OWASPは「サブトラクティブ・セキュリティ・トップ10」プロジェクトを立ち上げました。これは検知系コントロールを積み重ねるのではなく、サイバー攻撃を可能にしているアーキテクチャ上の条件そのものを取り除くことに焦点を移すセキュリティエンジニアリングの取り組みです。
セキュリティトレーニングコース
このプロジェクトはChristopher Frenz氏が主導し、「攻撃者は存在する攻撃経路しか悪用できない」というシンプルな前提を掲げています。
悪用が発生した後にSIEMツールなどで悪意ある活動を検知することに主眼を置く従来型の監視やアラート、エンドポイント検知に依存するのではなく、このフレームワークは不要な露出、権限、信頼関係、サービス、通信経路を、悪用される前に組織自ら排除するよう促します。
この取り組みはApacheライセンス2.0の下でオープンソースプロジェクトとして公開されており、Windows、Linux、Active Directory、AWS、Microsoft 365、ネットワークインフラ、IoT、macOS環境それぞれに向けたハードニングのガイダンスが含まれています。
OWASP、サブトラクティブ・セキュリティ・トップ10を発表
従来型のセキュリティプログラムは、高度に接続され過剰な権限を持ったシステムの周囲に予防策や検知策を重ねて配置することに主眼を置く傾向があります。
OWASPのサブトラクティブ・セキュリティのアプローチは、脆弱または不要な経路を監視・管理しようとするよりも、それを排除する方が概して効果的であると主張しています。
このプロジェクトでは、コントロールの有効性について以下のような優先順位を定めています。
| 優先度 | セキュリティ手法 | 具体的なアクション例 |
|---|---|---|
| 1 | アーキテクチャ上の削除 | レガシープロトコル、休眠アイデンティティ、外部公開、不要な権限を削除する |
| 2 | アーキテクチャ上の制約 | セグメンテーション、権限境界、条件付きアクセス、プライベートエンドポイント、権限制限を適用する |
| 3 | 監視・検知 | 残存するリスクに対してロギング、アラート、SIEM、IDS/IPS、エンドポイント検知を利用する |
このモデルにおいても監視は依然として重要ですが、あくまで削除や十分な制約ができない攻撃経路に対する最後の防衛層として位置づけられています。
このプロジェクトが中心に据える問いは、「攻撃を実質的に困難にする、あるいは不可能にするために何を取り除けるか」というものです。具体例としては、使われていないリモートアクセスサービスの無効化、過剰なクラウドアイデンティティ権限の排除、古い認証プロトコルの削除、不要な東西方向のネットワーク通信の制限などが挙げられます。
OWASPのサブトラクティブ・セキュリティ・トップ10は、Path Erasure Rate(PER)という標準に準拠しています。PERは、特定した環境の中で実行可能な攻撃者の経路のうち、構造的にどれだけを排除できたかを定量化する指標です。
PER=∣Peligible∣∣Perased∣この数式において、\( P_{\text{eligible}} \)は対象範囲内で有効な攻撃経路を表し、\( P_{\text{erased}} \)は実行可能なエッジが削除された経路を示します。
この指標は、コントロールのカバレッジやアラート件数、コンプライアンス上の結果だけに依存するのではなく、セキュリティチームがアーキテクチャ上のリスク低減度を測定できるようにすることを目的としています。
このフレームワークは、攻撃経路の特定、露出の評価、経路の排除または制約、低減度の測定、そしてアーキテクチャの継続的な改善という、繰り返し実行可能なプロセスを示しています。
攻撃チェーンはエンドポイント、アイデンティティシステム、クラウド環境、ネットワークの境界を横断することが多いため、この取り組みは技術レイヤー全体で並行して採用されることを想定して設計されています。
例えば、組織はAWSとLinuxのガイダンスを同時に適用することで、クラウドのコントロールプレーンへのアクセスとOSの権限昇格の機会を同時に減らすことができます。
同様に、Active DirectoryとWindowsのガイダンスを組み合わせることで、アイデンティティの悪用やワークステーションからドメインへの水平移動に対処できます。
OWASPはこれを「レイヤード・パス・イレージャー(層状の経路消去)」による多層防御と説明しています。その狙いは、初期侵害が発生したとしても攻撃者がそれ以上進行できないよう、複数の非導電性の境界を作り出すことにあります。
今後のプロジェクト領域としては、アイデンティティおよびアクセス管理、Azure、Google Cloud Platform、Kubernetes、CI/CDパイプライン、ソフトウェアサプライチェーン、AIおよびLLMインフラ、医療機器などが想定されています。
このプロジェクトは、セキュリティエンジニア、研究者、アーキテクト、そして防御担当者に対し、攻撃経路を減らすための実装経験や実証済みの手法を提供してもらうことを呼びかけています。
ALERT: 20以上の政府系サイトが企業や市民にマルウェアを配布していました。 攻撃調査の全文はこちら から確認し、ご自身の環境が影響を受けていないかチェックしてください。
マルウェア除去サービス
翻訳元: https://gbhackers.com/owasp-introduces-subtractive-security-top-10/
