アプリケーションの許可リストとは？

アプリケーションのホワイトリストは、承認済みのアプリケーションだけをシステム上で実行するセキュリティ手法です。このガイドでは、その仕組みと利点、セキュリティを強化する方法を解説します。

ホワイトリストを導入する際のベストプラクティスと、定期的な更新・監視の重要性を解説します。未承認のソフトウェアやマルウェアから組織を守るには、この手法への理解が欠かせません。

アプリケーションの許可リストとは？

アプリケーションの許可リストは、悪意のあるプログラムがネットワーク上で実行されるのを防ぐエンドポイントセキュリティの一手法です。オペレーティングシステムをリアルタイムで監視し、未承認のファイルの実行を阻止します。

NIST SP 800-167, によると、アプリケーションの許可リストとは「明確に定義された基準に従い、ホスト上での存在または動作が承認されたアプリケーションおよびアプリケーションコンポーネント（ライブラリ、設定ファイルなど）のリスト」です。組織はアプリケーションの許可リスト技術を使用して、マルウェアやその他の未承認ソフトウェアがエンドユーザーのデバイスやネットワーク上で実行されるのを防げます。

アプリケーションの許可リストにより、管理者と組織は実行可能なプログラムを制御できます。許可リストに明示されていないプログラムは、自動的にブロック対象になります。によれば、アプリケーション許可リストとは「明確に定義された基準に基づき、ホスト上で存在または動作が許可されるアプリケーションおよびアプリケーションコンポーネント（ライブラリ、設定ファイルなど）のリスト」である。アプリケーション許可リスト技術を活用することで、組織はエンドユーザー端末やネットワーク上でマルウェアやその他の不正なソフトウェアの実行をエンドユーザーデバイスやネットワーク上で防止できます。

アプリケーションの許可リストとホワイトリスト

「アプリケーションの許可リスト」と「アプリケーションのホワイトリスト」は同じものを指しますが、このセキュリティ機能の表現には「アプリケーションの許可リスト」が推奨されています。

英国の 国家サイバーセキュリティセンター によると、「白」を「良い、許可された、安全な」、「黒」を「悪い、危険な、禁止された」と結び付けることには問題があります。同じ活動を表す、より曖昧さの少ない用語がある場合は特にそうです。

ブロックリストとブラックリスト

「ブロックリスト」（または拒否リスト）と「ブラックリスト」も同様です。サイバーセキュリティで望ましくない属性を表す際には「ブラックリスト」が一般的でしたが、現在は中立的な「ブロックリスト」が好まれます。

アプリケーションの許可リストの仕組み

アプリケーションの許可リストでは、有害な可能性のあるアプリケーションからコンピューターシステムを守るため、実行を許可・承認するソフトウェアの一覧を指定します。この一覧はサードパーティーベンダーが提供する場合も、ホストのオペレーティングシステムに組み込まれている場合もあります。

アプリケーションの許可リストを使用すると、組織は明示的に承認されていないアプリケーションのインストールと実行を防げます。許可リスト用ソフトウェアは、ネットワーク上で実行を試みるアプリケーションを許可済みアプリケーションの一覧と照合します。一覧にあれば実行を許可します。国家サイバーセキュリティセンターによれば、“白”をを「善良で許可され安全な」ものと、ブラックを「悪質で危険かつ禁止された」ものと同一視することは問題がある。特に、同じ活動を説明する別の曖昧さの少ない用語が利用可能な場合にはなおさらである。

通常、許可するアプリケーションを選ぶのはネットワーク管理者です。これにより、システムの安全性を厳格に管理し、サイバーセキュリティ上の意思決定に関与する人を最小限に抑えられます。

ウイルス対策ソフトウェアはブロックリストを使って既知の「悪い」活動を防ぎ、それ以外を許可します。一方、許可リスト技術は既知の「安全な」活動だけを許可し、それ以外をブロックします。この手法は、マルウェアや未承認のソフトウェア、脆弱性が潜む可能性のあるソフトウェアなど、さまざまな脅威の軽減につながります。

現在のマルウェアによる脅威には、特定の標的に合わせて作られたものが多くあります。アプリケーションの許可リストは、そうしたマルウェアのインストールや実行を阻止します。未知のマルウェアの防止には、ウイルス対策ソフトウェアより効果的な場合もあります。

アプリケーションの許可リスト用ソフトウェアは、未承認のアプリケーションをブロックするだけではありません。オペレーティングシステムをリアルタイムで監視し、未承認のファイルの実行を防ぎます。さらに、インストールパッケージを詳細に検査してファイルの完全性を確認します。

アプリケーションの許可リストは、組織のエンドポイントを守るシンプルで効果的な手段です。エンドユーザーが承認済みのアプリケーションだけをインストールできるようにすることで、管理者は悪意のあるプログラムが取り返しのつかない被害をもたらす前に阻止できます。

アプリケーションの許可リストを導入する際は、信頼できるアプリケーションだけがシステム上で実行されるようにすることが重要です。 Singularity XDR のような製品は、リアルタイムの監視と拡張された検知機能を提供し、すべてのエンドポイントで許可リストのポリシーを効果的に適用します。

アプリケーション許可リストを活用することで、組織は明示的に許可されていないアプリケーションのインストールや実行を防止できる。許可リストソフトウェアは、ネットワーク上で実行を試みるアプリケーションを許可済みアプリケーションリストと照合する。アプリケーションが許可リストに登録されていれば、実行が許可される。

アプリケーションの許可リストとブロックリスト

ブロックリスト用ソフトウェアは通常、事前に定義された「悪い」アプリケーションの一覧と、ネットワーク上で実行を試みるアプリケーションを照合します。ブロックリストになければ実行を許可します。

たとえば、従来のウイルス対策ソフトウェアは、ブロックリストを使って既知のマルウェアがコンピューターシステム上で実行されるのを防ぎます。アプリケーションの許可リストは一覧にないものを拒否し、ブロックリストは一覧にないものを許可します。そのため、許可リストの方が安全性が高いと考えられます。

アプリケーションの許可リストとアプリケーション制御

「アプリケーションの許可リスト」と「アプリケーション制御」は同じ意味で使われることが多いものの、常に同じとは限りません。どちらも未承認のアプリケーションを防げますが、許可リストの方が厳格です。

アプリケーション許可リストは、組織のエンドポイントを保護するためのシンプルかつ効果的な対策です。管理者は、エンドユーザーが承認済みアプリケーションのみをインストールできるようにすることで、悪意のあるプログラムが取り返しのつかない損害を与える前に阻止できます。は、未承認のアプリケーションがエンドポイントにインストールされるのを防ぐ点で、アプリケーションの許可リストに似ています。

ただし、この技術には重大な制約が2つあります。第一に、アプリケーション制御はインストールパッケージ単位で機能します。そのため、エンドユーザーがシステムにインストール済みのアプリケーションや単独の実行ファイルを実行することは防げません。Singularity XDR のようなソリューションは、リアルタイム監視と拡張検知機能を提供し、すべてのエンドポイントで許可リストポリシーが効果的に適用されることを保証します。

第二に、アプリケーション制御ツールは、インストールパッケージを必ずしも詳細に検査しません。アプリケーションが許可されているかどうかだけを確認します。そのため、脅威アクターは正規のアプリケーションパッケージに未承認のコードを仕込み、アプリケーション制御ツールを回避する可能性があります。

アプリケーションの許可リストの種類

アプリケーションの許可リストには複数の種類があり、セキュリティ、使いやすさ、管理のしやすさのバランスが異なります。主な種類は次のとおりです。

1. ファイルパス

ファイルパスは最も広い範囲を対象とする属性で、特定のパス（ディレクトリやフォルダー）にあるすべてのアプリケーションを許可します。ディレクトリ内の悪意のあるファイルも実行できてしまうため、単独では安全性の低い属性です。ただし、厳格なアクセス制御によって管理者だけがファイルを追加・変更できる場合は、より信頼性の高い属性になります。

ファイルパスには、パス内の各ファイルを個別に登録する必要がないという利点もあります。新しいアプリケーションやパッチのたびに許可リストを更新する手間を減らせます。

2. ファイル名

ファイル名だけでは、属性として範囲が広すぎることがあります。たとえば、ファイルが感染したり置き換えられたりしても、名前は変わらない可能性が高く、許可リストに基づいて引き続き実行されてしまいます。

さらに、脅威アクターは標準的な無害なファイルと同じ名前を使い、悪意のあるファイルをホストに配置する可能性があります。こうした弱点があるため、ファイル名はファイルパスやデジタル署名など、ほかの属性と組み合わせて使用するのが最も効果的です。

3. ファイルサイズ

管理者はアプリケーションのファイルサイズを監視する際、悪意のあるバージョンは元のバージョンとサイズが異なると想定します。は、エンドポイントへの不正なアプリケーションのインストールを防止できる点で、アプリケーション許可リストと類似しています。

しかし、脅威アクターは無害なファイルと同じサイズになるよう、悪意のあるファイルを意図的に作成することがよくあります。ファイルの識別にはデジタル署名や暗号学的ハッシュなど、ほかの属性のほうが適している場合があります。可能な限り、ファイルサイズの代わりにそれらを使用してください。

4. 暗号学的ハッシュ脅威アクターは、正当なアプリケーションパッケージに不正なコードを埋め込み、アプリケーション制御ツールを迂回する可能性があります。

使用する暗号技術が強固で、その ハッシュ がすでに「安全な」ファイルと関連付けられていれば、暗号学的ハッシュはアプリケーションファイルに対して信頼性の高い一意の値を提供します。ファイルの保存場所、名前、署名方法にかかわらず、通常は正確に識別できます。

ただし、ファイルが更新されると、暗号学的ハッシュの有用性は低下します。たとえば、アプリケーションにパッチを適用すると、適用後のバージョンのハッシュは変わります。この場合、デジタル署名と許可リストに追加された暗号学的ハッシュによって、パッチの正当性を確認できます。

5. デジタル署名と発行元

現在、多くの発行元がアプリケーションファイルにデジタル署名を付与しています。デジタル署名は、受信者がアプリケーションファイルを検証するための信頼性の高い一意の値を提供し、ファイルが正規のもので改ざんされていないことをチームが確認する手段となります。

ただし、アプリケーションファイルに署名しない発行元もいるため、発行元によるデジタル署名だけに頼ることは難しい場合が多くあります。アプリケーションの許可リストには、個々のデジタル署名の検証ではなく、発行元の身元を基準にするものもあります。ただし、この方法は信頼できる発行元のすべてのアプリケーションを組織が信頼できることを前提とします。

アプリケーションの許可リストのメリットと制約

アプリケーションの許可リストには、いくつかのメリットと制約があります。

メリット

アプリケーションの許可リストの主なメリットは、マルウェアや ランサムウェア のネットワークへの侵入と実行を阻止できる点です。アプリケーションの許可リストはブロックリストよりも制限が厳しいため、エンドユーザーが組織の許可リストにないプログラムをインストールするには、管理者の許可が必要です。未承認のアプリケーションに承認を必須とすることで、悪意のあるプログラムがエンドポイントにインストールされるのを防げます。

アプリケーションの許可リストの主なメリットは次のとおりです。

2. ファイル名
• ソフトウェアインベントリの作成
• の支援
• ファイルの監視

デメリット

アプリケーションの許可リストの重要な制約の一つは、セキュリティチームの作業が増える可能性があることです。たとえば、最初の許可リストを作成するには、エンドユーザーの業務と、その遂行に必要なアプリケーションについて詳細な情報を集める必要があります。

同様に、アプリケーションや企業のテクノロジースタックが複雑化するにつれ、許可リストの維持にも時間がかかる場合があります。

アプリケーションの許可リストの主なデメリットは次のとおりです。

3. ファイルサイズ
• エンドユーザーに影響がある
• 適用範囲に制約がある
• 作業負荷が高い

アプリケーションの許可リストのベストプラクティス

1. 信頼できるアプリケーションと特定の管理ツールを許可リストに登録する

   許可または承認するアプリケーションと特定の管理ツールを一覧にし、必須と必須ではないものに分類します。重要度に応じてアプリケーションに優先順位を付けることで、事業運営に不可欠なものと、あれば便利なものを見極められます。

2. アクセスポリシーを文書化する

   次に、一定の基準を満たすユーザーだけが必要なアプリケーションを使用できるよう、ルールを定めたアクセスポリシーを作成します。許可リストに登録されたチームメンバーに異なるアクセスレベルを設定することで、ネットワークへのアクセスとアプリケーションの許可リストの管理を効率化できます。

3. 発行元を確認する

   ライセンスのないアプリケーションや安全性の低いアプリケーションは数多くあり、その多くはWebアプリケーションやネットワークに感染を広げる可能性があります。コンピューターにインストールする前に発行元の正当性を確認することで、脅威アクターが未知の脆弱性を悪用する可能性を低減できます。

4. クラウドとオンプレミスのアプリケーションをともに許可リストに登録する

   オンプレミスとクラウドベースの両方のアプリケーションを確認し、許可リストに漏れがないようにします。ソフトウェアインベントリを徹底的に作成し、すべてのエンドポイントとサーバー上のアプリケーションやプロセスを包括的に可視化します。この情報により、セキュリティチームは未承認のアプリケーションや古いソフトウェアを特定しやすくなります。

5. 許可リストを更新する

   業務の中断を避けるには、許可リストの継続的な更新が欠かせません。開発者は古いバージョンの脆弱性に対処するため、アプリケーションの更新版を頻繁にリリースします。許可リストを更新し、ソフトウェアの最新バージョンに対応させます。許可リストを定期的に更新しないと、アプリケーションが正常に動作せず、損害や業務の中断につながるおそれがあります。

6. ほかのサイバーセキュリティ対策も活用する

   現在、変化する脅威アクターからシステムとネットワークを守るには、複数のサイバーセキュリティ対策が必要です。さまざまなセキュリティ手法を組み合わせることで、防御を強化します。アプリケーションの許可リストだけに頼らず、DNSフィルタリング、メールセキュリティ、 パッチ管理、ウイルス対策、 および 拡張検知・対応プラットフォームなども導入し、潜在的な保護の隙間を埋めます。

幸い、アプリケーションの許可リストは通常、ほかのサイバーセキュリティ対策と併用できます。組織は複数のツールを組み合わせ、自社のネットワークやシステムに合わせて運用できます。

アプリケーションの許可リストの例とユースケース

アプリケーションの許可リストは、ネットワークを安全に保つための先手を打つ手法です。主な目的は、アプリケーションへのアクセス制御です。組織は次のような用途にも活用できます。

暗号ハッシュは、使用される暗号が強力であり、ハッシュ がすでに「正常な」ファイルに関連付けられている限り、アプリケーションファイルに対して信頼性が高く固有の値を提供することができます。暗号ハッシュは通常、ファイルの保存場所、ファイル名、署名方法にかかわらず正確です。ただし、ファイルが更新された場合、暗号ハッシュの有用性は低下します。例えば、アプリケーションにパッチを適用すると、修正後のバージョンは異なるハッシュ値を持ちます。このような場合、パッチはデジタル署名と許可リストに追加された暗号ハッシュによって正当に見えかねません。

アプリケーション許可リストのツールとソフトウェア

アプリケーション許可リストツールを検討する際は、まずホストが稼働する環境を分析します。

アプリケーション許可リスト製品は、一般にSpecialized Security-Limited Functionality（SSLF）環境のホストに最適です。この環境は、攻撃やデータ流出のリスクが高いため、機能を厳しく制限し、安全性を確保しています。また、許可リストの管理と保守には専任の担当者が必要です。

次に、自社の環境に最適なアプリケーション許可リストツールを検討します。デスクトップ、ノートパソコン、サーバーなど、集中管理するホストには、OSに組み込まれた許可リスト機能が実用的な場合があります。管理が比較的容易で、コストも抑えられるためです。

組み込みの許可リスト機能が適さない、または利用できない場合は、強力な集中管理機能を備えたサードパーティ製品が次の選択肢です。

アプリケーション許可リストにはいくつかの利点と制限があります。

利点

アプリケーション許可リストの主な利点は、マルウェアや ランサムウェアがネットワーク内に侵入し実行されるのを阻止するのに役立つことです。アプリケーションの許可リスト方式はブロックリスト方式よりも制限が厳しいため、エンドユーザーは組織の許可リストにないプログラムをインストールする前に管理者の許可を得る必要があります。未承認アプリケーションへの承認要求は、エンドポイントへの悪意あるプログラムのインストール防止に役立ちます。

アプリケーション許可リストの主な利点は以下の通りです：

• マルウェアおよび未知の脅威の防止
• ソフトウェアインベントリの作成
• インシデント対応 サポート
• ファイルの監視

デメリット

アプリケーションの許可リストには、セキュリティチームに追加の作業が発生する可能性があるという重大な制限があります。例えば、初期の許可リストを構築するには、エンドユーザーのタスクとそれらのタスクを実行するために必要なアプリケーションに関する詳細な情報を入手する必要があります。

同様に、アプリケーションや企業技術スタックの複雑化に伴い、許可リストの維持管理には時間がかかる場合があります。

アプリケーションの許可リストに関連する主な欠点には、以下のようなものがあります：

• 実装が困難
• エンドユーザーへの影響
• 適用範囲の制限
• 労力がかかる