Белый список (allowlist, ранее whitelist) — перечень явно одобренных приложений, пользователей, IP-адресов, доменов или других объектов; всё, чего нет в списке, по умолчанию блокируется.
Как работают белые списки
Белый список переворачивает привычный подход чёрного списка. Вместо того чтобы перечислять всё плохое, он разрешает только заведомо хорошее — модель «запрет по умолчанию» (default deny). Типичные применения:
- Белые списки приложений — запускаться могут только одобренные программы, скрипты и драйверы, которые определяются по сертификату издателя, хешу файла или пути. В Windows для этого есть AppLocker и App Control for Business (WDAC); NIST описал подход в SP 800-167.
- Сетевые белые списки — правила межсетевого экрана, разрешающие только определённые IP-адреса или порты, например доступ к SSH или админ-панелям только через VPN.
- Белые списки для почты и веба — доверенные отправители и домены, которые минуют часть фильтров.
- Проверка входных данных — приём в приложениях только ожидаемых символов или значений.
Многие организации, включая британский NCSC с 2020 года, используют термины allowlist и blocklist вместо whitelist и blacklist.
Почему это важно
Белые списки приложений останавливают большую часть неизвестного вредоносного ПО, включая новые программы-вымогатели, потому что неодобренные исполняемые файлы просто не могут запуститься. Австралийское управление радиотехнической разведки (ASD) включает контроль приложений в базовые меры Essential Eight. Подход также поддерживает принцип минимальных привилегий.
Сложности — сопровождение и пробелы. Списки нужно обновлять при каждом изменении ПО, а атакующие стараются злоупотреблять уже разрешёнными программами — PowerShell, mshta или подписанными драйверами; этот приём известен как Living off the Land. Слишком широкие правила, например разрешение целых папок, доступных пользователям на запись, сводят защиту на нет.
Рекомендации
- Начинать с режима аудита, чтобы понять, что запускается в вашей среде.
- Предпочитать правила на основе подписей издателей и хешей правилам по пути.
- Блокировать известные системные утилиты, которыми злоупотребляют и которые не нужны пользователям.
- Регулярно пересматривать белые списки и удалять устаревшие записи.
