Білий список (allowlist, раніше whitelist) — перелік явно схвалених застосунків, користувачів, IP-адрес, доменів чи інших об’єктів; усе, чого немає в списку, за замовчуванням блокується.
Як працюють білі списки
Білий список перевертає звичний підхід чорного списку. Замість того щоб перелічувати все погане, він дозволяє лише те, що напевно є добрим, — модель «заборона за замовчуванням» (default deny). Типові застосування:
- Білі списки застосунків — запускатися можуть лише схвалені програми, скрипти й драйвери, які визначаються за сертифікатом видавця, хешем файлу чи шляхом. У Windows для цього є AppLocker і App Control for Business (WDAC); NIST описав підхід у SP 800-167.
- Мережеві білі списки — правила міжмережевого екрана, що дозволяють лише певні IP-адреси чи порти, наприклад доступ до SSH або адмін-панелей тільки через VPN.
- Білі списки для пошти й вебу — довірені відправники та домени, які оминають частину фільтрів.
- Перевірка вхідних даних — приймання в застосунках лише очікуваних символів чи значень.
Багато організацій, зокрема британський NCSC з 2020 року, використовують терміни allowlist і blocklist замість whitelist і blacklist.
Чому це важливо
Білі списки застосунків зупиняють більшість невідомого шкідливого ПЗ, зокрема нові програми-вимагачі, бо несхвалені виконувані файли просто не можуть запуститися. Австралійське управління радіотехнічної розвідки (ASD) включає контроль застосунків до базових заходів Essential Eight. Підхід також підтримує принцип мінімальних привілеїв.
Складнощі — супровід і прогалини. Списки треба оновлювати за кожної зміни ПЗ, а зловмисники намагаються зловживати вже дозволеними програмами — PowerShell, mshta чи підписаними драйверами; цей прийом відомий як Living off the Land. Надто широкі правила, наприклад дозвіл на цілі теки, доступні користувачам на запис, зводять захист нанівець.
Рекомендації
- Починати з режиму аудиту, щоб зрозуміти, що запускається у вашому середовищі.
- Надавати перевагу правилам на основі підписів видавців і хешів, а не шляхів.
- Блокувати відомі системні утиліти, якими зловживають і які не потрібні користувачам.
- Регулярно переглядати білі списки й видаляти застарілі записи.
