ホワイトリスト・ブラックリストとは？

ホワイトリスト・ブラックリストの意味

許可するものだけをリスト化し、それ以外をすべて拒否する方式（ホワイトリスト）と、禁止するものだけをリスト化し、それ以外を許可する方式（ブラックリスト）。前者のほうが未知の脅威にも安全側に倒せる。

ホワイトリスト・ブラックリストの具体例

業務用端末で実行を許可するアプリケーションをホワイトリスト化しておけば、リストにない未知のマルウェアは実行そのものがブロックされる。

ホワイトリスト・ブラックリストは試験でどう引っ掛けられる？

ブラックリスト方式は既知の脅威にしか対応できず、未知のマルウェアを防げない点がホワイトリスト方式との比較で問われやすい。

ホワイトリスト・ブラックリストと関連する用語

• マルウェア対策ソフト

ホワイトリスト・ブラックリストが出た過去問

• WAF（Web Application Firewall）におけるブラックリスト又はホワイトリストの説明のうち、適切なものはどれか。

  正解：ブラックリストは、問題がある通信データパターンを定義したものであり、該当する通信を遮断又は無害化する。

  要点：WAFは通信パターンの黒白リストで攻撃を遮断する

  WAFはWebアプリケーションへの通信内容を検査する仕組みで、ブラックリスト方式は攻撃に特徴的なパターンを定義しておき、合致した通信を遮断または無害化する。逆にホワイトリスト方式は正常と判断できる通信パターンだけを許可する。どちらもIPアドレスやFQDNの良し悪しを登録するものではない点に注意する。

  出典：平成29年度 春期 情報セキュリティマネジメント試験 午前 問29（IPA）

• WAF（Web Application Firewall）におけるブラックリスト又はホワイトリストに関する記述のうち，適切なものはどれか。

  正解：ブラックリストは，問題がある通信データパターンを定義したものであり，該当する通信を遮断する。

  要点：WAFのリストは通信データのパターンで許否を判定する

  WAFはWebアプリケーションへの通信内容を検査して攻撃を遮断する仕組みで、判定にはブラックリスト方式とホワイトリスト方式がある。ブラックリストは攻撃に特徴的な通信パターンを定義しておき、合致した通信を遮断する方式で、未知の攻撃には弱い。ホワイトリストは正常な通信パターンを定義し、それ以外を遮断する方式で、厳密だが定義の作成と保守に手間がかかる。いずれもIPアドレスやFQDNではなく、通信データのパターンで判定するのが基本である。

  出典：平成30年度 秋期 情報セキュリティマネジメント試験 午前 問30（IPA）

• WAFにおけるフォールスポジティブに該当するものはどれか。

  正解：HTMLの特殊文字“<”を検出したときに通信を遮断するようにWAFを設定した場合、“<”などの数式を含んだ正当なHTTPリクエストが送信されたとき、WAFが攻撃として検知し、遮断する。

  要点：フォールスポジティブは正常な通信を攻撃と誤検知すること

  フォールスポジティブ(誤検知)は、正常な通信を攻撃と誤って判定して遮断してしまうことである。逆に、実際の攻撃を見逃すことをフォールスネガティブ(検知漏れ)という。ブラックリスト方式で特定文字を一律に遮断すると、その文字を含む正当なリクエストまで止まり、可用性を損なう。

  出典：令和1年度 秋期 情報セキュリティマネジメント試験 午前 問14（IPA）