owasp/owasp-subtractive-hardening-top-10OWASP Subtractive Security Top 10 프로젝트는 공격 경로 제거를 통해 사이버 위험을 줄일 수 있는 영향력이 가장 큰 기회를 식별, 문서화 및 홍보하기 위한 이니셔티브입니다.
OWASP 감산 보안 Top 10 프로젝트는 공격 경로의 제거를 통해 사이버 위험을 줄일 수 있는 가장 영향력이 큰 기회를 식별하고, 문서화하며, 촉진하기 위한 이니셔티브입니다.
주로 통제 수단을 추가하는 데 초점을 맞추는 전통적인 보안 지침과 달리, 감산 보안 Top 10은 공격자의 진행을 가능하게 하는 불필요한 공격 표면, 신뢰 관계, 프로토콜, 권한, 서비스 및 통신 경로의 제거를 강조합니다.
이 프로젝트는 가장 효과적인 보안 통제는 종종 공격 경로를 모니터링하거나 관리하려고 시도하는 것이 아니라 완전히 제거하는 것이라는 원칙에 기반을 두고 있습니다.
이 프로젝트의 장기 비전은 경로 소거율(PER) 표준을 통해 측정 가능한 결과로 뒷받침되는 공격 경로 제거를 기초적인 보안 엔지니어링 분야로 확립하는 것입니다.
공격자는 존재하는 경로만 통과할 수 있습니다.
감산 보안의 목표는 공격자의 활동이 더 이상 실질적인 비즈니스 영향으로 이어질 수 없을 때까지 그러한 경로를 체계적으로 제거하거나 제약하는 것입니다.
이 프로젝트의 목적은 운영 체제, 클라우드 플랫폼, ID 시스템 및 엔터프라이즈 환경 전반에 걸쳐 일반적인 공격자 경로를 식별하고 제거하기 위한 실용적이고 증거 기반의 지침을 제공하는 것입니다.
각 Top 10은 운영 영향은 최소화하면서 위험을 불균형적으로 감소시키는 제거 효과를 가진 공격 경로에 초점을 맞춥니다.
이 프로젝트는 간단한 질문에 답하고자 합니다:
공격을 실질적으로 더 어렵게 또는 불가능하게 만들기 위해 무엇을 제거할 수 있는가?
감산 보안 Top 10 프로젝트는 경로 소거율(PER) 엔지니어링 표준(https://github.com/cfrenz/Path-Erasure-Engine/blob/main/PER-1.0_Engineering_Specification.md) 및 경로 소거 우선순위 표준(https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/PathErasurePrecedence.md)과 정렬되어 있습니다.
PER은 공격자가 접근할 수 있는 공격 경로의 감소를 정량화하여 보안 개선의 효과를 측정하는 방법론을 제공합니다.
$$\text{PER} = \frac{|P_{\text{erased}}|}{|P_{\text{eligible}}|}$$
여기서 **$P_{\text{eligible}}$**는 범위 내에서 식별된 유효하고 실행 가능한 공격 경로를 나타내며, **$P_{\text{erased}}$**는 실행 가능한 엣지가 구조적으로 제거된 하위 집합을 나타냅니다.
PER은 감산 보안을 위한 정량적 측정 프레임워크 역할을 합니다.
감산 보안 Top 10은 제거가 공격자 역량의 의미 있는 감소를 가져올 것으로 예상되는 고가치 공격 경로를 식별하는 반면, PER은 그러한 감소를 검증하고 측정하기 위한 메커니즘을 제공합니다.
이 둘은 함께 공격 경로 발견, 우선순위 지정, 제거 및 측정을 위한 반복 가능한 엔지니어링 프로세스를 확립합니다.
PER을 계산하는 방법에 대한 참조 구현은 (https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/tree/main/PER)에서 확인할 수 있습니다.
이 프로젝트는 보안 통제가 동일한 수준의 위험 감소를 제공하지 않는다는 원칙에 기반을 두고 있습니다.
이 계층은 간단한 원칙을 반영합니다:
아키텍처적 삭제 > 아키텍처적 제약 > 모니터링
공격 경로를 제거할 수 있을 때는 언제나 제거가 선호됩니다. 제거가 불가능한 경우 경로를 제약해야 합니다. 모니터링은 제거하거나 충분히 제약할 수 없는 잔여 경로를 위해 예약됩니다.
감산 보안은 다음을 우선시합니다:
공격 경로를 완전히 제거한다.
예시:
제거할 수 없는 공격 경로를 제약한다.
예시:
삭제하거나 제약할 수 없는 잔여 위험을 모니터링한다.
예시:
이 계층 구조는 Assumption Burden Principle에 설명된 대로 공격 경로의 제거가 일반적으로 그 사용을 탐지하는 것보다 더 효과적이라는 프로젝트의 신념을 반영한다.
Subtractive Hardening 프레임워크와 PER(Path Erasure Rate) 지표는 2015년부터 현재까지 이어지는 동료 검토 연구, 프로덕션 환경 테스트, 공개 공개의 끊김 없는 타임스탬프 기록을 통해 그 공식적 계보를 추적한다.
타임스탬프가 기록된 공개 기록, 동료 검토 기반, 프레임워크의 역사적 발전을 검토하려면 Lineage & Prior Art (Lineage.md)를 참조하라.
OWASP Subtractive Hardening Top 10은 공통된 보편적 아키텍처 법칙 아래 운영되는 플랫폼별 보안 엔지니어링 표준의 모음이다.
프레임워크의 기반에는 OWASP Universal Subtractive Security Laws Top 10이 있으며, 이는 운영 체제, 클라우드 플랫폼, 아이덴티티 시스템, SaaS 환경, 네트워크, 임베디드 디바이스 및 미래 기술 영역 전반에 적용 가능한 플랫폼 독립적 공격 경로 감소 원칙을 정의한다.
환경별 표준은 특정 기술 스택 내에서 이러한 보편적 법칙의 참조 구현을 제공한다.
OWASP Subtractive Security Top 10 프로젝트에는 보안 프로그램 내에서 공격 경로 감소를 운영화하는 거버넌스 표준이 포함되어 있다.
이러한 표준은 아직 제거할 수 없는 공격 경로의 위험 관리, 공격자 역량 감소에 따른 교정 작업 우선순위 지정, 새로운 공격 경로를 도입하는 외부 관계의 거버넌스에 대한 지침을 제공한다.
게시된 거버넌스 표준:
이 표준들을 종합하면 공격 경로 감소를 아키텍처 프레임워크에서 실용적인 보안 운영 모델로 전환할 수 있습니다.
OWASP Subtractive Security Top 10 프로젝트는 단순한 하드닝 가이드 모음이 아니다.
이 프로젝트는 다음을 결합한다:
이를 반복 가능한 보안 엔지니어링 운영 모델로 통합한다.
플랫폼 표준은 제거해야 할 공격 경로를 식별한다.
거버넌스 표준은 공격 경로의 우선순위를 정하는 방법, 잔여 경로를 관리하는 방법, 제3자 관계를 통제하는 방법을 결정한다.
이 표준들은 함께 측정 가능한 아키텍처 개선을 통해 공격 경로 가용성을 줄이기 위한 완전한 프레임워크를 제공한다.
Universal Security Laws
↓
Path Erasure Rate (PER)
↓
Platform Standards + Governance Standards
↓
Implementation Controls
↓
Measured Risk Reduction
각 플랫폼 표준은 동일한 기본 아키텍처 원칙을 적용합니다: