whitelisting

Whitelisting to praktyka jawnego dopuszczania zaufanych elementów zamiast blokowania niechcianych.

Whitelisting jako metoda kontroli dostępu

Whitelisting oznacza sposób zarządzania bezpieczeństwem, w którym z góry określa się elementy uznane za dozwolone. Mogą to być programy, pliki, adresy internetowe, domeny, urządzenia, konta użytkowników albo konkretne procesy uruchamiane w systemie. Wszystko, co znajduje się poza zatwierdzonym zbiorem, nie otrzymuje dostępu automatycznie i może zostać zablokowane, wstrzymane do sprawdzenia albo oznaczone jako wymagające decyzji administratora.

Takie podejście jest przydatne wszędzie tam, gdzie ważniejsza od maksymalnej swobody jest przewidywalność działania. Komputer używany do pracy biurowej, stanowisko obsługujące określony program lub urządzenie przeznaczone do jednego zadania może działać według jasno ustalonych reguł. Właściwie skonfigurowane whitelisting ogranicza ryzyko uruchomienia nieznanego pliku, instalacji przypadkowej aplikacji i połączenia z podejrzaną stroną.

Nie należy jednak traktować tej metody jako samodzielnego zabezpieczenia. Lista dozwolonych elementów wymaga aktualizacji, a zatwierdzony program może zostać wykorzystany w niepożądany sposób, jeśli ma lukę, obsługuje niebezpieczny dokument albo korzysta z dodatkowych komponentów. Bezpieczeństwo zależy więc również od aktualizacji, kopii zapasowych, ochrony kont, ostrożności użytkowników i bieżącego monitorowania systemu.

Whitelisting a blacklisting i inne modele filtrowania

Whitelisting działa odwrotnie niż blacklisting. W modelu opartym na czarnej liście domyślnie dopuszcza się wiele elementów, a blokuje się te rozpoznane jako szkodliwe lub niepożądane. Jest to wygodne w środowisku, w którym często pojawiają się nowe programy i strony, ale wymaga szybkiego rozpoznawania zagrożeń. Nieznany obiekt może przejść przez zabezpieczenie, zanim zostanie sklasyfikowany.

W modelu białej listy domyślna zasada jest bardziej restrykcyjna: dopuszczenie wymaga wcześniejszego wskazania programu, pliku, adresu lub urządzenia. Zmniejsza to powierzchnię ataku, lecz może utrudniać pracę, gdy lista jest zbyt wąska. Pojawia się wtedy problem fałszywych blokad, czyli sytuacji, w której bezpieczne i potrzebne działanie zostaje zatrzymane tylko dlatego, że nie zostało wcześniej zgłoszone.

Stosowane są również rozwiązania mieszane. Podstawowa lista dozwolonych programów może być uzupełniona o reguły blokujące określone typy plików, podejrzane lokalizacje, nieaktualne dodatki lub nietypowe zachowania. Można też przyjąć model oparty na reputacji, podpisie cyfrowym i źródle pochodzenia. Wtedy nie wystarcza sama nazwa pliku. Analizuje się wydawcę, integralność, miejsce pobrania, wersję oraz zgodność z przeznaczeniem komputera.

W praktyce warto rozdzielić whitelisting aplikacji od whitelisting stron internetowych i urządzeń. Zezwolenie na konkretną domenę nie powinno automatycznie oznaczać zgody na każdy pobierany plik. Podobnie zaakceptowanie pamięci przenośnej nie musi umożliwiać uruchamiania wszystkich znajdujących się na niej programów.

Whitelisting przy typowych problemach z komputerem

Trudności z białą listą często pojawiają się po aktualizacji systemu albo programu. Zmiana pliku wykonywalnego, podpisu cyfrowego, ścieżki instalacji lub sposobu uruchamiania może sprawić, że wcześniej dozwolona aplikacja przestanie być rozpoznawana. Objawem bywa komunikat o zablokowaniu, brak reakcji po kliknięciu, nieuruchamianie dodatku albo działanie programu tylko z uprawnieniami administratora.

Innym problemem jest zbyt ogólna reguła. Zezwolenie na cały katalog może ułatwiać pracę, ale jednocześnie pozwalać na uruchamianie niepożądanych plików umieszczonych w tym samym miejscu. Z kolei reguła odnosząca się do pojedynczej wersji programu może szybko stać się nieaktualna. Należy unikać zarówno nadmiernej swobody, jak i ustawień tak szczegółowych, że każda drobna zmiana wywołuje blokadę.

Problematyczne bywają także programy korzystające z kilku procesów pomocniczych. Aplikacja może uruchamiać osobny moduł aktualizacji, usługę działającą w tle, narzędzie do drukowania lub komponent odpowiedzialny za komunikację sieciową. Dopuszczenie tylko głównego pliku może nie wystarczyć. Jednocześnie zezwalanie na wszystkie elementy bez sprawdzenia ich pochodzenia może osłabić ochronę.

Podczas diagnozowania warto zapisać dokładny komunikat, nazwę zablokowanego elementu, moment wystąpienia problemu i ostatnią wykonaną zmianę. Przydatne są dzienniki zabezpieczeń oraz informacje o wersji systemu i aplikacji. Nie zaleca się trwałego wyłączania ochrony tylko po to, aby ominąć pojedynczą blokadę. Najpierw należy ustalić, czy zatrzymany element jest rzeczywiście potrzebny i pochodzi z wiarygodnego źródła.

Whitelisting i praktyczne zasady bezpiecznej konfiguracji

Konfigurację najlepiej rozpocząć od spisu programów faktycznie używanych na danym komputerze. Dobrze jest podzielić je na narzędzia niezbędne, okazjonalne oraz zbędne. Na liście powinny znaleźć się tylko aplikacje mające uzasadnione zastosowanie. Każdy wpis powinien być opisany w sposób umożliwiający późniejsze rozpoznanie: nazwa programu, producent, przeznaczenie, źródło instalacji oraz zakres przyznanego dostępu.

Reguły powinny być możliwie precyzyjne. Bezpieczniej wskazać konkretny plik i jego podpis niż zezwolić na wszystkie pliki o podobnej nazwie. Należy ograniczać dostęp do lokalizacji, których aplikacja nie potrzebuje, oraz oddzielać programy używane przez różnych użytkowników. W przypadku stron internetowych warto uwzględniać przekierowania, poddomeny i usługi wymagane do logowania, ale każdą dodatkową domenę należy sprawdzić przed dodaniem.

Lista powinna być okresowo przeglądana. Usunięte programy, nieużywane wyjątki i stare wersje mogą pozostać niewidocznym obciążeniem. Przydatne jest prowadzenie rejestru zmian: kto dodał regułę, z jakiego powodu, na jaki czas i kiedy należy ją ponownie ocenić. Tymczasowe odstępstwa powinny mieć termin wygaśnięcia, aby nie stały się stałym wyjątkiem.

Ważne jest również przygotowanie bezpiecznej procedury awaryjnej. Przed zmianą reguł warto mieć kopię konfiguracji i działającą kopię zapasową danych. Jeśli blokada dotyczy pliku pobranego z poczty lub nieznanej strony, najpierw należy sprawdzić jego źródło, podpis i reputację. Sam fakt, że plik nosi znajomą nazwę, nie potwierdza jego autentyczności.

Whitelisting jako sygnał do zgłoszenia komputera

Do serwisu warto zgłosić komputer, gdy blokady powtarzają się mimo poprawnych ustawień, po każdej aktualizacji zmieniają się reguły albo nie da się ustalić, który proces odpowiada za zatrzymanie programu. Pomoc może być potrzebna również wtedy, gdy system działa niestabilnie, pojawiają się nieznane wpisy na liście dozwolonych elementów, a ochrona zgłasza pliki pozostające poza oczekiwanym miejscem.

Podczas przygotowania do zgłoszenia przydatne jest zanotowanie modelu urządzenia, wersji systemu, nazwy aplikacji oraz dokładnej treści komunikatu. Nie należy usuwać dzienników ani wielokrotnie zmieniać ustawień w sposób uniemożliwiający odtworzenie problemu. W razie podejrzenia infekcji komputer powinien zostać odłączony od sieci, a ważne dane należy zabezpieczyć z użyciem sprawdzonej kopii.

Warszawskie Pogotowie Komputerowe 24/7 zajmuje się analizą problemów z konfiguracją zabezpieczeń, działaniem aplikacji i nieprawidłowościami systemu na komputerach używanych na co dzień. W ramach diagnostyki można ustalić, czy przyczyną jest błędna reguła whitelisting, uszkodzona instalacja, konflikt programów, brak aktualizacji lub działanie niepożądanego pliku. Po rozpoznaniu problemu można uporządkować listę wyjątków, przywrócić poprawne działanie aplikacji i wskazać zasady dalszego bezpiecznego użytkowania.