OWASP ha lanzado el proyecto Subtractive Security Top 10, una iniciativa de ingeniería de seguridad cuyo objetivo es eliminar las rutas de ataque en lugar de limitarse a detectarlas o monitorearlas. A diferencia de la defensa cibernética tradicional, que se basa en añadir capas de productos y controles, este proyecto propone un enfoque basado en la reducción de la superficie de ataque.

El Proyecto Abierto de Seguridad de Aplicaciones a Nivel Mundial, o OWASP, ha presentado el proyecto Subtractive Security Top 10, una iniciativa de ingeniería de seguridad centrada en eliminar las rutas de ataque en lugar de simplemente detectarlas o monitorizarlas.

La ciberdefensa tradicional suele basarse en añadir productos de seguridad, alertas, registros, herramientas de endpoint y controles de acceso. El nuevo proyecto de OWASP adopta un enfoque diferente. Le plantea a los equipos de seguridad una pregunta práctica: ¿qué se puede eliminar para que un ataque sea más difícil o imposible?

El proyecto se basa en un principio sencillo: los atacantes solo pueden utilizar las rutas existentes. Si una organización elimina accesos innecesarios, servicios, relaciones de confianza, privilegios, protocolos y exposición de red, los atacantes tendrán menos opciones para ganar acceso, moverse lateralmente, escalar privilegios o mantener la persistencia.

OWASP Subtractive Security Top 10

En GitHub, OWASP describe este enfoque como seguridad sustractiva, priorizando los cambios estructurales que eliminan las rutas del atacante. El proyecto clasifica los controles de seguridad según su eficacia para reducir la superficie de ataque de la empresa.

En primer lugar está la eliminación arquitectónica, donde una ruta de ataque se elimina por completo. Esto puede incluir la eliminación de protocolos heredados, el apagado de servicios no utilizados, la eliminación de cuentas inactivas, la supresión de la exposición pública y la revocación de privilegios administrativos innecesarios.

En segundo lugar está la restricción arquitectónica. Esto se aplica cuando una ruta no puede eliminarse debido a necesidades comerciales u operativas. Las organizaciones pueden limitar la exposición mediante la segmentación de red, endpoints privados, políticas de acceso condicional, límites de permisos y restricciones de privilegios.

La monitorización y la detección se sitúan en tercer lugar de la jerarquía. El registro de logs, las plataformas SIEM, las herramientas de detección y respuesta de endpoint, los sistemas de detección de intrusos y las alertas siguen siendo importantes. Sin embargo, OWASP sostiene que la detección por sí sola no elimina la ruta subyacente que un atacante podría utilizar.

            
  Eliminar Superficie de Ataque
[ Eliminación Arquitectónica ]
           │
           ▼
    Minimizar Exposición
[ Restricción Arquitectónica ]
           │
           ▼
 Detectar Amenazas Residuales
[ Monitorización y Detección ]

Principio fundamental: Eliminar > Restringir > Monitorizar. Eliminar las rutas de ataque es la defensa más efectiva, mientras que la monitorización es la última línea de defensa para el riesgo residual.

Principios Arquitectónicos

No.	Principio de Seguridad Sustractiva	Objetivo
1	Reducir la accesibilidad innecesaria	Eliminar la exposición de red y las rutas de acceso que no son requeridas para las operaciones comerciales
2	Reducir las relaciones de confianza innecesarias	Eliminar dependencias excesivas de confianza entre sistemas, identidades y servicios
3	Reducir la exposición de credenciales	Limitar la disponibilidad, reutilización, almacenamiento y rutas de transmisión de credenciales
4	Reducir la propagación de privilegios	Evitar que los derechos y permisos administrativos se extiendan por los sistemas e identidades
5	Reducir las rutas de ataque ejecutables	Eliminar servicios, protocolos, aplicaciones y configuraciones que los atacantes podrían explotar
6	Reducir la exposición del plano de control	Restringir el acceso a las interfaces de nube, identidad, infraestructura y gestión
7	Reducir el área de la superficie de ataque	Dar de baja software, puertos, cuentas, APIs y componentes heredados que no se utilicen
8	Imponer comunicaciones deterministas	Permitir únicamente los flujos de tráfico entrante, saliente y este-oeste explícitamente requeridos
9	Restringir las rutas de ataque residuales	Aplicar segmentación, endpoints privados, acceso condicional y límites de permisos donde la eliminación no sea viable
10	Medir la mejora estructural mediante PER	Utilizar la Tasa de Borrado de Rutas (PER) para cuantificar las rutas de ataque elegibles que han sido eliminadas estructuralmente

El proyecto introduce la Tasa de Borrado de Rutas (PER) como una métrica para medir las mejoras de seguridad. La PER calcula la proporción de rutas de ataque elegibles que han sido eliminadas estructuralmente. En términos sencillos, mide cuántas rutas de atacantes identificadas ya no funcionan tras un cambio de seguridad.

La fórmula se expresa como PER=∣Perased∣/∣Peligible∣, donde P_eligible representa las rutas de ataque accionables dentro del alcance definido y P_erased representa las rutas que han sido eliminadas.

OWASP afirmó que el marco de trabajo soporta un proceso repetible: identificar rutas de ataque, medir la exposición, eliminar o restringir rutas, medir la reducción de riesgo resultante y mejorar continuamente la arquitectura.

El Subtractive Security Top 10 incluye un conjunto universal de leyes de seguridad que pueden aplicarse a diversas tecnologías. También proporciona orientación específica para Windows, Linux, Active Directory, AWS, Microsoft 365, redes, dispositivos IoT, macOS, aplicaciones, almacenes de datos, entornos de computación de alto rendimiento, tuberías CI/CD e infraestructura de inteligencia artificial.

Por ejemplo, tú podrías reducir la exposición al ransomware eliminando cuentas de administrador local no utilizadas, desactivando protocolos de acceso remoto heredados, restringiendo la comunicación de red este-oeste y eliminando permisos de identidad en la nube innecesarios. Estos cambios reducen el número de rutas disponibles para un atacante, incluso si un endpoint se ve comprometido.

El proyecto también promueve la implementación paralela en las capas tecnológicas. Un entorno de nube, por ejemplo, debería aplicar simultáneamente los controles pertinentes de AWS, Linux, identidad, red y CI/CD. Los atacantes frecuentemente cruzan estos límites tras un compromiso inicial.

El proyecto OWASP Subtractive Security Top 10 está disponible bajo la Licencia Apache 2.0. Los investigadores de seguridad, arquitectos, ingenieros de nube y defensores pueden revisar, usar, modificar y contribuir a la guía a través de su repositorio público de GitHub.

Fuentes:
https://cybersecuritynews.com/owasp-subtractive-security-top-10-project/