O Open Worldwide Application Security Project, ou OWASP, introduziu o Projeto Subtractive Security Top 10, uma iniciativa de engenharia de segurança focada em eliminar caminhos de ataque em vez de meramente detectá-los ou monitorá-los. A defesa cibernética tradicional muitas vezes depende da adição de produtos de segurança, alertas, logging, ferramentas de endpoint e controles de acesso. O novo projeto OWASP adota uma abordagem diferente. Ele faz uma pergunta prática às equipes de segurança: o que pode ser removido para tornar um ataque mais difícil ou impossível?
Princípio fundamental da segurança subtrativa
O projeto é construído sobre um princípio simples: os atacantes só podem usar caminhos existentes. Se uma organização remover acesso desnecessário, serviços, relacionamentos de confiança, privilégios, protocolos e exposição de rede, os atacantes terão menos opções para ganhar acesso, mover-se lateralmente, escalar privilégios ou manter persistência. No GitHub, o OWASP descreve essa abordagem como segurança subtrativa, priorizando mudanças estruturais que eliminam caminhos de ataque. O projeto classifica controles de segurança por sua eficácia na redução da superfície de ataque empresarial.
Hierarquia de controles de segurança
A primeira é a exclusão arquitetural, onde um caminho de ataque é completamente removido. Isso pode incluir a remoção de protocolos legados, desligamento de serviços não utilizados, exclusão de contas dormentes, eliminação de exposição voltada para o público e revogação de privilégios administrativos desnecessários. A segunda é a restrição arquitetural. Isso se aplica quando um caminho não pode ser removido devido a necessidades comerciais ou operacionais. As organizações podem limitar a exposição usando segmentação de rede, endpoints privados, políticas de acesso condicional, limites de permissão e restrições de privilégio.
Monitoramento e detecção são colocados em terceiro na hierarquia. Logging, plataformas SIEM, ferramentas de detecção e resposta de endpoint, sistemas de detecção de intrusão e alertas permanecem importantes. No entanto, o OWASP argumenta que a detecção sozinha não remove a rota subjacente que um atacante pode usar. O princípio central é: Eliminar > Restringir > Monitorar. Remover caminhos de ataque é a defesa mais eficaz, enquanto o monitoramento é a última linha de defesa para risco residual.
Princípios arquitetônicos e métricas
O projeto introduz o Path Erasure Rate (PER) como uma métrica para medir melhorias de segurança. O PER calcula a proporção de caminhos de ataque elegíveis que foram removidos estruturalmente. Em termos simples, mede quantas rotas de ataque identificadas não funcionam mais após uma mudança de segurança. A fórmula é expressa como PER = |Perased| / |Peligible|, onde Peligible representa caminhos de ataque acionáveis dentro do escopo definido e Perased representa os caminhos que foram eliminados.
O Subtractive Security Top 10 inclui um conjunto universal de leis de segurança que podem se aplicar a todas as tecnologias. Também fornece orientação específica para plataformas como Windows, Linux, Active Directory, AWS, Microsoft 365, redes, dispositivos de Internet das Coisas, macOS, aplicativos, repositórios de dados, ambientes de computação de alto desempenho, pipelines de CI/CD e infraestrutura de inteligência artificial.
Implementação e governança
Por exemplo, uma organização poderia reduzir a exposição ao ransomware removendo contas de administrador local não utilizadas, desabilitando protocolos de acesso remoto legados, restringindo a comunicação de rede leste-oeste e removendo permissões de identidade em nuvem desnecessárias. Essas mudanças reduzem o número de rotas disponíveis para um atacante, mesmo que um endpoint seja comprometido. O projeto também promove implementação paralela em camadas de tecnologia. Um ambiente em nuvem, por exemplo, deve aplicar controles relevantes de AWS, Linux, identidade, rede e CI/CD simultaneamente. Os atacantes frequentemente cruzam essas fronteiras após um comprometimento inicial.
Recursos e disponibilidade
O Projeto OWASP Subtractive Security Top 10 está disponível sob a Licença Apache 2.0. Pesquisadores de segurança, arquitetos, engenheiros de nuvem e defensores podem revisar, usar, modificar e contribuir para a orientação por meio de seu repositório público no GitHub. A iniciativa apoia um processo repetível: identificar caminhos de ataque, medir exposição, remover ou restringir caminhos, medir a redução de risco resultante e melhorar continuamente a arquitetura.
O que os CISOs devem fazer imediatamente
Equipes de segurança devem revisar a arquitetura atual para identificar caminhos de ataque desnecessários que podem ser eliminados. A implementação de políticas de menor privilégio e a desativação de serviços não utilizados devem ser priorizadas sobre a adição de novas ferramentas de detecção. O uso da métrica PER pode ajudar a quantificar o progresso na redução da superfície de ataque. A governança de segurança deve incorporar esses princípios nos processos de desenvolvimento e operações para garantir que a segurança seja construída na arquitetura, não apenas adicionada posteriormente.