するガバナンス標準が含まれています。

これらの標準は、攻撃経路をまだ排除できない場合のリスク管理、攻撃者の能力削減に応じた修復作業の優先順位付け、および新たな攻撃経路を生み出す外部関係のガバナンスに関するガイダンスを提供します。

公開されているガバナンス標準:

- ([Subtractive Exception & Security Debt Management Standard](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/SubtractiveExceptionHandling.md))
- ([Subtractive Vulnerability & Path Erasure Management Standard](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/SubtractiveVulnerabilityManagement.md))
- ([Subtractive Third-Party Risk & Integration Governance Standard](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/SubtractiveTPRM.md))
- ([Subtractive Control Validation Standard](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/SubtractiveControlValidation.md))
- ([Subtractive Baselining Standard](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/SubtractiveBaselines.md))
- ([Subtractive Herd Immunity Standard](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/SubtractiveHerdImmunity.md))
- ([Subtractive Alert RCA Standard](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/SubtractiveAlertRCA.md))
- ([Security Vendor Assessment](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/SecurityVendorAssessment.md))
- ([Subtractive Threat Modeling](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/SubtractiveThreatModeling.md))

これらの標準は相まって、攻撃経路の削減をアーキテクチャの枠組みから実践的なセキュリティ運用モデルへと変革します。

## 公開済みのプラットフォーム標準

- ([Active Directory Subtractive Hardening Top 10](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/ActiveDirectorySubtractiveTop10.md))
- ([AI Subtractive Hardening Top 10](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/AISubtractiveTop10.md))
- ([Application Hardening Top 10](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/ApplicationSubtractiveTop10.md))
- ([AWS Subtractive Hardening Top 10](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/AWSSubtractiveTop10.md))
- ([CI/CD Pipeline Subtractive Hardening Top 10](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/CICDPipelineSubtractiveTop10.md))
- ([Datastore Subtractive Hardening Top 10](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/DatastoreSubtractiveTop10.md))
- ([HPC Subtractive Hardening Top 10](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/HPCSubtractiveTop10.md))
- ([IoT Subtractive Hardening Top 10](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/IoTSubtractiveTop10.md))
- ([Linux Subtractive Hardening Top 10](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/LinuxSubtractiveTop10.md))
- ([macOS Subtractive Hardening Top 10](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/macOSSubtractiveTop10.md))
- ([Microsoft 365 Subtractive Hardening Top 10](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/M365SubtractiveTop10.md))
- ([Network Subtractive Hardening Top 10](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/NetworkSubtractiveTop10.md))
- ([Physical Security Subtractive Hardening Top 10](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/PhysicalSubtractiveTop10.md))
- ([Salesforce Security Subtractive Hardening Top 10](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/SalesforceSubtractiveTop10.md))
- ([Windows Subtractive Hardening Top 10](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/WindowsSubtractiveTop10.md))

## 計画中および将来の標準

- Identity & Access Management (IAM) Subtractive Hardening Top 10
- Azure Subtractive Hardening Top 10
- Google Cloud Platform (GCP) Subtractive Hardening Top 10
- Container & Kubernetes Subtractive Hardening Top 10
- Medical Device Subtractive Hardening Top 10
- 新たなアーキテクチャ領域の出現に応じた追加標準

## セキュリティ運用モデル

OWASP Subtractive Security Top 10 Projectは、単なるハードニングガイドの集合体ではありません。

このプロジェクトは以下を組み合わせています：

- Universal Security Laws
- Path Erasure Rate（PER）
- Platform Hardening Standards
- Governance Standards

これらを再現可能なセキュリティエンジニアリングの運用モデルへと統合します。

プラットフォーム標準は、除去すべき攻撃パスを特定します。

ガバナンス標準は、攻撃パスの優先順位付け方法、残留パスの管理方法、およびサードパーティ関係の統治方法を定めます。

これらの標準は一体となって、測定可能なアーキテクチャ改善を通じて攻撃パスの可用性を低減するための完全なフレームワークを提供します。

## アーキテクチャ上の関係

```text
Universal Security Laws
        ↓
Path Erasure Rate (PER)
        ↓
Platform Standards + Governance Standards
        ↓
Implementation Controls
        ↓
Measured Risk Reduction
```

各プラットフォーム標準は、同じ基盤となるアーキテクチャ原則を適用しています：

- 不要な到達可能性を削減する。
- 不要な信頼関係を削減する。
- 認証情報の露出を削減する。
- 特権の伝播を削減する。
- 実行可能な攻撃パスを削減する。
- コントロールプレーンの露出を削減する。
- 攻撃対象領域を削減する。
- 決定論的な通信を強制する。
- 残存する攻撃パスを制約する。
- PERを通じて構造的改善を測定する。

実装の詳細はプラットフォームによって異なりますが、基盤となるアーキテクチャの法則は一貫しています。

これらの標準は、並行導入と階層的な展開を想定して設計されています。組み合わせて適用することで、エンドポイント、サーバー、アイデンティティ、クラウド、SaaS、ネットワーク、および組み込みシステム環境にわたるエンタープライズ全体の攻撃パス削減を実現します。

## スタックの構成と並行導入

OWASP Subtractive Hardening Top 10ファミリーは、組み合わせ可能な並行実行を想定して設計されています。

個々のTop 10出版物は、単独で実装することを意図したものではありません。現代のエンタープライズシステムは複数の技術レイヤーで構成されており、それぞれが独自の攻撃パス、信頼関係、および攻撃者の進行機会をもたらします。

エンタープライズ資産を保護するには、関連するすべてのレイヤーにわたってプラットフォーム固有のサブトラクティブ制御を同時に適用する必要があります。

例としては、以下のようなものがあります：

- AWS Subtractive Hardening + Linux Subtractive Hardening
- Active Directory Subtractive Hardening + Windows Subtractive Hardening
- Kubernetes Subtractive Hardening + Linux Subtractive Hardening
- SaaS Subtractive Hardening + Identity and Access Management Subtractive Hardening
- Azure Subtractive Hardening + Active Directory Subtractive Hardening

攻撃パスはアーキテクチャの境界を尊重しません。

侵害されたクラウドワークロードがオペレーティングシステムの攻撃パスを利用する可能性があります。侵害されたワークステーションがアイデンティティの攻撃パスを利用する可能性があります。侵害されたアイデンティティがクラウドコントロールプレーンの攻撃パスを利用する可能性があります。

したがって、Subtractive Securityは、技術スタックの該当するすべてのレイヤーにわたる並行した攻撃パス削減を推進します。

### 階層的なパス消去による多層防御

Subtractive Securityは、サブトラクティブ制御を含むすべての制御が、設定ミス、運用上のドリフト、不完全な実装、またはビジネス要件の変化によって失敗する可能性があることを認識しています。そのため、Subtractive Securityは、複数のアーキテクチャレイヤーにわたる攻撃パスの除去を重視することで、多層防御の伝統的な概念を拡張します。

組織は、独立した監視技術や防止技術だけに依存するのではなく、スタック内のどこに現れても同じ攻撃パスを排除、削減、または制約することを目指すべきです。

例としては、以下のようなものがあります：

- Linux内の管理上の信頼を削減しつつ、同時にネットワークレイヤーで横方向の移動をセグメント化する。
- クラウドアイデンティティの信頼関係を制限しつつ、オペレーティングシステムレベルの特権昇格パスを排除する。
- エンドポイント、ネットワーク、およびクラウドコントロールプレーンの各レイヤーでエグレス決定論を強制する。

このアプローチにより、攻撃者が克服しなければならない、独立して非導電性の境界が複数作成されます。その結果は、階層的な検出ではなく、階層的なパス消去による多層防御となります。

目的は、単に個々のコンポーネントを強化することではありません。

目的は、システム全体の総攻撃パス導電性を削減することです。
<img width="1536" height="1024" alt="Flammability" src="https://github.com/user-attachments/assets/18b9d839-fba6-4d5b-9ae4-c84ed4e8e07f" />

## プロジェクトの目標

- 攻撃パスの排除を主要なセキュリティ戦略として推進する。
- PERを通じて測定可能なセキュリティ改善を促進する。
- アーキテクチャ上の露出を削減するための実行可能なガイダンスを提供する。
- サブトラクティブセキュリティエンジニアリングの共通語彙を確立する。
- 証拠に基づく意思決定を通じてセキュリティ成果を改善する。
- 測定可能なリスク削減に基づくエンジニアリング分野としてのセキュリティを発展させる。

## スコープ

本プロジェクトは、攻撃者の到達可能性、特権、移動性、および永続化の機会を削減するアーキテクチャ上の改善に焦点を当てています。

グラフ理論の観点から、本プロジェクトは攻撃グラフ内の実行可能なエッジを排除または制約することにより、攻撃者の到達可能性を低減することに焦点を当てています。

目的は、重大なビジネスインパクトを構成し得るパスの数を削減することです。推奨事項は、その人気、コンプライアンス上の価値、または運用上の可視性ではなく、攻撃者のパスを排除または実質的に制約する可能性に基づいて選択されます。


## コントリビューション

OWASP Subtractive Security Top 10 Projectは、攻撃パス削減手法の推進に関心を持つセキュリティ実務者、研究者、アーキテクト、クラウドエンジニア、プラットフォームエンジニア、および防御者からのコントリビューションを歓迎します。

コミュニティからのフィードバック、実証研究、実装経験、および提案された攻撃パス除去手法を歓迎します。

## 詳細情報

- Path Erasure Rate (PER) Engineering Standard (https://github.com/cfrenz/Path-Erasure-Engine/blob/main/PER-1.0_Engineering_Specification.md)
- Evidence-Based Security (https://subtractivesecurity.substack.com/p/the-cyber-falsifiability-crisis-and)
- Subtractive Security Engineering Framework (https://subtractivesecurity.substack.com/p/the-law-of-subtractive-risk-moving)
- Subtractive Security Substack (https://subtractivesecurity.substack.com/) 

---

*「セキュリティの有効性は、攻撃パスが単に観測されるのではなく、除去されたときに最大化される。」*

## ライセンス

本プロジェクトはオープンソースであり、[Apache License 2.0](https://www.apache.org/licenses/LICENSE-2.0)の下で公開されています。すべてのドキュメント、仕様、およびコードは、ライセンスの条件の下で、商用および非商用目的で自由に使用、変更、配布することができます。

## プロジェクトリーダー

- **Christopher Frenz** — プロジェクト創設者兼主執筆者