OWASP-Subtractive-Hardening-Top-10 — Updated!
O Projeto OWASP Subtractive Security Top 10 é uma iniciativa para identificar, documentar e promover as oportunidades de maior impacto para reduzir o risco cibernético por meio da eliminação de caminhos de ataque.
Projeto OWASP Subtractive Security Top 10
Visão Geral
O Projeto OWASP Subtractive Security Top 10 é uma iniciativa para identificar, documentar e promover as oportunidades de maior impacto para reduzir o risco cibernético por meio da eliminação de caminhos de ataque.
Diferentemente das orientações de segurança tradicionais, que se concentram principalmente na adição de controles, o Subtractive Security Top 10 enfatiza a remoção de superfície de ataque desnecessária, relações de confiança, protocolos, privilégios, serviços e caminhos de comunicação que possibilitam a progressão do adversário.
O projeto baseia-se no princípio de que o controle de segurança mais eficaz é, muitas vezes, a remoção completa de um caminho de ataque, em vez de tentar monitorá-lo ou gerenciá-lo.
A visão de longo prazo do projeto é estabelecer a eliminação de caminhos de ataque como uma disciplina fundamental de engenharia de segurança, apoiada por resultados mensuráveis por meio do padrão Path Erasure Rate (PER).
Princípio Orientador
Os atacantes só podem percorrer caminhos que existem.
O objetivo do Subtractive Security é eliminar ou restringir sistematicamente esses caminhos até que a atividade adversária não possa mais se compor em impacto material aos negócios.
Propósito
O propósito deste projeto é fornecer orientação prática e baseada em evidências para identificar e eliminar caminhos comuns de ataque em sistemas operacionais, plataformas de nuvem, sistemas de identidade e ambientes corporativos.
Cada Top 10 concentra-se em caminhos de ataque cuja remoção produz reduções desproporcionais de risco, minimizando o impacto operacional.
O projeto busca responder a uma pergunta simples:
O que pode ser removido para tornar um ataque materialmente mais difícil ou impossível?
Relação com o Padrão Path Erasure Rate (PER 1.0)
O Projeto Subtractive Security Top 10 está alinhado ao Padrão de Engenharia Path Erasure Rate (PER) (https://github.com/cfrenz/Path-Erasure-Engine/blob/main/PER-1.0_Engineering_Specification.md)
O PER fornece uma metodologia para medir a eficácia de melhorias de segurança ao quantificar a redução de caminhos de ataque acessíveis ao adversário.
$$\text{PER} = \frac{|P_{\text{erased}}|}{|P_{\text{eligible}}|}$$
Onde $P_{\text{eligible}}$ representa caminhos de ataque válidos e acionáveis identificados dentro do escopo, e $P_{\text{erased}}$ representa o subconjunto em que arestas executáveis foram estruturalmente removidas.
O PER serve como o framework de medição quantitativa para o Subtractive Security.
O Subtractive Security Top 10 identifica caminhos de ataque de alto valor cuja eliminação deve produzir reduções significativas na capacidade do adversário, enquanto o PER fornece o mecanismo para validar e medir essas reduções.
Juntos, eles estabelecem um processo de engenharia repetível para descoberta, priorização, eliminação e medição de caminhos de ataque.
- Identificar caminhos de ataque
- Medir a exposição de caminhos de ataque
- Remover ou restringir caminhos de ataque
- Medir a redução resultante
- Melhorar continuamente a arquitetura de segurança
Hierarquia de Eficácia
O projeto baseia-se no princípio de que os controles de segurança não oferecem níveis iguais de redução de risco.
A hierarquia reflete um princípio simples:
Exclusão Arquitetural > Restrição Arquitetural > Monitoramento
Sempre que um caminho de ataque puder ser eliminado, a eliminação é preferida. Se a eliminação não for viável, o caminho deve ser restringido. O monitoramento é reservado para caminhos residuais que não podem ser removidos ou suficientemente restringidos.
O Subtractive Security prioriza:
1. Exclusão Arquitetural
Remover caminhos de ataque por completo.
Exemplos:
- Remover protocolos legados
- Remover privilégios desnecessários
- Remover exposição pública
- Remover identidades inativas
- Remover relações de confiança desnecessárias
2. Restrição Arquitetural
Restringir caminhos de ataque que não podem ser eliminados.
Exemplos:
- Segmentação
- Limites de permissão
- Acesso condicional
- Endpoints privados
- Restrições de privilégio
3. Monitoramento e Detecção
Monitorar o risco residual que não pode ser excluído ou restringido.
Exemplos:
- Registro de logs
- Alertas
- SIEM
- IDS/IPS
- Detecção de endpoint
Essa hierarquia reflete a crença do projeto de que a eliminação de um caminho de ataque é geralmente mais eficaz do que detectar seu uso.
Estrutura do Projeto
O OWASP Subtractive Hardening Top 10 é uma família de padrões de engenharia de segurança específicos por plataforma, operando sob um conjunto comum de leis arquiteturais universais.
Na base do framework está o OWASP Universal Subtractive Security Laws Top 10, que define princípios de redução de caminhos de ataque independentes de plataforma, aplicáveis a sistemas operacionais, plataformas de nuvem, sistemas de identidade, ambientes SaaS, redes, dispositivos embarcados e futuros domínios tecnológicos.
Padrões específicos por ambiente fornecem implementações de referência dessas leis universais em pilhas tecnológicas específicas.
Fundação Universal
- Universal Subtractive Security Laws Top 10
Padrões de Plataforma Publicados
- Windows Subtractive Hardening Top 10
- Linux Subtractive Hardening Top 10
- Active Directory Subtractive Hardening Top 10
- AWS Subtractive Hardening Top 10
- Microsoft 365 Subtractive Hardening Top 10
- Network Subtractive Hardening Top 10
- IoT Subtractive Hardening Top 10
- macOS Subtractive Hardening Top 10
Padrões Planejados e Futuros
- Identity & Access Management (IAM) Subtractive Hardening Top 10
- Azure Subtractive Hardening Top 10
- Google Cloud Platform (GCP) Subtractive Hardening Top 10
- Container & Kubernetes Subtractive Hardening Top 10
- CI/CD & Software Supply Chain Subtractive Hardening Top 10
- AI & LLM Infrastructure Subtractive Hardening Top 10
- Medical Device Subtractive Hardening Top 10
- Padrões adicionais à medida que novos domínios arquiteturais surgirem
Relação Arquitetural
Universal Security Laws
↓
Path Erasure Rate (PER)
↓
Platform Standards
↓
Implementation Controls
Cada padrão de plataforma aplica os mesmos princípios arquiteturais subjacentes:
- Reduzir alcançabilidade desnecessária.
- Reduzir relações de confiança desnecessárias.
- Reduzir exposição de credenciais.
- Reduzir propagação de privilégios.
- Reduzir caminhos de ataque executáveis.
- Reduzir exposição do plano de controle.
- Reduzir a área de superfície de ataque.
- Aplicar comunicações determinísticas.
- Restringir caminhos de ataque residuais.
- Medir a melhoria estrutural por meio do PER.
Os detalhes de implementação variam por plataforma, mas as leis arquiteturais subjacentes permanecem consistentes.
Esses padrões são projetados para adoção paralela e implantação em camadas. Quando compostos em conjunto, fornecem redução de caminhos de ataque em toda a empresa, abrangendo ambientes de endpoint, servidor, identidade, nuvem, SaaS, rede e sistemas embarcados.
Composição de Pilha e Adoção Paralela
A família OWASP Subtractive Hardening Top 10 é projetada para execução componível e paralela.
Publicações individuais de Top 10 não devem ser implementadas isoladamente. Sistemas empresariais modernos são compostos por múltiplas camadas tecnológicas, cada uma contribuindo com caminhos de ataque únicos, relações de confiança e oportunidades para progressão do adversário.
Proteger um ativo empresarial exige a aplicação de controles subtrativos específicos por plataforma, simultaneamente, em todas as camadas relevantes.
Exemplos incluem:
- AWS Subtractive Hardening + Linux Subtractive Hardening
- Active Directory Subtractive Hardening + Windows Subtractive Hardening
- Kubernetes Subtractive Hardening + Linux Subtractive Hardening
- SaaS Subtractive Hardening + Identity and Access Management Subtractive Hardening
- Azure Subtractive Hardening + Active Directory Subtractive Hardening
Os caminhos de ataque não respeitam fronteiras arquiteturais.
Uma carga de trabalho em nuvem comprometida pode explorar caminhos de ataque do sistema operacional. Uma estação de trabalho comprometida pode explorar caminhos de ataque de identidade. Uma identidade comprometida pode explorar caminhos de ataque do plano de controle da nuvem.
O Subtractive Security, portanto, promove a redução paralela de caminhos de ataque em todas as camadas aplicáveis da pilha tecnológica.
Defesa em Profundidade por Meio de Apagamento de Caminhos em Camadas
O Subtractive Security reconhece que todos os controles, incluindo os subtrativos, podem falhar devido a configuração incorreta, desvio operacional, implementação incompleta ou mudanças nos requisitos de negócios. O Subtractive Security, portanto, estende o conceito tradicional de defesa em profundidade ao enfatizar a remoção de caminhos de ataque em múltiplas camadas arquiteturais.
Em vez de depender exclusivamente de tecnologias independentes de monitoramento ou prevenção, as organizações devem buscar eliminar, reduzir ou restringir o mesmo caminho de ataque onde quer que ele apareça na pilha.
Exemplos incluem:
- Reduzir a confiança administrativa no Linux enquanto segmenta simultaneamente o movimento lateral na camada de rede.
- Restringir relações de confiança de identidade na nuvem enquanto elimina caminhos de escalonamento de privilégios no nível do sistema operacional.
- Aplicar determinismo de egresso nas camadas de endpoint, rede e plano de controle da nuvem.
Essa abordagem cria múltiplas fronteiras independentemente não condutoras que os atacantes devem superar. O resultado é defesa em profundidade por meio de apagamento de caminhos em camadas, em vez de detecção em camadas.
O objetivo não é meramente endurecer componentes individuais.
O objetivo é reduzir a condutividade total de caminhos de ataque do sistema como um todo.
Metas do Projeto
- Promover a eliminação de caminhos de ataque como estratégia primária de segurança.
- Incentivar melhorias mensuráveis de segurança por meio do PER.
- Fornecer orientação acionável para reduzir a exposição arquitetural.
- Estabelecer um vocabulário comum para engenharia de segurança subtrativa.
- Melhorar os resultados de segurança por meio de tomada de decisão baseada em evidências.
- Avançar a segurança como disciplina de engenharia fundamentada na redução mensurável de risco.
Escopo
Este projeto concentra-se em melhorias arquiteturais que reduzem as oportunidades de alcançabilidade, privilégio, mobilidade e persistência do adversário.
De uma perspectiva de teoria dos grafos, o projeto concentra-se em reduzir a alcançabilidade do adversário ao eliminar ou restringir arestas executáveis dentro dos grafos de ataque.
O objetivo é reduzir o número de caminhos capazes de se compor em impacto material aos negócios. As recomendações são selecionadas com base em seu potencial de eliminar ou restringir materialmente os caminhos do atacante, e não em sua popularidade, valor de conformidade ou visibilidade operacional.
Contribuindo
O Projeto OWASP Subtractive Security Top 10 acolhe contribuições de profissionais de segurança, pesquisadores, arquitetos, engenheiros de nuvem, engenheiros de plataforma e defensores interessados em avançar metodologias de redução de caminhos de ataque.
Comentários da comunidade, pesquisa empírica, experiências de implementação e técnicas propostas de remoção de caminhos de ataque são incentivados.
Saiba Mais
- Path Erasure Rate (PER) Engineering Standard (https://github.com/cfrenz/Path-Erasure-Engine/blob/main/PER-1.0_Engineering_Specification.md)
- Evidence-Based Security (https://subtractivesecurity.substack.com/p/the-cyber-falsifiability-crisis-and)
- Subtractive Security Engineering Framework (https://subtractivesecurity.substack.com/p/the-law-of-subtractive-risk-moving)
"A eficácia da segurança é maximizada quando os caminhos de ataque são removidos, não meramente observados."
Licenciamento
Este projeto é open-source e lançado sob a Apache License 2.0. Toda a documentação, especificações e código são livres para uso, modificação e distribuição para fins comerciais e não comerciais, sob os termos da licença.
Líderes do Projeto
- Christopher Frenz — Fundador do Projeto e Autor Principal