OWASPはこのほど、サイバーセキュリティ戦略を「検知」から「攻撃経路の全面排除」へと転換させる新たなエンジニアリング施策「Subtractive Security Top 10」を立ち上げました。これは、防御策を積み重ねていく従来の「対策を追加する」アプローチからの転換を意味します。
プロジェクトの創設者であるChristopher Frenz氏が主導するこの取り組みでは、多くのセキュリティプログラムがツールやアラート、ロギングを積み重ねる方向に流れがちである一方、根本的な攻撃対象領域はそのまま手つかずになっていると指摘しています。
Subtractive Security Top 10はその代わりに、構造的な問いを投げかけます。すなわち、攻撃を実質的に困難にする、あるいは不可能にするために「何を取り除けるか」という問いです。
その指針となる原則は、直接的な攻撃者は既存の経路しか通行できないというものです。したがって、不要な信頼関係やレガシープロトコル、過剰な権限、不要なサービス、通信経路を排除することで、横方向移動や権限昇格、永続化に必要な「足場」を攻撃者から奪うことができるとしています。
同プロジェクトは、制御の有効性を「アーキテクチャ的削除(Architectural Deletion)」「アーキテクチャ的制約(Architectural Constraint)」「監視と検知(Monitoring and Detection)」という3段階の階層として体系化しています。
最も持続性の高い対策として最上位に位置づけられているのが「削除」です。これは、レガシープロトコルや休眠アカウント、外部への公開、不要な管理者権限などを取り除くことを指します。
削除が運用上困難な場合には、セグメンテーションやプライベートエンドポイント、条件付きアクセス、権限境界といった制約メカニズムによって、露出範囲を制限します。
SIEMやEDR、IDS/IPSといった監視ツールは、構造的に排除できない残存リスクに対する「最後の防衛線」という位置づけに格下げされています。
このフレームワークの中核をなすのが、新たな指標「Path Erasure Rate(PER、経路消去率)」です。これは、特定された攻撃者の経路のうち、構造的に消去済みの経路と、消去可能な状態にある経路との比率を定量化するもので、PER = |Perased| / |Peligible|という式で表されます。
これにより、セキュリティチームは「攻撃経路を特定する→露出を測定する→経路を除去または制約する→その結果としての低減効果を測定する→アーキテクチャを継続的に改善する」という、再現可能なエンジニアリングのループを回せるようになります。
新たに公開されるCVEを1件ずつ追いかけてパッチを当てていく対応は、AIによって加速するエクスプロイト開発にますます追いつけなくなりつつある後手の対応です。PERはこうした対応の代わりに、正味の「経路削減デルタ」を算出するようチームに促します。
ブラウザからの子プロセス実行をブロックする、あるいはレガシーなLLNMRブロードキャストを無効化するといった、単一のアーキテクチャ変更が資産基盤全体に効果をもたらすのです。
プラットフォームに依存しない汎用版「Universal Subtractive Security Laws Top 10」に加え、OWASPはWindows、Linux、Active Directory、AWS、Microsoft 365、ネットワーキング、IoT、macOSといった環境別の実装版も公開しており、IAM、Azure、GCP、Kubernetes、CI/CD、AI/LLMインフラ向けの標準についても現在策定が進められています。
実際の攻撃経路はレイヤーをまたいで発生することが多く、侵害されたクラウドワークロードがOSレベルの脆弱性へと波及したり、侵害されたアイデンティティがクラウドのコントロールプレーンへのアクセス権限にまで昇格したりすることがあります。そのため、これらの標準は単独での利用ではなく、並行して導入されることを前提に設計されています。
企業にとって、このモデルはランサムウェア対策として具体的な行動指針を示唆しています。未使用のローカル管理者アカウントの削除、レガシーなリモートアクセスプロトコルの無効化、東西方向のトラフィック(East-West Traffic)の制限、過剰なクラウドIDアクセス権限の整理といった対策は、初期侵害が発生した後であっても、攻撃者の選択肢を狭める効果があります。
PER 1.0仕様を含むプロジェクト全体はApache License 2.0の下で公開されており、GitHub経由でコミュニティからの貢献も受け付けています。これにより、攻撃経路の消去は単なるコンプライアンス上のチェック項目ではなく、測定可能でエンジニアリングレベルの規律として位置づけられることになります。
SOCの調査における死角を削減し、ANY.RUNで脅威をより早期に封じ込めることで、対応コストと業務への影響を低減しましょう。
翻訳元: https://cyberpress.org/owasp-security-top-10-attack-paths-cyber-risk/
