owasp/owasp-subtractive-hardening-top-10OWASP 减法安全 Top 10 项目是一项倡议，旨在通过消除攻击路径来识别、记录并推广降低网络风险最具影响力的机会。
# OWASP 减法安全 Top 10 项目
## 概述
OWASP 减法安全 Top 10 项目是一项倡议，旨在识别、记录并推广通过消除攻击路径来降低网络风险的最高影响力机会。
与主要侧重于增加控制措施的传统安全指南不同，减法安全 Top 10 强调移除不必要的攻击面、信任关系、协议、权限、服务以及使攻击者得以推进的通信路径。
该项目基于这样一个原则：最有效的安全控制往往是对攻击路径的彻底移除，而非试图监控或管理它。
该项目的长期愿景是将攻击路径消除确立为一门基础性的安全工程学科，并通过路径消除率（PER）标准以可衡量的成果加以支撑。
## 指导原则
攻击者只能穿越存在的路径。
减法安全的目标是系统地消除或约束这些路径，直到攻击者的活动无法再组合成实质性的业务影响。
<img width="1536" height="1024" alt="EraseRoads" src="https://github.com/user-attachments/assets/a6b1a1cd-d6cb-4c43-b081-7d32291e71c5" />
## 目的
本项目的目的是提供实用、基于证据的指导，用于在操作系统、云平台、身份系统和企业环境中识别并消除常见的攻击者路径。
每个 Top 10 条目都聚焦于那些移除后能带来不成比例的风险降低、同时将运营影响降至最低的攻击路径。
该项目试图回答一个简单的问题：
> 可以移除什么，从而使攻击在实质上变得更加困难或不可能？
## 与路径消除率标准（PER 1.0）的关系
减法安全 Top 10 项目与路径消除率（PER）工程标准（https://github.com/cfrenz/Path-Erasure-Engine/blob/main/PER-1.0_Engineering_Specification.md）以及路径消除优先级标准（https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/PathErasurePrecedence.md）保持一致。
PER 提供了一种方法，通过量化攻击者可访问攻击路径的减少量来衡量安全改进的有效性。
$$\text{PER} = \frac{|P_{\text{erased}}|}{|P_{\text{eligible}}|}$$
其中 **$P_{\text{eligible}}$** 表示在范围内识别出的有效、可操作的攻击路径，而 **$P_{\text{erased}}$** 表示其中可执行边已被结构性移除的子集。
PER 作为减法安全的定量测量框架。
减法安全 Top 10 识别那些消除后预期能显著降低攻击者能力的高价值攻击路径，而 PER 则提供了验证和衡量这些降低的机制。
二者共同建立了一个可重复的工程流程，用于攻击路径的发现、优先级排序、消除和测量。
- 识别攻击路径
- 测量攻击路径暴露面
- 移除或约束攻击路径
- 测量由此产生的降低
- 持续改进安全架构
如何计算 PER 的参考实现可在（https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/tree/main/PER）获取。
## 效能层级
该项目基于这样一个原则：安全控制措施所提供的风险降低水平并不相同。
该层级反映了一个简单的原则：
架构性删除 > 架构性约束 > 监控
只要攻击路径可以被消除，就优先选择消除。如果消除不可行，则应对路径加以约束。监控仅保留给无法移除或无法充分约束的残余路径。
减法安全优先考虑：
### 1. 架构性删除
彻底移除攻击路径。
示例：
- 移除遗留协议
- 移除不必要的权限
- 移除公开暴露
- 移除休眠身份
- 移除不必要的信任关系
### 2. 架构性约束
约束无法消除的攻击路径。
示例：
- 分段隔离
- 权限边界
- 条件访问
- 私有端点
- 权限限制
### 3. 监控与检测
监控无法删除或约束的残余风险。
示例：
- 日志记录
- 告警
- SIEM
- IDS/IPS
- 端点检测
该层级结构体现了本项目的理念：如[假设负担原则](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/HierarchyOfEfficacy.md)所述，消除攻击路径通常比检测其被利用更为有效。
## 来源与传承
减法加固框架与路径消除率（PER）指标，其正式传承可追溯至一条不间断、带时间戳的演进脉络，涵盖自 2015 年至今的同行评审研究、生产环境测试与公开披露。
如需查阅该框架的带时间戳公开记录、同行评审基础及历史发展，请参阅[**传承与在先技术（Lineage.md）**](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/Lineage.md)。
# 项目结构
OWASP 减法加固 Top 10 是一系列平台特定的安全工程标准，它们在一套共同的通用架构法则下运作。
该框架的基础是 OWASP 通用减法安全法则 Top 10，它定义了与平台无关的攻击路径削减原则，适用于操作系统、云平台、身份系统、SaaS 环境、网络、嵌入式设备以及未来技术领域。
环境特定标准则在特定技术栈内提供这些通用法则的参考实现。
## 通用基础
- ([通用减法安全法则 Top 10](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/UniversalSubtractiveLaws.md))
- ([攻击路径作为失效模式](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/AttackPathFailureModes.md))
- ([架构性 Kerckhoffs 测试](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/ArchitecturalKerckhoffsTest.md))
## 治理标准
OWASP 减法安全 Top 10 项目包含治理标准，将攻击路径削减落实到安全计划的日常运作中。
这些标准为以下方面提供指导：在攻击路径尚无法消除时管理风险、依据攻击者能力削减程度确定修复工作的优先级，以及治理会引入新攻击路径的外部关系。
已发布的治理标准：
- ([减法式异常与安全债务管理标准](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/SubtractiveExceptionHandling.md))
- ([减法式漏洞与路径消除管理标准](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/SubtractiveVulnerabilityManagement.md))
- ([减法式第三方风险与集成治理标准](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/SubtractiveTPRM.md))
- ([减法式控制验证标准](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/SubtractiveControlValidation.md))
- ([减法式基线标准](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/SubtractiveBaselines.md))
- ([减法式群体免疫标准](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/SubtractiveHerdImmunity.md))
- ([减法式告警根因分析标准](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/SubtractiveAlertRCA.md))
- ([安全供应商评估](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/SecurityVendorAssessment.md))
- ([减法式威胁建模](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/SubtractiveThreatModeling.md))
这些标准共同将攻击路径削减从架构框架转变为切实可行的安全运营模式。
## 已发布平台标准
- ([Active Directory 减法式加固 Top 10](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/ActiveDirectorySubtractiveTop10.md))
- ([AI 减法式加固 Top 10](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/AISubtractiveTop10.md))
- ([应用加固 Top 10](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/ApplicationSubtractiveTop10.md))
- ([AWS 减法式加固 Top 10](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/AWSSubtractiveTop10.md))
- ([CI/CD 流水线减法式加固 Top 10](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/CICDPipelineSubtractiveTop10.md))
- ([数据存储减法式加固 Top 10](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/DatastoreSubtractiveTop10.md))
- ([HPC 减法式加固 Top 10](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/HPCSubtractiveTop10.md))
- ([IoT 减法式加固 Top 10](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/IoTSubtractiveTop10.md))
- ([Linux 减法式加固 Top 10](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/LinuxSubtractiveTop10.md))
- ([macOS 减法式加固 Top 10](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/macOSSubtractiveTop10.md))
- ([Microsoft 365 减法式加固 Top 10](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/M365SubtractiveTop10.md))
- ([网络减法式加固 Top 10](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/NetworkSubtractiveTop10.md))
- ([物理安全减法式加固 Top 10](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/PhysicalSubtractiveTop10.md))
- ([Salesforce 安全减法式加固 Top 10](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/SalesforceSubtractiveTop10.md))
- ([Windows 减法式加固 Top 10](https://github.com/OWASP/OWASP-Subtractive-Hardening-Top-10/blob/main/WindowsSubtractiveTop10.md))
## 计划与未来标准
- 身份与访问管理 (IAM) 减法式加固 Top 10
- Azure 减法式加固 Top 10
- Google Cloud Platform (GCP) 减法式加固 Top 10
- 容器与 Kubernetes 减法式加固 Top 10
- 医疗设备减法式加固 Top 10
- 随着新架构领域的出现而制定的其他标准
## 安全运营模式
OWASP 减法安全 Top 10 项目不仅仅是一系列加固指南的集合。
该项目将以下内容整合在一起：
- 通用安全法则
- 路径消除率（PER）
- 平台加固标准
- 治理标准
形成一个可重复的安全工程运营模型。
平台标准识别应当被消除的攻击路径。
治理标准决定攻击路径的优先级排序方式、残余路径的管理方式，以及第三方关系的治理方式。
这些标准共同提供了一个完整框架，通过可度量的架构改进来降低攻击路径的可用性。
## 架构关系
```text
Universal Security Laws
↓
Path Erasure Rate (PER)
↓
Platform Standards + Governance Standards
↓
Implementation Controls
↓
Measured Risk Reduction
```
每个平台标准都应用相同的底层架构原则：
- 减少不必要的可达性。
- 减少不必要的信任关系。
- 减少凭据暴露。
- 减少权限传播。
- 减少可执行攻击路径。
- 减少控制平面暴露。
- 减少攻击面范围。
- 强制执行确定性通信。
- 约束残余攻击路径。
- 通过 PER 衡量结构性改进。
具体实现细节因平台而异，但底层架构法则保持一致。
这些标准旨在支持并行采用和分层部署。当组合使用时，它们可在端点、服务器、身份、云、SaaS、网络和嵌入式系统环境中实现企业范围的攻击路径削减。
## 栈组合与并行采用
OWASP 减法加固 Top 10 系列旨在支持可组合、并行执行。
单个 Top 10 出版物并非设计为孤立实施。现代企业系统由多个技术层组成，每一层都会贡献独特的攻击路径、信任关系以及对手推进的机会。
保护企业资产需要在所有相关层中同时应用平台特定的减法控制。
示例包括：
- AWS 减法加固 + Linux 减法加固
- Active Directory 减法加固 + Windows 减法加固
- Kubernetes 减法加固 + Linux 减法加固
- SaaS 减法加固 + 身份与访问管理减法加固
- Azure 减法加固 + Active Directory 减法加固
攻击路径不会尊重架构边界。
被攻陷的云工作负载可能利用操作系统攻击路径。被攻陷的工作站可能利用身份攻击路径。被攻陷的身份可能利用云控制平面攻击路径。
因此，减法安全提倡在技术栈的所有适用层中并行削减攻击路径。
### 通过分层路径擦除实现纵深防御
减法安全认识到，所有控制措施（包括减法控制）都可能因配置错误、运营漂移、实施不完整或业务需求变化而失效。因此，减法安全通过强调跨多个架构层移除攻击路径，扩展了传统的纵深防御概念。
组织不应仅依赖独立的监控或预防技术，而应设法在栈中出现的任何位置消除、减少或约束同一攻击路径。
示例包括：
- 在 Linux 中减少管理信任，同时在网络层分割横向移动。
- 限制云身份信任关系，同时消除操作系统级权限提升路径。
- 在端点、网络和云控制平面层强制执行出口确定性。
这种方法创建了多个独立的不导电边界，攻击者必须克服这些边界。其结果是：通过分层路径擦除而非分层检测实现纵深防御。
目标不仅仅是加固单个组件。
目标是降低系统整体的总攻击路径导电性。
<img width="1536" height="1024" alt="Flammability" src="https://github.com/user-attachments/assets/18b9d839-fba6-4d5b-9ae4-c84ed4e8e07f" />
## 项目目标
- 将攻击路径消除推广为首要安全策略。
- 通过 PER 鼓励可衡量的安全改进。
- 为减少架构暴露提供可操作的指导。
- 为减法安全工程建立通用词汇。
- 通过基于证据的决策改善安全成果。
- 推动安全成为一门以可衡量风险降低为基础的工程学科。
## 范围
本项目聚焦于减少对手可达性、权限、移动性和持久化机会的架构改进。
从图论的视角来看，该项目侧重于通过消除或约束攻击图中的可执行边来降低对手的可达性。
目标是减少能够组合成实质性业务影响的路径数量。建议的选择依据是其消除或实质性约束攻击者路径的潜力，而非其流行度、合规价值或运营可见性。
## 贡献
OWASP 减法安全 Top 10 项目欢迎安全从业者、研究人员、架构师、云工程师、平台工程师以及有志于推进攻击路径削减方法的防御者贡献力量。
鼓励社区反馈、实证研究、实施经验以及提出的攻击路径移除技术。
## 了解更多
- 路径消除率（PER）工程标准 (https://github.com/cfrenz/Path-Erasure-Engine/blob/main/PER-1.0_Engineering_Specification.md)
- 基于证据的安全 (https://subtractivesecurity.substack.com/p/the-cyber-falsifiability-crisis-and)
- 减法安全工程框架 (https://subtractivesecurity.substack.com/p/the-law-of-subtractive-risk-moving)
- 减法安全 Substack (https://subtractivesecurity.substack.com/)
---
*“当攻击路径被移除而不仅仅是被观察时，安全有效性才能达到最大化。”*
## 许可
本项目为开源项目，依据 [Apache License 2.0](https://www.apache.org/licenses/LICENSE-2.0) 发布。根据该许可证的条款，所有文档、规范和代码均可自由用于商业和非商业目的的使用、修改和分发。
## 项目负责人
- **Christopher Frenz** — 项目创始人兼主要作者