owasp/owasp-subtractive-hardening-top-10O Projeto OWASP Subtractive Security Top 10 é uma iniciativa para identificar, documentar e promover as oportunidades de maior impacto para reduzir o risco cibernético por meio da eliminação de caminhos de ataque.
# Projeto OWASP Subtractive Security Top 10
## Visão Geral
O Projeto OWASP Subtractive Security Top 10 é uma iniciativa para identificar, documentar e promover as oportunidades de maior impacto para reduzir o risco cibernético por meio da eliminação de caminhos de ataque.
Diferentemente das orientações de segurança tradicionais, que se concentram principalmente na adição de controles, o Subtractive Security Top 10 enfatiza a remoção de superfície de ataque desnecessária, relações de confiança, protocolos, privilégios, serviços e caminhos de comunicação que possibilitam a progressão do adversário.
O projeto fundamenta-se no princípio de que o controle de segurança mais eficaz costuma ser a remoção completa de um caminho de ataque, em vez de tentar monitorá-lo ou gerenciá-lo.
A visão de longo prazo do projeto é estabelecer a eliminação de caminhos de ataque como uma disciplina fundamental de engenharia de segurança, apoiada por resultados mensuráveis por meio do padrão Path Erasure Rate (PER).
## Princípio Orientador
Os atacantes só conseguem percorrer caminhos que existem.
O objetivo do Subtractive Security é eliminar ou restringir sistematicamente esses caminhos até que a atividade do adversário não possa mais se converter em impacto material para o negócio.
<img width="1536" height="1024" alt="EraseRoads" src="https://github.com/user-attachments/assets/a6b1a1cd-d6cb-4c43-b081-7d32291e71c5" />
## Propósito
O propósito deste projeto é fornecer orientações práticas e baseadas em evidências para identificar e eliminar caminhos de ataque comuns em sistemas operacionais, plataformas de nuvem, sistemas de identidade e ambientes corporativos.
Cada Top 10 concentra-se em caminhos de ataque cuja remoção produz reduções desproporcionais de risco, minimizando o impacto operacional.
O projeto busca responder a uma pergunta simples:
> O que pode ser removido para tornar um ataque materialmente mais difícil ou impossível?
## Relação com o Padrão Path Erasure Rate (PER 1.0)
O Projeto Subtractive Security Top 10 está alinhado com o Path Erasure Rate (PER) Engineering Standard (https://github.com/cfrenz/Path-Erasure-Engine/blob/main/PER-1.0_Engineering_Specification.md) e com o Path Erasure Precedence Standard (https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/PathErasurePrecedence.md)
O PER fornece uma metodologia para medir a eficácia das melhorias de segurança, quantificando a redução dos caminhos de ataque acessíveis ao adversário.
$$\text{PER} = \frac{|P_{\text{erased}}|}{|P_{\text{eligible}}|}$$
Onde **$P_{\text{eligible}}$** representa caminhos de ataque válidos e acionáveis identificados dentro do escopo, e **$P_{\text{erased}}$** representa o subconjunto em que as arestas executáveis foram estruturalmente removidas.
O PER serve como estrutura de medição quantitativa para o Subtractive Security.
O Subtractive Security Top 10 identifica caminhos de ataque de alto valor cuja eliminação deve produzir reduções significativas na capacidade do adversário, enquanto o PER fornece o mecanismo para validar e medir essas reduções.
Juntos, eles estabelecem um processo de engenharia repetível para descoberta, priorização, eliminação e medição de caminhos de ataque.
- Identificar caminhos de ataque
- Medir a exposição dos caminhos de ataque
- Remover ou restringir caminhos de ataque
- Medir a redução resultante
- Melhorar continuamente a arquitetura de segurança
Uma implementação de referência de como calcular o PER está disponível em (https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/tree/main/PER).
## Hierarquia de Eficácia
O projeto baseia-se no princípio de que os controles de segurança não proporcionam níveis iguais de redução de risco.
A hierarquia reflete um princípio simples:
Exclusão Arquitetural > Restrição Arquitetural > Monitoramento
Sempre que um caminho de ataque puder ser eliminado, a eliminação é preferível. Se a eliminação não for viável, o caminho deve ser restringido. O monitoramento é reservado para caminhos residuais que não podem ser removidos ou suficientemente restringidos.
O Subtractive Security prioriza:
### 1. Eliminação Arquitetural
Remova os caminhos de ataque por completo.
Exemplos:
- Remover protocolos legados
- Remover privilégios desnecessários
- Remover exposição pública
- Remover identidades inativas
- Remover relações de confiança desnecessárias
### 2. Restrição Arquitetural
Restrinja os caminhos de ataque que não podem ser eliminados.
Exemplos:
- Segmentação
- Limites de permissão
- Acesso condicional
- Endpoints privados
- Restrições de privilégios
### 3. Monitoramento e Detecção
Monitore o risco residual que não pode ser eliminado ou restringido.
Exemplos:
- Registro de logs
- Alertas
- SIEM
- IDS/IPS
- Detecção de endpoint
Essa hierarquia reflete a convicção do projeto de que a eliminação de um caminho de ataque é geralmente mais eficaz do que detectar seu uso, conforme descrito no [Assumption Burden Principle](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/HierarchyOfEfficacy.md).
## Proveniência e Linhagem
O framework Subtractive Hardening e a métrica Path Erasure Rate (PER) traçam sua linhagem formal por meio de uma progressão ininterrupta e com registro temporal de pesquisas revisadas por pares, testes em ambientes de produção e divulgações públicas que datam de 2015 até o presente.
Para revisar o registro público com registro temporal, os fundamentos revisados por pares e o desenvolvimento histórico do framework, consulte [**Lineage & Prior Art (Lineage.md)**](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/Lineage.md).
# Estrutura do Projeto
O OWASP Subtractive Hardening Top 10 é uma família de padrões de engenharia de segurança específicos de plataforma que operam sob um conjunto comum de leis arquiteturais universais.
Na base do framework está o OWASP Universal Subtractive Security Laws Top 10, que define princípios de redução de caminhos de ataque independentes de plataforma, aplicáveis a sistemas operacionais, plataformas de nuvem, sistemas de identidade, ambientes SaaS, redes, dispositivos embarcados e domínios tecnológicos futuros.
Os padrões específicos de ambiente fornecem implementações de referência dessas leis universais dentro de stacks tecnológicos específicos.
## Fundação Universal
- ([Universal Subtractive Security Laws Top 10](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/UniversalSubtractiveLaws.md))
- ([Attack Paths as Failure Modes](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/AttackPathFailureModes.md))
- ([Architectural Kerckhoffs Test](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/ArchitecturalKerckhoffsTest.md))
## Padrões de Governança
O OWASP Subtractive Security Top 10 Project inclui padrões de governança que operacionalizam a redução de caminhos de ataque dentro dos programas de segurança.
Esses padrões fornecem orientação para gerenciar riscos onde os caminhos de ataque ainda não podem ser eliminados, priorizar o trabalho de remediação de acordo com a redução da capacidade do atacante e governar relacionamentos externos que introduzem novos caminhos de ataque.
Padrões de Governança Publicados:
- ([Subtractive Exception & Security Debt Management Standard](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/SubtractiveExceptionHandling.md))
- ([Subtractive Vulnerability & Path Erasure Management Standard](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/SubtractiveVulnerabilityManagement.md))
- ([Subtractive Third-Party Risk & Integration Governance Standard](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/SubtractiveTPRM.md))
- ([Subtractive Control Validation Standard](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/SubtractiveControlValidation.md))
- ([Subtractive Baselining Standard](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/SubtractiveBaselines.md))
- ([Subtractive Herd Immunity Standard](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/SubtractiveHerdImmunity.md))
- ([Subtractive Alert RCA Standard](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/SubtractiveAlertRCA.md))
- ([Security Vendor Assessment](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/SecurityVendorAssessment.md))
- ([Subtractive Threat Modeling](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/SubtractiveThreatModeling.md))
Juntos, esses padrões transformam a redução de caminhos de ataque de uma estrutura arquitetural em um modelo operacional de segurança prático.
## Padrões de Plataforma Publicados
- ([Active Directory Subtractive Hardening Top 10](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/ActiveDirectorySubtractiveTop10.md))
- ([AI Subtractive Hardening Top 10](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/AISubtractiveTop10.md))
- ([Application Hardening Top 10](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/ApplicationSubtractiveTop10.md))
- ([AWS Subtractive Hardening Top 10](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/AWSSubtractiveTop10.md))
- ([CI/CD Pipeline Subtractive Hardening Top 10](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/CICDPipelineSubtractiveTop10.md))
- ([Datastore Subtractive Hardening Top 10](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/DatastoreSubtractiveTop10.md))
- ([HPC Subtractive Hardening Top 10](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/HPCSubtractiveTop10.md))
- ([IoT Subtractive Hardening Top 10](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/IoTSubtractiveTop10.md))
- ([Linux Subtractive Hardening Top 10](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/LinuxSubtractiveTop10.md))
- ([macOS Subtractive Hardening Top 10](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/macOSSubtractiveTop10.md))
- ([Microsoft 365 Subtractive Hardening Top 10](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/M365SubtractiveTop10.md))
- ([Network Subtractive Hardening Top 10](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/NetworkSubtractiveTop10.md))
- ([Physical Security Subtractive Hardening Top 10](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/PhysicalSubtractiveTop10.md))
- ([Salesforce Security Subtractive Hardening Top 10](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/SalesforceSubtractiveTop10.md))
- ([Windows Subtractive Hardening Top 10](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/WindowsSubtractiveTop10.md))
## Padrões Planejados e Futuros
- Identity & Access Management (IAM) Subtractive Hardening Top 10
- Azure Subtractive Hardening Top 10
- Google Cloud Platform (GCP) Subtractive Hardening Top 10
- Container & Kubernetes Subtractive Hardening Top 10
- Medical Device Subtractive Hardening Top 10
- Padrões adicionais à medida que novos domínios arquiteturais surgirem
## Modelo Operacional de Segurança
O Projeto OWASP Subtractive Security Top 10 é mais do que uma coleção de guias de hardening.
O projeto combina:
- Leis Universais de Segurança
- Path Erasure Rate (PER)
- Padrões de Hardening de Plataforma
- Padrões de Governança
em um modelo operacional de engenharia de segurança repetível.
Os padrões de plataforma identificam caminhos de ataque que devem ser removidos.
Os padrões de governança determinam como os caminhos de ataque são priorizados, como os caminhos residuais são gerenciados e como os relacionamentos com terceiros são governados.
Juntos, esses padrões fornecem uma estrutura completa para reduzir a disponibilidade de caminhos de ataque por meio de melhoria arquitetural mensurável.
## Relacionamento Arquitetural
```text
Universal Security Laws
↓
Path Erasure Rate (PER)
↓
Platform Standards + Governance Standards
↓
Implementation Controls
↓
Measured Risk Reduction
```
Cada padrão de plataforma aplica os mesmos princípios arquiteturais subjacentes:
- Reduzir a alcançabilidade desnecessária.
- Reduzir relações de confiança desnecessárias.
- Reduzir a exposição de credenciais.
- Reduzir a propagação de privilégios.
- Reduzir caminhos de ataque executáveis.
- Reduzir a exposição do plano de controle.
- Reduzir a área de superfície de ataque.
- Impor comunicações determinísticas.
- Restringir caminhos de ataque residuais.
- Medir a melhoria estrutural por meio do PER.
Os detalhes de implementação variam conforme a plataforma, mas as leis arquiteturais subjacentes permanecem consistentes.
Esses padrões foram projetados para adoção paralela e implantação em camadas. Quando compostos em conjunto, eles proporcionam redução de caminhos de ataque em toda a empresa, abrangendo ambientes de endpoint, servidor, identidade, nuvem, SaaS, rede e sistemas embarcados.
## Composição de Stack e Adoção Paralela
A família OWASP Subtractive Hardening Top 10 foi projetada para execução composável e paralela.
As publicações individuais do Top 10 não se destinam a ser implementadas de forma isolada. Os sistemas empresariais modernos são compostos por múltiplas camadas de tecnologia, cada uma contribuindo com caminhos de ataque, relações de confiança e oportunidades únicas para a progressão do adversário.
Proteger um ativo empresarial exige a aplicação simultânea de controles subtrativos específicos de cada plataforma em todas as camadas relevantes.
Exemplos incluem:
- AWS Subtractive Hardening + Linux Subtractive Hardening
- Active Directory Subtractive Hardening + Windows Subtractive Hardening
- Kubernetes Subtractive Hardening + Linux Subtractive Hardening
- SaaS Subtractive Hardening + Identity and Access Management Subtractive Hardening
- Azure Subtractive Hardening + Active Directory Subtractive Hardening
Os caminhos de ataque não respeitam fronteiras arquiteturais.
Uma carga de trabalho em nuvem comprometida pode aproveitar caminhos de ataque do sistema operacional. Uma estação de trabalho comprometida pode aproveitar caminhos de ataque de identidade. Uma identidade comprometida pode aproveitar caminhos de ataque do plano de controle da nuvem.
Portanto, a Subtractive Security promove a redução paralela de caminhos de ataque em todas as camadas aplicáveis da stack de tecnologia.
### Defesa em Profundidade por Meio da Eliminação em Camadas de Caminhos
A Subtractive Security reconhece que todos os controles, incluindo os controles subtrativos, podem falhar devido a configuração incorreta, desvio operacional, implementação incompleta ou mudanças nos requisitos de negócio. A Subtractive Security, portanto, estende o conceito tradicional de defesa em profundidade ao enfatizar a remoção de caminhos de ataque em múltiplas camadas arquiteturais.
Em vez de depender exclusivamente de tecnologias independentes de monitoramento ou prevenção, as organizações devem buscar eliminar, reduzir ou restringir o mesmo caminho de ataque onde quer que ele apareça dentro da stack.
Exemplos incluem:
- Reduzir a confiança administrativa no Linux enquanto se segmenta simultaneamente o movimento lateral na camada de rede.
- Restringir as relações de confiança de identidade na nuvem enquanto se eliminam caminhos de escalonamento de privilégios no nível do sistema operacional.
- Impor determinismo de egresso nas camadas de endpoint, rede e plano de controle da nuvem.
Essa abordagem cria múltiplas fronteiras independentemente não condutoras que os atacantes precisam superar. O resultado é a defesa em profundidade por meio da eliminação em camadas de caminhos, em vez da detecção em camadas.
O objetivo não é apenas endurecer componentes individuais.
O objetivo é reduzir a condutividade total de caminhos de ataque do sistema como um todo.
<img width="1536" height="1024" alt="Flammability" src="https://github.com/user-attachments/assets/18b9d839-fba6-4d5b-9ae4-c84ed4e8e07f" />
## Objetivos do Projeto
- Promover a eliminação de caminhos de ataque como estratégia de segurança primária.
- Incentivar a melhoria mensurável da segurança por meio do PER.
- Fornecer orientação acionável para reduzir a exposição arquitetural.
- Estabelecer um vocabulário comum para a engenharia de segurança subtrativa.
- Melhorar os resultados de segurança por meio de tomada de decisão baseada em evidências.
- Avançar a segurança como disciplina de engenharia fundamentada na redução mensurável de riscos.
## Escopo
Este projeto concentra-se em melhorias arquiteturais que reduzem as oportunidades de alcançabilidade, privilégio, mobilidade e persistência do adversário.
Do ponto de vista da teoria dos grafos, o projeto concentra-se em reduzir a alcançabilidade do adversário, eliminando ou restringindo arestas executáveis dentro dos grafos de ataque.
O objetivo é reduzir o número de caminhos capazes de se combinar para gerar impacto material nos negócios. As recomendações são selecionadas com base no seu potencial para eliminar ou restringir materialmente os caminhos do atacante, e não na sua popularidade, valor de conformidade ou visibilidade operacional.
## Contribuindo
O Projeto OWASP Subtractive Security Top 10 acolhe contribuições de profissionais de segurança, pesquisadores, arquitetos, engenheiros de nuvem, engenheiros de plataforma e defensores interessados em avançar nas metodologias de redução de caminhos de ataque.
Encorajamos o feedback da comunidade, a pesquisa empírica, as experiências de implementação e as técnicas propostas para remoção de caminhos de ataque.
## Saiba Mais
- Path Erasure Rate (PER) Engineering Standard (https://github.com/cfrenz/Path-Erasure-Engine/blob/main/PER-1.0_Engineering_Specification.md)
- Evidence-Based Security (https://subtractivesecurity.substack.com/p/the-cyber-falsifiability-crisis-and)
- Subtractive Security Engineering Framework (https://subtractivesecurity.substack.com/p/the-law-of-subtractive-risk-moving)
- Subtractive Security Substack (https://subtractivesecurity.substack.com/)
---
*"A eficácia da segurança é maximizada quando os caminhos de ataque são removidos, e não apenas observados."*
## Licenciamento
Este projeto é de código aberto e é distribuído sob a [Apache License 2.0](https://www.apache.org/licenses/LICENSE-2.0). Toda a documentação, especificações e código são livres para uso, modificação e distribuição para fins comerciais e não comerciais, nos termos da licença.
## Líderes do Projeto
- **Christopher Frenz** — Fundador do Projeto e Autor Principal