Contrôle des applications
Qu’est-ce que le contrôle des applications?
Le contrôle des applications est une mesure de cybersécurité qui n’autorise que l’exécution des logiciels approuvés et bloque tout le reste. Là où l’antivirus se demande si un fichier est connu comme malveillant, le contrôle des applications pose la question inverse : ce programme figure-t-il sur la liste approuvée? Sinon, il ne s’exécute pas. Lavawall® offre l’élévation des privilèges d’administrateur et la prévention d’exécution pour les outils à haut risque, sans pilote noyau.
Commencer gratuitement, sans carte de crédit Voir comment cela fonctionne
Liste d’autorisation · refus par défaut · contrôle de l’élévation · mode noyau et mode utilisateur
Définition
Le contrôle des applications, aussi appelé liste d’autorisation d’applications, liste blanche d’applications ou, dans sa forme la plus stricte, « refus par défaut », consiste à restreindre l’exécution sur les postes de travail à un ensemble connu de logiciels approuvés. Là où l’antivirus et l’EDR demandent : « ce binaire est-il connu comme malveillant? », le contrôle des applications demande l’inverse : « ce binaire figure-t-il sur la liste approuvée? Sinon, bloquez-le. »
La discipline comporte plusieurs couches. Le contrôle de base des applications restreint l’exécution selon le certificat de signature, l’empreinte ou le chemin du fichier. Le cloisonnement, généralement une fonction de produits plus avancés, restreint aussi ce qu’une application autorisée peut faire une fois en cours d’exécution : les destinations réseau qu’elle peut joindre, les fichiers qu’elle peut lire ou écrire et les processus enfants qu’elle peut lancer. Le contrôle de l’élévation restreint les applications approuvées qui peuvent s’exécuter avec les droits d’administrateur.
Le contrôle des applications a toujours été assuré par un pilote en mode noyau, qui peut arbitrer chaque lancement de processus et chaque chargement de binaire avec une grande fidélité. Le compromis est opérationnel : les bogues en mode noyau causent des écrans bleus, la signature des pilotes de noyau dépend de la chaîne d’autorités de certification de Microsoft, et les hôtes de session Bureau à distance ont une longue histoire d’instabilité avec les agents de poste de travail en mode noyau. De nouvelles approches « sans noyau » appliquent la politique en mode utilisateur ou par Windows Defender Application Control / AppLocker, intégrés à Microsoft. Elles renoncent à une partie de la profondeur de détection, mais gagnent une bien meilleure fiabilité opérationnelle.
Composantes principales
- Liste d’autorisation / liste blanche. La liste des exécutables, scripts et programmes d’installation autorisés à s’exécuter. Tenue à jour selon le certificat de signature, l’empreinte, le chemin du fichier ou les métadonnées de l’éditeur.
- Refus par défaut. La position de politique selon laquelle tout ce qui ne figure pas expressément sur la liste d’autorisation est bloqué. La forme la plus forte de contrôle des applications.
- Cloisonnement. Restreindre le comportement ultérieur d’une application autorisée : les destinations réseau qu’elle peut joindre, les fichiers qu’elle peut lire ou écrire et les processus enfants qu’elle peut lancer. Généralement une fonction du mode noyau.
- Contrôle de l’élévation. Restreindre les applications approuvées qui peuvent s’exécuter avec les privilèges d’administrateur. Sert à permettre à un utilisateur standard d’effectuer une action d’administration ponctuelle sans lui accorder de droits d’administrateur local permanents.
- Mode apprentissage. Phase de découverte pendant laquelle l’outil observe les logiciels qui s’exécutent sur un poste de travail, sans les bloquer, afin d’alimenter la liste d’autorisation initiale.
- Préapprobation par installateur signé. Stratégie de liste d’autorisation qui approuve les logiciels selon leur certificat de signature (éditeur) plutôt que selon l’empreinte du fichier. Résiste aux mises à jour normales des fournisseurs sans intervention de l’opérateur; moins efficace contre des clés de signature entièrement volées.
- Préapprobation par empreinte. Stratégie de liste d’autorisation qui approuve un binaire précis selon son empreinte SHA-256. La plus grande fidélité, mais elle échoue à chaque mise à jour d’un fournisseur; la charge opérationnelle est donc importante.
- Application en mode noyau ou en mode utilisateur. L’endroit où la politique est appliquée. Le mode noyau offre une plus grande fidélité, mais peut provoquer un écran bleu; le mode utilisateur est plus fiable, mais intercepte un peu moins en profondeur.
Pourquoi c’est important
Le contrôle des applications figure constamment dans les cadres de cybersécurité parmi les mesures préventives à plus forte incidence. L’Essential Eight de l’Australian Signals Directorate en fait la stratégie 1; CIS Controls v8 le désigne comme groupe de mise en œuvre 2 / 3; CMMC 2.0 le référence par les familles de contrôles SC et CM de NIST SP 800-171.
Empiriquement, la raison est simple : la plupart des rançongiciels et des logiciels malveillants courants sont distribués sous forme d’exécutables non signés ou signés avec des clés volées, qui ne figureraient jamais sur une liste d’autorisation bien tenue. Les logiciels anti-malveillants des postes de travail en détectent une bonne part, mais pas tous. Le contrôle des applications comble l’écart résiduel en empêchant l’exécution des exécutables non reconnus, même lorsque l’AV / EDR les rate.
Pour les FSG, le contrôle des applications est aussi une question fréquente en assurance cyber. Les analyses d’assurance demandent de plus en plus où en est la mise en œuvre du contrôle des applications, et des primes et des franchises plus basses suivent souvent une couverture démontrable.
Comment Lavawall® aide pour le contrôle des applications
Lavawall® offre l’élévation des privilèges d’administrateur et la prévention d’exécution (sans pilote noyau). L’élévation des privilèges d’administrateur accorde aux utilisateurs des droits d’administrateur juste-à-temps sous Windows, avec des règles fondées sur les certificats et le cloisonnement; personne n’a donc besoin de droits d’administrateur local permanents. La prévention d’exécution empêche les outils à haut risque désignés de s’exécuter, et elle est déployée d’abord en mode audit. Sans pilote noyau, il n’y a aucun pilote susceptible de provoquer un écran bleu sur un parc, ni de dépendance à la chaîne de signature des pilotes de Microsoft.
Il ne s’agit pas d’une liste d’autorisation à refus par défaut complète. Pour les FSG dont le besoin principal est une élévation contrôlée pour des tâches d’administration ponctuelles et le blocage des outils à haut risque sur lesquels comptent les attaquants, elle répond à ce besoin sans agent en mode noyau. Si vous avez besoin que chaque exécutable figure sur une liste approuvée, comparez-la avec un produit de liste d’autorisation dédié.
Les événements d’élévation et de prévention d’exécution alimentent automatiquement les preuves de conformité de Lavawall®, à titre de preuves pour CMMC 2.0 SC.L2-3.13.x, NIST SP 800-171 3.4.x et 3.13.x, CIS Controls 2.x et 4.x et l’Essential Eight australien, sans intégration de conformité distincte.
Commencer gratuitement → Associer les contrôles avec l’assistant GRC
Questions fréquentes
- Le contrôle des applications est-il la même chose qu’un antivirus?
- Non. L’antivirus demande : « ce binaire figure-t-il sur une liste de binaires malveillants connus? » Le contrôle des applications demande : « ce binaire figure-t-il sur une liste de binaires de confiance? » Les deux sont complémentaires; la plupart des postes de travail modernes utilisent les deux.
- Le contrôle des applications remplace-t-il l’EDR?
- Non. L’EDR (détection et réponse aux incidents sur les postes de travail) détecte les comportements suspects de processus déjà en cours d’exécution. Le contrôle des applications empêche les processus non autorisés de démarrer en premier lieu. Ils couvrent des parties différentes du cycle de vie d’une attaque.
- Pourquoi la différence entre le mode noyau et le mode utilisateur compte-t-elle autant?
- Un bogue en mode noyau provoque un écran bleu, et à grande échelle, cela veut dire un parc entier de postes de travail impossibles à démarrer en même temps. Le mode noyau vous rend aussi dépendant de l’infrastructure de signature des pilotes de noyau de Microsoft. L’application en mode utilisateur élimine ces deux modes de défaillance, au prix d’une médiation comportementale un peu moins profonde. Pour la plupart des objectifs de liste d’autorisation des FSG, le mode utilisateur est de loin supérieur sur le plan opérationnel.
- Le contrôle des applications perturbera-t-il les flux de travail de mes utilisateurs?
- Pas si vous le déployez par phases. Il fera ressortir chaque exécutable non signé ou non approuvé qui s’exécutait discrètement sur leurs machines, dont beaucoup sont légitimes, mais ne figuraient pas dans l’inventaire officiel des logiciels. Un déploiement en mode apprentissage, suivi d’un processus d’approbation défini pour les nouvelles demandes, est la façon habituelle de gérer la transition. La prévention d’exécution de Lavawall® suit le même modèle : elle s’exécute d’abord en mode audit, avant de bloquer quoi que ce soit.