owasp/owasp-subtractive-hardening-top-10Проект OWASP Subtractive Security Top 10 — это инициатива, направленная на выявление, документирование и продвижение наиболее эффективных возможностей для снижения киберрисков за счёт устранения путей атак.
# Проект OWASP Subtractive Security Top 10
## Обзор
Проект OWASP Subtractive Security Top 10 — это инициатива по выявлению, документированию и продвижению наиболее эффективных возможностей снижения киберрисков за счёт устранения путей атаки.
В отличие от традиционных рекомендаций по безопасности, которые в первую очередь сосредоточены на добавлении средств защиты, Subtractive Security Top 10 делает акцент на удалении излишней поверхности атаки, доверительных отношений, протоколов, привилегий, сервисов и коммуникационных путей, которые позволяют злоумышленнику продвигаться.
Проект основан на принципе, что наиболее эффективным средством защиты зачастую является полное удаление пути атаки, а не попытка его мониторинга или управления им.
Долгосрочная цель проекта — сделать устранение путей атаки фундаментальной дисциплиной инженерии безопасности, подкреплённой измеримыми результатами посредством стандарта Path Erasure Rate (PER).
## Руководящий принцип
Злоумышленники могут проходить только по тем путям, которые существуют.
Цель Subtractive Security — систематически устранять или ограничивать эти пути до тех пор, пока активность злоумышленника не перестанет складываться в существенный ущерб для бизнеса.
<img width="1536" height="1024" alt="EraseRoads" src="https://github.com/user-attachments/assets/a6b1a1cd-d6cb-4c43-b081-7d32291e71c5" />
## Назначение
Назначение этого проекта — предоставить практическое, основанное на доказательствах руководство по выявлению и устранению распространённых путей атаки в операционных системах, облачных платформах, системах идентификации и корпоративных средах.
Каждый Top 10 посвящён путям атаки, удаление которых даёт непропорционально большое снижение риска при минимальном влиянии на эксплуатацию.
Проект стремится ответить на простой вопрос:
> Что можно удалить, чтобы сделать атаку существенно более сложной или невозможной?
## Связь со стандартом Path Erasure Rate (PER 1.0)
Проект Subtractive Security Top 10 согласован с инженерным стандартом Path Erasure Rate (PER) (https://github.com/cfrenz/Path-Erasure-Engine/blob/main/PER-1.0_Engineering_Specification.md) и стандартом Path Erasure Precedence (https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/PathErasurePrecedence.md)
PER предоставляет методологию измерения эффективности улучшений безопасности путём количественной оценки сокращения доступных злоумышленнику путей атаки.
$$\text{PER} = \frac{|P_{\text{erased}}|}{|P_{\text{eligible}}|}$$
Где **$P_{\text{eligible}}$** представляет допустимые, реализуемые пути атаки, выявленные в рамках области охвата, а **$P_{\text{erased}}$** представляет подмножество, в котором исполняемые рёбра были структурно удалены.
PER служит количественной основой измерений для Subtractive Security.
Subtractive Security Top 10 определяет высокоценные пути атаки, устранение которых, как ожидается, даст значимое снижение возможностей злоумышленника, а PER предоставляет механизм для проверки и измерения этих сокращений.
Вместе они устанавливают воспроизводимый инженерный процесс для обнаружения, приоритизации, устранения и измерения путей атаки.
- Выявление путей атаки
- Измерение подверженности путям атаки
- Удаление или ограничение путей атаки
- Измерение достигнутого сокращения
- Непрерывное совершенствование архитектуры безопасности
Эталонная реализация расчёта PER доступна по адресу (https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/tree/main/PER).
## Иерархия эффективности
Проект основан на принципе, что средства защиты не обеспечивают одинакового уровня снижения риска.
Иерархия отражает простой принцип:
Архитектурное удаление > Архитектурное ограничение > Мониторинг
Всякий раз, когда путь атаки можно устранить, устранение является предпочтительным. Если устранение невозможно, путь следует ограничить. Мониторинг предназначен для остаточных путей, которые невозможно удалить или в достаточной мере ограничить.
Subtractive Security отдаёт приоритет:
### 1. Архитектурное удаление
Полное устранение путей атаки.
Примеры:
- Удаление устаревших протоколов
- Удаление ненужных привилегий
- Удаление публичного доступа
- Удаление неактивных учётных записей
- Удаление ненужных доверительных отношений
### 2. Архитектурное ограничение
Ограничение путей атаки, которые невозможно устранить.
Примеры:
- Сегментация
- Границы разрешений
- Условный доступ
- Частные конечные точки
- Ограничения привилегий
### 3. Мониторинг и обнаружение
Мониторинг остаточного риска, который невозможно удалить или ограничить.
Примеры:
- Логирование
- Оповещения
- SIEM
- IDS/IPS
- Обнаружение на конечных точках
Эта иерархия отражает убеждение проекта в том, что устранение пути атаки, как правило, эффективнее обнаружения его использования, что описано в [Assumption Burden Principle](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/HierarchyOfEfficacy.md).
## Происхождение и преемственность
Фреймворк Subtractive Hardening и метрика Path Erasure Rate (PER) ведут свою формальную преемственность через непрерывную, документированную с временными метками последовательность рецензируемых исследований, тестирования в производственных средах и публичных раскрытий с 2015 года по настоящее время.
Для ознакомления с публичной хронологией с временными метками, рецензируемыми основами и историей развития фреймворка обратитесь к [**Lineage & Prior Art (Lineage.md)**](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/Lineage.md).
# Структура проекта
OWASP Subtractive Hardening Top 10 — это семейство платформенно-специфичных стандартов инженерии безопасности, действующих в рамках общего набора универсальных архитектурных законов.
В основе фреймворка лежит OWASP Universal Subtractive Security Laws Top 10, который определяет платформенно-независимые принципы сокращения путей атаки, применимые к операционным системам, облачным платформам, системам идентификации, средам SaaS, сетям, встраиваемым устройствам и будущим технологическим областям.
Стандарты для конкретных сред предоставляют эталонные реализации этих универсальных законов в рамках определённых технологических стеков.
## Универсальная основа
- ([Universal Subtractive Security Laws Top 10](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/UniversalSubtractiveLaws.md))
- ([Attack Paths as Failure Modes](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/AttackPathFailureModes.md))
- ([Architectural Kerckhoffs Test](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/ArchitecturalKerckhoffsTest.md))
## Стандарты управления
Проект OWASP Subtractive Security Top 10 включает стандарты управления, которые обеспечивают практическую реализацию сокращения путей атаки в рамках программ безопасности.
Эти стандарты содержат руководство по управлению рисками там, где пути атаки пока невозможно устранить, по приоритизации работ по устранению в соответствии с сокращением возможностей злоумышленника, а также по управлению внешними связями, которые создают новые пути атаки.
Опубликованные стандарты управления:
- ([Subtractive Exception & Security Debt Management Standard](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/SubtractiveExceptionHandling.md))
- ([Subtractive Vulnerability & Path Erasure Management Standard](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/SubtractiveVulnerabilityManagement.md))
- ([Subtractive Third-Party Risk & Integration Governance Standard](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/SubtractiveTPRM.md))
- ([Subtractive Control Validation Standard](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/SubtractiveControlValidation.md))
- ([Subtractive Baselining Standard](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/SubtractiveBaselines.md))
- ([Subtractive Herd Immunity Standard](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/SubtractiveHerdImmunity.md))
- ([Subtractive Alert RCA Standard](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/SubtractiveAlertRCA.md))
- ([Security Vendor Assessment](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/SecurityVendorAssessment.md))
- ([Subtractive Threat Modeling](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/SubtractiveThreatModeling.md))
Вместе эти стандарты превращают сокращение поверхности атаки из архитектурной концепции в практическую операционную модель безопасности.
## Опубликованные стандарты для платформ
- ([Active Directory Subtractive Hardening Top 10](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/ActiveDirectorySubtractiveTop10.md))
- ([AI Subtractive Hardening Top 10](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/AISubtractiveTop10.md))
- ([Application Hardening Top 10](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/ApplicationSubtractiveTop10.md))
- ([AWS Subtractive Hardening Top 10](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/AWSSubtractiveTop10.md))
- ([CI/CD Pipeline Subtractive Hardening Top 10](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/CICDPipelineSubtractiveTop10.md))
- ([Datastore Subtractive Hardening Top 10](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/DatastoreSubtractiveTop10.md))
- ([HPC Subtractive Hardening Top 10](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/HPCSubtractiveTop10.md))
- ([IoT Subtractive Hardening Top 10](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/IoTSubtractiveTop10.md))
- ([Linux Subtractive Hardening Top 10](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/LinuxSubtractiveTop10.md))
- ([macOS Subtractive Hardening Top 10](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/macOSSubtractiveTop10.md))
- ([Microsoft 365 Subtractive Hardening Top 10](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/M365SubtractiveTop10.md))
- ([Network Subtractive Hardening Top 10](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/NetworkSubtractiveTop10.md))
- ([Physical Security Subtractive Hardening Top 10](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/PhysicalSubtractiveTop10.md))
- ([Salesforce Security Subtractive Hardening Top 10](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/SalesforceSubtractiveTop10.md))
- ([Windows Subtractive Hardening Top 10](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/WindowsSubtractiveTop10.md))
## Планируемые и будущие стандарты
- Identity & Access Management (IAM) Subtractive Hardening Top 10
- Azure Subtractive Hardening Top 10
- Google Cloud Platform (GCP) Subtractive Hardening Top 10
- Container & Kubernetes Subtractive Hardening Top 10
- Medical Device Subtractive Hardening Top 10
- Дополнительные стандарты по мере появления новых архитектурных доменов
## Операционная модель безопасности
Проект OWASP Subtractive Security Top 10 — это больше, чем сборник руководств по усилению защиты.
Проект объединяет:
- Универсальные законы безопасности
- Показатель стирания путей (Path Erasure Rate, PER)
- Стандарты усиления защиты платформ
- Стандарты управления
в повторяемую операционную модель инженерии безопасности.
Стандарты платформ определяют пути атак, которые следует устранить.
Стандарты управления определяют, как приоритизируются пути атак, как управляются остаточные пути и как регулируются отношения с третьими сторонами.
Вместе эти стандарты образуют целостную структуру для сокращения доступности путей атак за счёт измеримого улучшения архитектуры.
## Архитектурная взаимосвязь
```text
Universal Security Laws
↓
Path Erasure Rate (PER)
↓
Platform Standards + Governance Standards
↓
Implementation Controls
↓
Measured Risk Reduction
```
Каждый платформенный стандарт применяет одни и те же базовые архитектурные принципы:
- Сокращение избыточной достижимости.
- Сокращение избыточных доверительных отношений.
- Сокращение экспозиции учётных данных.
- Сокращение распространения привилегий.
- Сокращение исполняемых путей атаки.
- Сокращение экспозиции плоскости управления.
- Сокращение площади поверхности атаки.
- Обеспечение детерминированных коммуникаций.
- Ограничение остаточных путей атаки.
- Измерение структурного улучшения через PER.
Детали реализации различаются в зависимости от платформы, но базовые архитектурные законы остаются неизменными.
Эти стандарты разработаны для параллельного внедрения и послойного развёртывания. При совместном применении они обеспечивают сокращение путей атаки в масштабе предприятия в средах конечных точек, серверов, идентификации, облака, SaaS, сетей и встраиваемых систем.
## Композиция стека и параллельное внедрение
Семейство OWASP Subtractive Hardening Top 10 разработано для композируемого параллельного выполнения.
Отдельные публикации Top 10 не предназначены для реализации изолированно. Современные корпоративные системы состоят из множества технологических слоёв, каждый из которых вносит уникальные пути атаки, доверительные отношения и возможности для продвижения противника.
Защита корпоративного актива требует одновременного применения платформенно-специфичных субтрактивных мер контроля во всех соответствующих слоях.
Примеры включают:
- AWS Subtractive Hardening + Linux Subtractive Hardening
- Active Directory Subtractive Hardening + Windows Subtractive Hardening
- Kubernetes Subtractive Hardening + Linux Subtractive Hardening
- SaaS Subtractive Hardening + Identity and Access Management Subtractive Hardening
- Azure Subtractive Hardening + Active Directory Subtractive Hardening
Пути атаки не признают архитектурных границ.
Скомпрометированная облачная рабочая нагрузка может использовать пути атаки операционной системы. Скомпрометированная рабочая станция может использовать пути атаки идентификации. Скомпрометированная идентификация может использовать пути атаки облачной плоскости управления.
Таким образом, Subtractive Security продвигает параллельное сокращение путей атаки во всех применимых слоях технологического стека.
### Эшелонированная защита через послойное стирание путей
Subtractive Security признаёт, что все меры контроля, включая субтрактивные, могут отказать из-за ошибок конфигурации, операционного дрейфа, неполной реализации или изменения бизнес-требований. Поэтому Subtractive Security расширяет традиционную концепцию эшелонированной защиты, акцентируя удаление путей атаки на нескольких архитектурных слоях.
Вместо того чтобы полагаться исключительно на независимые технологии мониторинга или предотвращения, организации должны стремиться устранять, сокращать или ограничивать один и тот же путь атаки везде, где он появляется в стеке.
Примеры включают:
- Сокращение административного доверия в Linux при одновременной сегментации бокового перемещения на сетевом уровне.
- Ограничение доверительных отношений облачной идентификации при одновременном устранении путей повышения привилегий на уровне операционной системы.
- Обеспечение детерминизма исходящего трафика на уровнях конечной точки, сети и облачной плоскости управления.
Этот подход создаёт множество независимых непроводящих границ, которые атакующий должен преодолеть. Результатом является эшелонированная защита через послойное стирание путей, а не послойное обнаружение.
Цель не в том, чтобы просто укрепить отдельные компоненты.
Цель — сократить общую проводимость путей атаки системы в целом.
<img width="1536" height="1024" alt="Flammability" src="https://github.com/user-attachments/assets/18b9d839-fba6-4d5b-9ae4-c84ed4e8e07f" />
## Цели проекта
- Продвигать устранение путей атаки как основную стратегию безопасности.
- Поощрять измеримое улучшение безопасности через PER.
- Предоставлять практические рекомендации по сокращению архитектурной экспозиции.
- Установить общий словарь для субтрактивной инженерии безопасности.
- Улучшать результаты безопасности через принятие решений на основе доказательств.
- Развивать безопасность как инженерную дисциплину, основанную на измеримом сокращении рисков.
## Область применения
Этот проект сосредоточен на архитектурных улучшениях, которые сокращают возможности противника по достижимости, привилегиям, мобильности и сохранению присутствия.
С точки зрения теории графов проект сосредоточен на снижении достижимости для противника путём устранения или ограничения исполняемых рёбер в графах атак.
Цель — сократить число путей, способных в совокупности привести к существенному воздействию на бизнес. Рекомендации выбираются исходя из их потенциала устранять или существенно ограничивать пути атакующего, а не исходя из их популярности, ценности для соответствия требованиям или операционной заметности.
## Участие в проекте
Проект OWASP Subtractive Security Top 10 приветствует вклад специалистов по безопасности, исследователей, архитекторов, облачных инженеров, платформенных инженеров и защитников, заинтересованных в развитии методологий сокращения путей атак.
Приветствуются отзывы сообщества, эмпирические исследования, опыт внедрения и предлагаемые методы устранения путей атак.
## Узнать больше
- Path Erasure Rate (PER) Engineering Standard (https://github.com/cfrenz/Path-Erasure-Engine/blob/main/PER-1.0_Engineering_Specification.md)
- Evidence-Based Security (https://subtractivesecurity.substack.com/p/the-cyber-falsifiability-crisis-and)
- Subtractive Security Engineering Framework (https://subtractivesecurity.substack.com/p/the-law-of-subtractive-risk-moving)
- Subtractive Security Substack (https://subtractivesecurity.substack.com/)
---
*«Эффективность безопасности максимальна, когда пути атак устраняются, а не просто наблюдаются».*
## Лицензирование
Этот проект является открытым и распространяется под лицензией [Apache License 2.0](https://www.apache.org/licenses/LICENSE-2.0). Вся документация, спецификации и код могут свободно использоваться, изменяться и распространяться в коммерческих и некоммерческих целях на условиях данной лицензии.
## Руководители проекта
- **Christopher Frenz** — основатель проекта и основной автор