Рекомендації Агентство національної безпеки з кібергігієни: доповнення списків дозволеного та контролі Zero Trust 

В оновленому посібнику наведено низку заходів контролю за принципом Zero Trust як найкращих практик для захисту від складних затяжних загроз (APT). 
Однією з головних рекомендацій є впровадження суворого контролю додатків за допомогою списків дозволеного (application allowlisting). 
Мета рекомендацій АНБ з кібергігієни — надати організаціям базові кроки для зменшення поверхні атаки та швидкого реагування на інциденти. 
Найкращий шлях до цього — почати з політики «за заборонено за замовчуванням». 

Щодня ідентифікується понад 450 000 нових шкідливих та потенційно небезпечних програм. 
У кожній організації є додатки, які максимально близькі до повністю довірених. Також є софт, який вважається прийнятним, і той, що існує «поза радарами», залишаючись абсолютно невідомим для IT-команд, поки не виявить себе. 
Мало хто назвав би це прийнятним рівнем ризику, але в таку ситуацію легко потрапити. Це відбувається через те, що користувачі встановлюють безкоштовні інструменти для вирішення поточних завдань, тимчасові розширення браузера залишаються в щоденному використанні, або ж легітимні додатки містять вразливості, про які ніхто не здогадувався. 
У рамках системи безпеки, яка повністю базується на використанні списків заборонених елементів, адміністратори намагаються керувати цим ризиком, запобігаючи запуску шкідливих програм. 
Навіть сама теорія списків блокування демонструє її недоліки. Вона передбачає визначення програм, типів файлів або поведінки, які має бути заблоковано, дозволяючи при цьому запуск усього іншого. Списки блокування зручні для оперативної діяльності, оскільки не створюють перешкод для користувачів, але вони безпорадні проти загроз, які ще не було ідентифіковано. 
З огляду на стрімкий розвиток шкідливого софту під управлінням ШІ, зростання кількості атак нульового дня (zero-day) та перетворення легітимних інструментів на зброю, списки блокування залишають надто багато простору для розгортання невідомих загроз — незалежно від того, наскільки вичерпним та актуальним є сам список. 

Списки дозволеного змінюють модель контролю, дотримуючись підходу «нульової довіри», де за замовчуванням усе заборонено.

Адміністратори самі вирішують, що дозволено, а все, що знаходиться поза цим списком, блокується за замовчуванням. Додатки, скрипти та бібліотеки повинні отримати підтвердження перед тим, як зможуть запускатися.

Якщо програмне забезпечення невідоме, неавторизоване або просто непотрібне, воно не запуститься. У випадку зі шкідливими програмами це означає, що ланцюжок атаки зупиняється ще до його початку.

Списки блокування не вписуються в принципи середовища Zero Trust або будь-якої системи, що вимагає високого рівня контролю над додатками.

Новий шкідливий код програми-вимагача (ransomware), який не блокується, виконається безперешкодно. Користувачі мають повну свободу встановлювати розширення чи запускати скрипти, які ще не привернули увагу IT-відділу.

Списки блокування — це не хаос за замовчуванням, але їхня ефективність критично залежить від надзвичайно шумного та недосконалого процесу адміністрування. 

Після каталогізації середовища використання списків дозволеного спрощує робочі процеси, надаючи IT-командам чітку картину схваленого програмного стеку. Це прямий спосіб боротьби із «тіньовими IT» (shadow IT). 
Якщо користувачеві потрібен новий інструмент, він може надіслати запит на доступ безпосередньо з кінцевої точки. Це дає IT-фахівцям можливість внутрішньо перевірити софт, запропонувати альтернативу та оцінити потенційний вплив від схвалення програми. 
Без складнощів первинного налаштування та постійного адміністрування Allowlisting проявляє себе як інструмент управління, що водночас слугує вкрай ефективним механізмом захисту. 
 Адміністратори можуть чітко визначати, що саме запускається, коли, де і ким. Тому «білий список» ідеально підходить для підтримки принципу «заборона за замовчуванням», що полегшує дотримання регуляторних вимог та дозволяє легко демонструвати аудиторам, що саме дозволено і чому. 

Дехто вважає списки дозволеного проблематичними через високу точність адміністрування, якої вони вимагають. Списки блокування діють грубо — вони б'ють по відомих проблемах. Списки дозволеного вимагають точковості, що на початковому етапі означає прийняття складних рішень та впровадження чітких правил. 

Для безпеки кінцевих точок унікального середовища кожної організації найпотужніші інструменти є зазвичай найпростішими та найзрозумілішими.

Використання списку дозволених програм враховує всі нюанси бізнесу, але зводить виконання програм до бінарного правила: якщо додаток є у списку — він працює; якщо немає — ні.

Замість постійного вистежування небезпечного софту організації отримують можливість самі визначити, як виглядає безпечне середовище. Якщо це визначення змінюється, ThreatLocker дозволяє швидко та чисто скоригувати правила.

У середовищі, де програмне забезпечення може з'являтися непомітно, а нападники діють стрімко, саме такий рівень контролю змінює все.