Application Whitelisting

general

Définition

L'Application Whitelisting (ou liste blanche applicative), également appelé Application Control ou Application Allowlisting selon la terminologie NIST, est une mesure de sécurité endpoint qui autorise uniquement l'exécution des applications explicitement approuvées et bloque par défaut toute application non répertoriée. C'est l'inverse de l'approche blacklist (blocage des logiciels malveillants connus) : plutôt que d'essayer de bloquer tous les malwares connus, la whitelist bloque tout ce qui n'est pas explicitement autorisé. L'efficacité de l'Application Whitelisting contre les malwares est fondamentalement supérieure à celle des antivirus signature-based. Un antivirus doit connaître la signature du malware pour le bloquer — il est inefficace contre les zero-days et les malwares custom. La whitelist bloque automatiquement tout binaire non approuvé, qu'il soit connu ou non — y compris les zero-days et les malwares fileless qui s'appuient sur des PowerShell scripts non autorisés. C'est pourquoi le NIST SP 800-167 et l'ASD (Australian Cyber Security Centre) classent l'Application Whitelisting comme le contrôle de sécurité endpoint le plus efficace. Les technologies d'Application Whitelisting incluent plusieurs approches. Le whitelisting basé sur le hash : chaque binaire approuvé est identifié par son hash cryptographique (SHA-256) — très précis mais requiert la maintenance des hashes à chaque mise à jour d'application. Le whitelisting basé sur le chemin d'accès : seules les exécutions depuis des chemins autorisés (C:\Program Files, /usr/bin) sont permises — moins précis (un attaquant peut copier un malware dans un chemin autorisé). Le whitelisting basé sur la signature (certificat de signature de code) : les binaires signés par des éditeurs approuvés (Microsoft, Adobe, Google) sont autorisés — bonne scalabilité mais un certificat compromis invalide l'ensemble. Les implémentations principales incluent : AppLocker et Windows Defender Application Control (WDAC) sur Windows, SELinux et AppArmor sur Linux, Jamf et Carbon Black App Control pour les environnements managed. La mise en oeuvre requiert une phase d'audit préalable (inventorier tous les logiciels légitimes déployés) et une maintenance continue (ajouter les nouvelles applications et mises à jour approuvées).

Windows Defender Application Control (WDAC)

WDAC (anciennement Device Guard) est la solution d'Application Whitelisting de Microsoft intégrée dans Windows 10/11 Enterprise. Les politiques WDAC définissent quels binaires, scripts, et DLLs peuvent s'exécuter, basées sur des critères multiples : hash SHA-256, chemin de fichier, éditeur (certificat de signature de code), ou une combinaison. WDAC opère en mode kernel — plus difficile à contourner que les solutions userland comme AppLocker. Les politiques sont distribuées via GPO ou Microsoft Intune. Le mode "Audit Only" permet de déployer la politique sans blocage initial pour identifier les applications non couvertes avant d'activer le blocage. Microsoft recommande WDAC plutôt qu'AppLocker pour les nouveaux déploiements. La politique WDAC recommandée par ANSSI et CIS bloque l'exécution depuis les profils utilisateurs (Desktop, Downloads, %temp%) où les malwares atterrissent typiquement.

Contournements courants et contre-mesures

Les attaquants ont développé plusieurs techniques pour contourner l'Application Whitelisting. Living-off-the-Land Binaries (LOLBins) : utiliser des binaires Windows légitimes (mshta.exe, wscript.exe, rundll32.exe, regsvr32.exe, certutil.exe) pour exécuter du code malveillant — ces binaires sont dans la whitelist car légitimes. Contre-mesure : bloquer les LOLBins non nécessaires en production (la liste est publiée par le projet LOLBas). DLL Sideloading : placer une DLL malveillante dans un répertoire où une application whitelistée la charge préférentiellement. Contre-mesure : politiques WDAC qui whitelist aussi les DLLs. Signed Malware : malware signé avec un certificat de code volé ou obtenu frauduleusement. Contre-mesure : révocation rapide des certificats compromis (OCSP/CRL), monitoring des certificats via Certificate Transparency. La combinaison Application Whitelisting + surveillance comportementale EDR est plus efficace que chaque mesure seule.

Déploiement progressif — mode audit puis blocage

Le déploiement de l'Application Whitelisting en production sans préparation est une source d'incidents majeurs (blocage d'applications métier critiques). La démarche recommandée : (1) Phase discovery (2-4 semaines en mode Audit Only) — déployer WDAC en mode audit, collecter tous les événements d'exécution via Windows Event Log (Event ID 3076), identifier les applications légitimes non couvertes par la politique initiale. (2) Construire la politique blanche à partir des exécutions légitimes découvertes. (3) Test sur un groupe pilote (5-10% des postes) en mode blocage avec rollback rapide disponible. (4) Déploiement progressif par vague, avec monitoring des incidents de blocage. (5) Processus d'exception documenté pour les nouvelles applications (demande, validation sécurité, ajout à la whitelist via Intune). Cette approche prend 1-3 mois mais garantit un déploiement sans interruption de service.

Articles liés

Expert en cybersécurité offensive et intelligence artificielle. Pentest, audit et développement IA sur-mesure.

Services

Ressources

Projets & Outils

Contact

Nous contacter

Mentions légales Confidentialité Politique éditoriale Plan du site ⭐ Source préférée

Un projet cybersécurité ?

Expert dispo · Réponse 24h

Devis