owasp/owasp-subtractive-hardening-top-10OWASP Subtractive Security Top 10 프로젝트는 공격 경로 제거를 통해 사이버 위험을 줄일 수 있는 영향력이 가장 큰 기회를 식별, 문서화 및 홍보하기 위한 이니셔티브입니다.
# OWASP 감산 보안 Top 10 프로젝트
## 개요
OWASP 감산 보안 Top 10 프로젝트는 공격 경로의 제거를 통해 사이버 위험을 줄일 수 있는 가장 영향력이 큰 기회를 식별하고, 문서화하며, 촉진하기 위한 이니셔티브입니다.
주로 통제 수단을 추가하는 데 초점을 맞추는 전통적인 보안 지침과 달리, 감산 보안 Top 10은 공격자의 진행을 가능하게 하는 불필요한 공격 표면, 신뢰 관계, 프로토콜, 권한, 서비스 및 통신 경로의 제거를 강조합니다.
이 프로젝트는 가장 효과적인 보안 통제는 종종 공격 경로를 모니터링하거나 관리하려고 시도하는 것이 아니라 완전히 제거하는 것이라는 원칙에 기반을 두고 있습니다.
이 프로젝트의 장기 비전은 경로 소거율(PER) 표준을 통해 측정 가능한 결과로 뒷받침되는 공격 경로 제거를 기초적인 보안 엔지니어링 분야로 확립하는 것입니다.
## 지도 원칙
공격자는 존재하는 경로만 통과할 수 있습니다.
감산 보안의 목표는 공격자의 활동이 더 이상 실질적인 비즈니스 영향으로 이어질 수 없을 때까지 그러한 경로를 체계적으로 제거하거나 제약하는 것입니다.
<img width="1536" height="1024" alt="EraseRoads" src="https://github.com/user-attachments/assets/a6b1a1cd-d6cb-4c43-b081-7d32291e71c5" />
## 목적
이 프로젝트의 목적은 운영 체제, 클라우드 플랫폼, ID 시스템 및 엔터프라이즈 환경 전반에 걸쳐 일반적인 공격자 경로를 식별하고 제거하기 위한 실용적이고 증거 기반의 지침을 제공하는 것입니다.
각 Top 10은 운영 영향은 최소화하면서 위험을 불균형적으로 감소시키는 제거 효과를 가진 공격 경로에 초점을 맞춥니다.
이 프로젝트는 간단한 질문에 답하고자 합니다:
> 공격을 실질적으로 더 어렵게 또는 불가능하게 만들기 위해 무엇을 제거할 수 있는가?
## 경로 소거율 표준(PER 1.0)과의 관계
감산 보안 Top 10 프로젝트는 경로 소거율(PER) 엔지니어링 표준(https://github.com/cfrenz/Path-Erasure-Engine/blob/main/PER-1.0_Engineering_Specification.md) 및 경로 소거 우선순위 표준(https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/PathErasurePrecedence.md)과 정렬되어 있습니다.
PER은 공격자가 접근할 수 있는 공격 경로의 감소를 정량화하여 보안 개선의 효과를 측정하는 방법론을 제공합니다.
$$\text{PER} = \frac{|P_{\text{erased}}|}{|P_{\text{eligible}}|}$$
여기서 **$P_{\text{eligible}}$**는 범위 내에서 식별된 유효하고 실행 가능한 공격 경로를 나타내며, **$P_{\text{erased}}$**는 실행 가능한 엣지가 구조적으로 제거된 하위 집합을 나타냅니다.
PER은 감산 보안을 위한 정량적 측정 프레임워크 역할을 합니다.
감산 보안 Top 10은 제거가 공격자 역량의 의미 있는 감소를 가져올 것으로 예상되는 고가치 공격 경로를 식별하는 반면, PER은 그러한 감소를 검증하고 측정하기 위한 메커니즘을 제공합니다.
이 둘은 함께 공격 경로 발견, 우선순위 지정, 제거 및 측정을 위한 반복 가능한 엔지니어링 프로세스를 확립합니다.
- 공격 경로 식별
- 공격 경로 노출 측정
- 공격 경로 제거 또는 제약
- 결과적 감소 측정
- 보안 아키텍처 지속적 개선
PER을 계산하는 방법에 대한 참조 구현은 (https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/tree/main/PER)에서 확인할 수 있습니다.
## 효과성의 계층
이 프로젝트는 보안 통제가 동일한 수준의 위험 감소를 제공하지 않는다는 원칙에 기반을 두고 있습니다.
이 계층은 간단한 원칙을 반영합니다:
아키텍처적 삭제 > 아키텍처적 제약 > 모니터링
공격 경로를 제거할 수 있을 때는 언제나 제거가 선호됩니다. 제거가 불가능한 경우 경로를 제약해야 합니다. 모니터링은 제거하거나 충분히 제약할 수 없는 잔여 경로를 위해 예약됩니다.
감산 보안은 다음을 우선시합니다:
### 1. 아키텍처적 삭제
공격 경로를 완전히 제거한다.
예시:
- 레거시 프로토콜 제거
- 불필요한 권한 제거
- 공개 노출 제거
- 휴면 아이덴티티 제거
- 불필요한 신뢰 관계 제거
### 2. 아키텍처적 제약
제거할 수 없는 공격 경로를 제약한다.
예시:
- 세분화
- 권한 경계
- 조건부 액세스
- 프라이빗 엔드포인트
- 권한 제한
### 3. 모니터링 및 탐지
삭제하거나 제약할 수 없는 잔여 위험을 모니터링한다.
예시:
- 로깅
- 경보
- SIEM
- IDS/IPS
- 엔드포인트 탐지
이 계층 구조는 [Assumption Burden Principle](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/HierarchyOfEfficacy.md)에 설명된 대로 공격 경로의 제거가 일반적으로 그 사용을 탐지하는 것보다 더 효과적이라는 프로젝트의 신념을 반영한다.
## 출처 및 계보
Subtractive Hardening 프레임워크와 PER(Path Erasure Rate) 지표는 2015년부터 현재까지 이어지는 동료 검토 연구, 프로덕션 환경 테스트, 공개 공개의 끊김 없는 타임스탬프 기록을 통해 그 공식적 계보를 추적한다.
타임스탬프가 기록된 공개 기록, 동료 검토 기반, 프레임워크의 역사적 발전을 검토하려면 [**Lineage & Prior Art (Lineage.md)**](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/Lineage.md)를 참조하라.
# 프로젝트 구조
OWASP Subtractive Hardening Top 10은 공통된 보편적 아키텍처 법칙 아래 운영되는 플랫폼별 보안 엔지니어링 표준의 모음이다.
프레임워크의 기반에는 OWASP Universal Subtractive Security Laws Top 10이 있으며, 이는 운영 체제, 클라우드 플랫폼, 아이덴티티 시스템, SaaS 환경, 네트워크, 임베디드 디바이스 및 미래 기술 영역 전반에 적용 가능한 플랫폼 독립적 공격 경로 감소 원칙을 정의한다.
환경별 표준은 특정 기술 스택 내에서 이러한 보편적 법칙의 참조 구현을 제공한다.
## 보편적 기반
- ([Universal Subtractive Security Laws Top 10](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/UniversalSubtractiveLaws.md))
- ([Attack Paths as Failure Modes](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/AttackPathFailureModes.md))
- ([Architectural Kerckhoffs Test](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/ArchitecturalKerckhoffsTest.md))
## 거버넌스 표준
OWASP Subtractive Security Top 10 프로젝트에는 보안 프로그램 내에서 공격 경로 감소를 운영화하는 거버넌스 표준이 포함되어 있다.
이러한 표준은 아직 제거할 수 없는 공격 경로의 위험 관리, 공격자 역량 감소에 따른 교정 작업 우선순위 지정, 새로운 공격 경로를 도입하는 외부 관계의 거버넌스에 대한 지침을 제공한다.
게시된 거버넌스 표준:
- ([감산 예외 및 보안 부채 관리 표준](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/SubtractiveExceptionHandling.md))
- ([감산 취약점 및 경로 제거 관리 표준](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/SubtractiveVulnerabilityManagement.md))
- ([감산 제3자 위험 및 통합 거버넌스 표준](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/SubtractiveTPRM.md))
- ([감산 제어 검증 표준](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/SubtractiveControlValidation.md))
- ([감산 베이스라이닝 표준](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/SubtractiveBaselines.md))
- ([감산 집단 면역 표준](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/SubtractiveHerdImmunity.md))
- ([감산 경보 RCA 표준](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/SubtractiveAlertRCA.md))
- ([보안 벤더 평가](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/SecurityVendorAssessment.md))
- ([감산 위협 모델링](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/SubtractiveThreatModeling.md))
이 표준들을 종합하면 공격 경로 감소를 아키텍처 프레임워크에서 실용적인 보안 운영 모델로 전환할 수 있습니다.
## 게시된 플랫폼 표준
- ([Active Directory 감산 하드닝 Top 10](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/ActiveDirectorySubtractiveTop10.md))
- ([AI 감산 하드닝 Top 10](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/AISubtractiveTop10.md))
- ([애플리케이션 하드닝 Top 10](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/ApplicationSubtractiveTop10.md))
- ([AWS 감산 하드닝 Top 10](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/AWSSubtractiveTop10.md))
- ([CI/CD 파이프라인 감산 하드닝 Top 10](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/CICDPipelineSubtractiveTop10.md))
- ([데이터스토어 감산 하드닝 Top 10](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/DatastoreSubtractiveTop10.md))
- ([HPC 감산 하드닝 Top 10](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/HPCSubtractiveTop10.md))
- ([IoT 감산 하드닝 Top 10](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/IoTSubtractiveTop10.md))
- ([Linux 감산 하드닝 Top 10](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/LinuxSubtractiveTop10.md))
- ([macOS 감산 하드닝 Top 10](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/macOSSubtractiveTop10.md))
- ([Microsoft 365 감산 하드닝 Top 10](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/M365SubtractiveTop10.md))
- ([네트워크 감산 하드닝 Top 10](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/NetworkSubtractiveTop10.md))
- ([물리 보안 감산 하드닝 Top 10](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/PhysicalSubtractiveTop10.md))
- ([Salesforce 보안 감산 하드닝 Top 10](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/SalesforceSubtractiveTop10.md))
- ([Windows 감산 하드닝 Top 10](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/WindowsSubtractiveTop10.md))
## 계획 및 향후 표준
- ID 및 액세스 관리(IAM) 감산 하드닝 Top 10
- Azure 감산 하드닝 Top 10
- Google Cloud Platform(GCP) 감산 하드닝 Top 10
- 컨테이너 및 Kubernetes 감산 하드닝 Top 10
- 의료 기기 감산 하드닝 Top 10
- 새로운 아키텍처 영역이 등장함에 따른 추가 표준
## 보안 운영 모델
OWASP Subtractive Security Top 10 프로젝트는 단순한 하드닝 가이드 모음이 아니다.
이 프로젝트는 다음을 결합한다:
- 보편적 보안 법칙
- 경로 제거율(PER)
- 플랫폼 하드닝 표준
- 거버넌스 표준
이를 반복 가능한 보안 엔지니어링 운영 모델로 통합한다.
플랫폼 표준은 제거해야 할 공격 경로를 식별한다.
거버넌스 표준은 공격 경로의 우선순위를 정하는 방법, 잔여 경로를 관리하는 방법, 제3자 관계를 통제하는 방법을 결정한다.
이 표준들은 함께 측정 가능한 아키텍처 개선을 통해 공격 경로 가용성을 줄이기 위한 완전한 프레임워크를 제공한다.
## 아키텍처 관계
```text
Universal Security Laws
↓
Path Erasure Rate (PER)
↓
Platform Standards + Governance Standards
↓
Implementation Controls
↓
Measured Risk Reduction
```
각 플랫폼 표준은 동일한 기본 아키텍처 원칙을 적용합니다:
- 불필요한 도달 가능성 감소.
- 불필요한 신뢰 관계 감소.
- 자격 증명 노출 감소.
- 권한 전파 감소.
- 실행 가능한 공격 경로 감소.
- 제어 평면 노출 감소.
- 공격 표면 영역 감소.
- 결정론적 통신 강제.
- 잔여 공격 경로 제약.
- PER을 통한 구조적 개선 측정.
구현 세부 사항은 플랫폼마다 다르지만, 기본 아키텍처 법칙은 일관되게 유지됩니다.
이러한 표준은 병렬 도입과 계층적 배포를 위해 설계되었습니다. 함께 구성될 때 엔드포인트, 서버, ID, 클라우드, SaaS, 네트워크 및 임베디드 시스템 환경 전반에 걸쳐 엔터프라이즈 전체의 공격 경로 감소를 제공합니다.
## 스택 구성 및 병렬 도입
OWASP Subtractive Hardening Top 10 제품군은 조합 가능한 병렬 실행을 위해 설계되었습니다.
개별 Top 10 간행물은 단독으로 구현되도록 의도되지 않았습니다. 현대 엔터프라이즈 시스템은 여러 기술 계층으로 구성되며, 각 계층은 고유한 공격 경로, 신뢰 관계 및 공격자 진행 기회에 기여합니다.
엔터프라이즈 자산을 보호하려면 모든 관련 계층에 걸쳐 플랫폼별 감산 제어를 동시에 적용해야 합니다.
예시는 다음과 같습니다:
- AWS Subtractive Hardening + Linux Subtractive Hardening
- Active Directory Subtractive Hardening + Windows Subtractive Hardening
- Kubernetes Subtractive Hardening + Linux Subtractive Hardening
- SaaS Subtractive Hardening + Identity and Access Management Subtractive Hardening
- Azure Subtractive Hardening + Active Directory Subtractive Hardening
공격 경로는 아키텍처 경계를 존중하지 않습니다.
침해된 클라우드 워크로드는 운영 체제 공격 경로를 활용할 수 있습니다. 침해된 워크스테이션은 ID 공격 경로를 활용할 수 있습니다. 침해된 ID는 클라우드 제어 평면 공격 경로를 활용할 수 있습니다.
따라서 Subtractive Security는 기술 스택의 모든 적용 가능한 계층에 걸쳐 병렬 공격 경로 감소를 촉진합니다.
### 계층적 경로 소거를 통한 심층 방어
Subtractive Security는 감산 제어를 포함한 모든 제어가 잘못된 구성, 운영 드리프트, 불완전한 구현 또는 변화하는 비즈니스 요구 사항으로 인해 실패할 수 있음을 인식합니다. 따라서 Subtractive Security는 여러 아키텍처 계층에 걸친 공격 경로 제거를 강조함으로써 전통적인 심층 방어 개념을 확장합니다.
조직은 독립적인 모니터링 또는 예방 기술에만 의존하기보다는 스택 내에서 동일한 공격 경로가 나타나는 모든 위치에서 이를 제거, 감소 또는 제약하려고 노력해야 합니다.
예시는 다음과 같습니다:
- Linux 내 관리 신뢰를 감소시키는 동시에 네트워크 계층에서 측면 이동을 분할.
- 운영 체제 수준의 권한 상승 경로를 제거하는 동시에 클라우드 ID 신뢰 관계를 제한.
- 엔드포인트, 네트워크 및 클라우드 제어 평면 계층에서 이그레스 결정론을 강제.
이 접근 방식은 공격자가 극복해야 하는 여러 독립적으로 비전도성인 경계를 생성합니다. 그 결과는 계층적 탐지가 아닌 계층적 경로 소거를 통한 심층 방어입니다.
목표는 단순히 개별 구성 요소를 강화하는 것이 아닙니다.
목표는 시스템 전체의 총 공격 경로 전도성을 감소시키는 것입니다.
<img width="1536" height="1024" alt="Flammability" src="https://github.com/user-attachments/assets/18b9d839-fba6-4d5b-9ae4-c84ed4e8e07f" />
## 프로젝트 목표
- 공격 경로 제거를 주요 보안 전략으로 촉진.
- PER을 통한 측정 가능한 보안 개선 장려.
- 아키텍처 노출 감소를 위한 실행 가능한 지침 제공.
- 감산 보안 엔지니어링을 위한 공통 어휘 확립.
- 증거 기반 의사 결정을 통한 보안 성과 개선.
- 측정 가능한 위험 감소에 기반한 엔지니어링 분야로서 보안 발전.
## 범위
이 프로젝트는 공격자의 도달 가능성, 권한, 이동성 및 지속성 기회를 감소시키는 아키텍처 개선에 중점을 둡니다.
그래프 이론적 관점에서 이 프로젝트는 공격 그래프 내의 실행 가능한 엣지를 제거하거나 제약함으로써 적대자의 도달 가능성을 줄이는 데 초점을 맞춘다.
목표는 실질적인 비즈니스 영향으로 이어질 수 있는 경로의 수를 줄이는 것이다. 권고안은 인기도, 규정 준수 가치, 운영상의 가시성이 아니라 공격자 경로를 제거하거나 실질적으로 제약할 수 있는 잠재력을 기준으로 선택된다.
## 기여
OWASP Subtractive Security Top 10 프로젝트는 공격 경로 감소 방법론의 발전에 관심이 있는 보안 실무자, 연구자, 아키텍트, 클라우드 엔지니어, 플랫폼 엔지니어, 방어자들의 기여를 환영한다.
커뮤니티 피드백, 실증적 연구, 구현 경험, 그리고 제안된 공격 경로 제거 기법을 권장한다.
## 더 알아보기
- Path Erasure Rate (PER) Engineering Standard (https://github.com/cfrenz/Path-Erasure-Engine/blob/main/PER-1.0_Engineering_Specification.md)
- Evidence-Based Security (https://subtractivesecurity.substack.com/p/the-cyber-falsifiability-crisis-and)
- Subtractive Security Engineering Framework (https://subtractivesecurity.substack.com/p/the-law-of-subtractive-risk-moving)
- Subtractive Security Substack (https://subtractivesecurity.substack.com/)
---
*"보안 효과성은 공격 경로가 단순히 관찰될 때가 아니라 제거될 때 극대화된다."*
## 라이선스
이 프로젝트는 오픈 소스이며 [Apache License 2.0](https://www.apache.org/licenses/LICENSE-2.0)에 따라 배포된다. 모든 문서, 명세, 코드는 라이선스 조건에 따라 상업적 및 비상업적 목적으로 자유롭게 사용, 수정, 배포할 수 있다.
## 프로젝트 리더
- **Christopher Frenz** — 프로젝트 창립자 및 주요 저자