Application allowlisting / execution control
Позволява изпълнение само на разрешен software/code.
Какво е
Позволява изпълнение само на разрешен software/code.
Как работи
Policy engine проверява publisher, hash, path, package identity или application reputation.
Пример
На счетоводен endpoint има разрешени Office, browser, ERP client и няколко management tools. Не е нужно потребителят да стартира произволен unsigned executable от Downloads.
Allowlisting променя модела от „позволяваме всичко, докато не стане известно като malware“ към „изпълнява се само това, което има причина да се изпълнява“.
Къде е уловката
LOTL техники използват разрешени binaries като PowerShell, rundll32 или mshta. Затова allowlisting без script/behavior controls не е достатъчно.
Нива
- Минимално: блокиране на очевидно опасни user-writable execution paths.
- Добро: publisher/package-based policies.
- Зряло: managed allowlist + script controls + EDR + exception governance.
Практическа имплементация
- Managed allowlist.
- Block unsigned/untrusted code where practical.
- Separate rules for admin/dev endpoints.
- Script restrictions.
- Audit mode преди enforce.
Какво НЕ решава
LOTL използва вече разрешени binaries. Allowlisting трябва да се комбинира с scripting controls и EDR.
Предпазва най-силно от
- BadUSB / Malicious USB Device · Insider, физически атаки и removable media
- Downloader · Malware и злонамерен код
- Dropper · Malware и злонамерен код
- Exploit kit · Malware и злонамерен код
- Macro malware · Malware и злонамерен код
- Masquerading / Renaming / Trusted-Path Abuse · Exploitation, persistence и attack-chain техники
- Remote Access Trojan (RAT) · Malware и злонамерен код
- Trojan horse · Malware и злонамерен код
Помага частично срещу
- Malicious browser extension · Malware и злонамерен код2.33 Malicious extension — частично