Utilisation d'une liste blanche des applications

NON CLASSIFIÉ
Utilisation d’une liste blanche des applications
Conseils à l’intention du gouvernement du Canada
ITSB-95
Janvier 2013
Introduction
L’utilisation d’une liste blanche des applications figure parmi les quatre mesures les plus importantes dans la liste des
35 mesures d'atténuation les plus efficaces du CSTC (ITSB-89A). La mise en œuvre simultanée de ces quatre mesures
permettrait de prévenir la grande majorité des intrusions auxquelles le CSTC doit intervenir à l’heure actuelle.
Le présent document propose des lignes directrices de haut niveau expliquant en quoi consiste une liste blanche des
applications, ce qui ne constitue pas une liste blanche des applications et la mise en œuvre efficace d’une telle liste
dans un environnement Windows.
Pourquoi faut-il mettre en œuvre une liste blanche des applications?
Une liste blanche des applications est conçue spécifiquement pour empêcher l’exécution de programmes malveillants et
non autorisés. Elle permet de s’assurer que seuls les programmes (fichiers exécutables ou EXE) et les bibliothèques de
logiciels (DLL) spécifiquement sélectionnés peuvent être lancés, ce qui bloque l’exécution de tous les autres
programmes et bibliothèques.
Bien qu’elle vise principalement à réduire au minimum l’exécution et la diffusion de programmes malveillants (ou
maliciels), une liste blanche peut également prévenir l’installation ou l’utilisation de logiciels non autorisés.
La mise en œuvre d’une liste blanche des applications à l’échelle d’un organisme peut représenter une tâche difficile.
L’organisme peut toutefois commencer par les systèmes d’employés de premier plan et souvent ciblés, notamment :
les cadres supérieurs et leurs adjoints;
le personnel des services de soutien, les administrateurs système et les utilisateurs qui ont des privilèges
d’administrateur ou des privilèges d’accès;
les utilisateurs qui ont accès à l’information sensible;
les utilisateurs qui ont l’accès à distance;
les utilisateurs qui, dans le cadre de leurs fonctions, doivent traiter des courriels non sollicités de la part du
public et d’autres utilisateurs inconnus du Web (p. ex. le personnel des ressources humaines qui est
fréquemment appelé à ouvrir des fichiers joints à des courriels de candidature).
De plus, les services ministériels de premier plan, comme les principaux serveurs d’applications (contrôleurs de
domaines, l’annuaire principal Active Directory, serveurs de bases de données) pourraient également faire partie du
déploiement initial d’une liste blanche des applications.
En quoi consiste une liste blanche des applications?
La mise en œuvre d’une liste blanche des applications comprend les étapes techniques suivantes :
cerner les exécutables et bibliothèques de logiciels dont l’exécution doit être permise sur un système donné;
empêcher l’exécution de tout autre exécutable ou bibliothèque de logiciels sur ce système;
empêcher les utilisateurs de modifier la liste blanche.
Une approche intermédiaire et moins difficile consiste à spécifier plutôt les répertoires dans lesquels les utilisateurs sont
autorisés à exécuter des programmes, par exemple C:\Windows, C:\Program Files ou même C:\Program
Files\Application spécifique. Cette approche assure un certain degré de protection contre l’exécution d’applications hors
des répertoires spécifiés, toutefois elle ne tient pas compte de nombreux scénarios potentiels de compromission. Si
aucune liste blanche n’est utilisée, cette approche intermédiaire est préférable. Néanmoins, il est recommandé
1

NON CLASSIFIÉ
d’appliquer sans délai une approche plus exhaustive, par exemple lors de la prochaine actualisation de l’environnement
d’exploitation standard.
Qu’est-ce qui ne constitue pas une liste blanche des applications?
Un portail ou tout autre moyen similaire d’installation d’une liste restreinte de logiciels approuvés (comme le fait iTunes,
par exemple) ne constitue pas une liste blanche des applications. Cette méthode n’empêche pas les utilisateurs
d’exécuter des logiciels ne figurant pas dans le portail et n’empêche pas non plus les maliciels de s’exécuter et de
compromettre un système.
Une liste blanche des applications ne signifie pas qu’il faut simplement empêcher les utilisateurs de modifier le
contenu de répertoires tels que C:\Windows ou C:\Program Files. Bien que cette approche puisse bloquer l’installation
de certains logiciels, elle n’empêche pas l’exécution de logiciels enregistrés dans des emplacements tels que le bureau
de l’utilisateur ou des répertoires temporaires. Les maliciels utilisent souvent ces emplacements pour infecter les postes
de travail.
Comment mettre en œuvre une liste blanche des applications?
En règle générale, une liste blanche des applications est mise en œuvre en combinant, d’une part, un produit logiciel
permettant de sélectionner et d’approuver les exécutables et bibliothèques de logiciels nécessaires, et d’autre part, des
listes de contrôle d’accès permettant d’empêcher les utilisateurs de modifier les fichiers approuvés. Il existe sur le
marché plusieurs programmes de création de listes blanches, appelés également programmes de contrôle
d’applications. Par exemple, certains produits antivirus sont en mesure de créer une liste blanche d'applications basée
sur les hachages cryptographiques. Les versions récentes de Microsoft Windows comportent aussi des fonctions
gratuites de listes blanches d’applications.
Le logiciel et la configuration sélectionnés doivent impérativement couvrir à la fois les exécutables et les bibliothèques
de logiciels, puisque l’omission de l’un de ces types d’application annulerait la protection offerte par la liste blanche. Il
faut examiner les différents produits disponibles afin de déterminer celui qui sera le plus efficace en fonction de la mise
en œuvre recherchée et des évaluations disponibles des produits.
Avant la mise en œuvre du produit choisi, il peut s’avérer utile de réaliser des activités de planification et de
prédéploiement. Par exemple, il est recommandé de rédiger une politique énonçant les applications qui sont autorisées.
De plus, il faut mettre en place des restrictions stipulant quels utilisateurs sont autorisés à exécuter certaines
applications précises. Ces restrictions doivent être fondées sur les besoins associés au rôle et aux responsabilités de
chaque utilisateur au sein de l’organisme.
L’aspect le plus difficile de l’établissement d’une liste blanche a lieu généralement au début du projet, à savoir
déterminer les applications essentielles aux activités de l’organisme. Toutefois, le logiciel de liste blanche ne devrait pas
nécessiter une grande maintenance après la configuration initiale, laquelle peut être modifiée au besoin.
Les règles d’une liste blanche sont modifiables et peuvent être adaptées en fonction des besoins de l’organisme. Elles
peuvent être générées automatiquement par le produit ou créées manuellement. Il est cependant préférable de tester
d’abord les règles sur un poste de travail réservé à cet effet, puis de les appliquer à un groupe d’utilisateurs pilote. Par
ailleurs, il est tout aussi important d’utiliser des méthodes autres que la simple identification du nom de fichier ou de
l’emplacement du répertoire pour identifier les exécutables faisant partie de la liste blanche, de manière à cerner les
maliciels qui se font passer pour des logiciels légitimes.
Pour faciliter la mise en œuvre, il pourrait être avantageux de tester initialement la liste blanche en mode Vérification
seulement. Dans ce mode, les événements que la liste blanche aurait bloqués si elle avait été activée sont journalisés.
Ainsi, les résultats peuvent être analysés afin de déterminer si la configuration proposée pour la liste blanche est
efficace. Le journal des événements contient de l’information utile (empreintes digitales des applications) en cas
d’incident et pendant la phase de rétablissement.
Une liste blanche des applications limite les activités des utilisateurs dans l’environnement informatique. Il est donc
important d’expliquer aux utilisateurs les raisons de sécurité ayant motivé les modifications et de leur offrir le soutien
nécessaire afin qu’ils puissent s’adapter à leur nouvel environnement de travail. Il faut également donner au personnel
de soutien les directives nécessaires sur la façon d’aider les utilisateurs et de répondre à leurs demandes et
préoccupations.
2

NON CLASSIFIÉ
Comme l’environnement informatique évolue au fil du temps, il importe de mettre à jour régulièrement les règles de la
liste blanche pour veiller à ce que le programme de contrôle d’applications demeure efficace.
Renseignements additionnels
La liste complète des 35 mesures d’atténuation les plus efficaces du CSTC ainsi que des conseils additionnels se
trouvent à l’adresse http://www.cse-cst.gc.ca/its-sti/publications/index-fra.html. Pour les questions d’ordre général au sujet
du présent document, veuillez envoyer un courriel à itsclientservices@cse-cst.gc.ca.
3