ホワイトリスト：定義、用途、ブラックリストとの違い、ベストプラクティス

主な種類と利用場所

ホワイトリストは、技術分野やポリシー運用の各所で用いられる。一般的な例は次のとおりである。

• 特定のIPアドレスまたはドメインからの通信を許可するネットワークおよびファイアウォールのルール。
• 承認済みの送信者からのメッセージをスパムフィルターの対象外とするメールのホワイトリスト。
• エンドポイントで実行できるプログラムを制限するアプリケーション許可リスト。
• 承認済みのウェブサイトまたはメディアにのみアクセスを認めるウェブ・コンテンツフィルター。

これらのリストは静的に管理することも、管理者または自動化システムが動的に更新することもできる。

利点と限界

利点：

• 既知で安全な対象だけを許可することで、攻撃対象領域を縮小し、デフォルトでより強い保護を実現できる。
• 承認済みの対象には一貫したアクセスまたは権限が与えられ、動作を予測しやすい。
• 厳格な管理が求められる高セキュリティ環境やコンプライアンス上の場面で有用である。

限界：

• 管理上の負担があり、正確なホワイトリストの維持には時間がかかる場合がある。
• 正当な新規の対象であっても、審査されリストに追加されるまでブロックされる可能性がある。
• リスト管理や本人・対象の検証が不十分であれば、誤った安心感を与えかねない。

ブラックリストおよびグレーリストとの比較

ホワイトリスト方式は、既知の有害な対象をブロックし、それ以外を許可するブラックリスト方式と異なる。多くのシステムは両方を組み合わせ、重要な機能にはホワイトリストを、既知の脅威にはブラックリストを用いる。不確実な対象について、恒久的な判断の前に一時的に遅延させたり監視したりする、中間的な方法であるグレーリストを使う場合もある。比較の詳細は許可リストとブロックの比較およびブラックリスト戦略に関する資料を参照。

実践的な指針と例

ホワイトリストを効果的に導入するには、以下を行う。

1. 範囲を定義する。アプリケーション、サイト、ユーザーなど、何をホワイトリストに登録するか決める。
2. 手順を確立する。承認フロー、監査、定期的な見直しを定める。
3. 統制を組み合わせる。監視、ログ記録、条件付きの例外と併用する。

例として、組織は従業員のノートPCで会社が署名したアプリケーションのみを許可し、信頼できる会議用ドメインの短いリストを維持し、新規承認には文書化された正当化を求めることがある。適切に管理されれば、ホワイトリストはリスクを低減しポリシーを徹底する強力な手段となるが、有効性を保ち正当な活動を妨げないためには、ガバナンスが必要である。