Zugriffssteuerung Was sind Whitelisting und Blacklisting?

Bei einer Whitelist oder Blacklist handelt es sich um eine Positiv- oder Negativliste, die regeln, welche Entitäten zugelassen oder blockiert werden. Whitelist und Blacklist verfolgen jeweils gegensätzliche Strategien und kommen in unterschiedlichsten Bereichen zum Einsatz.

Im IT-Umfeld fallen oft die Begriffe Whitelist und Blacklist. Es handelt sich dabei um Positiv- und Negativlisten, mit denen sich IT-Systeme vor Bedrohungen oder unerwünschten Aktionen schützen lassen. Whitelisting und Blacklisting haben genau entgegengesetzte Ansätze. Je nach Anwendungsbereich kann entweder die Nutzung einer Blacklist oder einer Whitelist sinnvoller sein. Mögliche Anwendungsbereiche im IT-Umfeld sind

• Regeln für Firewalls,

• der Spamschutz,

• der Virenschutz oder

• das Erlauben und Verbieten des Besuchs bestimmter Webseiten.

Zentraler Spam-Schutz als Richtlinie in Microsoft 365 Defender

Antispam-Richtlinie in Microsoft 365 definieren

Was ist eine Whitelist?

Die Whitelist, auch Allowlist genannt, verfolgt den Ansatz, dass grundsätzlich alles verboten ist, was nicht explizit in der Liste eingetragen ist. In der Whitelist finden sich dementsprechend ausschließlich die gewünschten und vertrauenswürdigen Einträge. Die Einträge in der Liste stellen also die Ausnahmen der allgemeinen Verbotsregel dar. Es lassen sich beispielsweise Personen, Webseiten, E-Mail-Adressen oder Programme aufführen, mit denen kommuniziert oder die ausgeführt werden dürfen. Fehlt der Eintrag, ist jegliche Kommunikation oder Interaktion untersagt. Die Whitelist ermöglicht eine zentrale Steuerung, welche Interaktionen für IT-Anwender oder IT-Systeme erlaubt sind. Es ist allerdings erforderlich, dass genau bekannt und definiert ist, welche Interaktionen zulässig sind. Unbekannte Anwendungen oder Ziele können nicht in der Liste eingetragen sein und unterliegen der generellen Verbotsregel.

Sichere Softwareentwicklung – Teil 2

Pflegeanleitung für sichere Software

Was ist eine Blacklist?

Bei einer Blacklist, die auch Denylist genannt wird, ist grundsätzlich alles erlaubt, was nicht in der Liste zu finden ist. Die Blacklist stellt eine Negativliste dar und führt die Ziele, Programme oder Adressen auf, die nicht vertrauenswürdig oder zulässig sind. Dank der Negativliste ist es möglich, gezielt einzelne Anwendungen oder Kommunikationsziele zu verbieten.

Umfassender Schutz für Web-Anwendungen

Grundlagen der Web Application Firewalls

Einsatzgebiete und Beispiele

Im IT-Umfeld kommen Whitelist und Blacklist in den unterschiedlichsten Bereichen zum Einsatz. So sind oft Firewalls über eine Whitelist konfiguriert. Nur die Kommunikationsziele, die zuvor von einem Administrator in der Liste aktiv eingetragen wurden, können über die Firewall hinweg kommunizieren, alle anderen Verbindungswünsche sind unterbunden. Auch beim Endgeräteschutz kann eine Whitelist helfen, indem auf dem Endgerät lediglich die Applikationen ausgeführt werden dürfen, die in der Whitelist aufgelistet sind.

Ein weiteres Anwendungsgebiet ist der Jugendschutz. Es lässt sich ein Internetzugang per Positivliste so konfigurieren, dass für bestimmte User nur die in der Liste geführten Ziele aufrufbar sind. Auch E-Mail-Systeme können über eine Positivliste gesteuert werden. Es werden nur E-Mail-Nachrichten von vertrauenswürdigen, in der Liste geführten Absendern empfangen.

Darüber hinaus sind Application Whitelisting im Rahmen von Endpoint Protection sowie der Einsatz in SIEM- und SOAR-Lösungen Best Practices, um Angriffsflächen zu reduzieren. Besonders in Zero-Trust-Architekturen gilt Whitelisting als bevorzugte Methode, während Blacklists im Bereich Spamfilter, Virenschutz und URL-Blocklisten weiter eine wichtige Ergänzungsrolle spielen.

IoT- und Embedded Security

Embedded-Systeme gegen Hacker absichern

Vor- und Nachteile der Whitelist

Die Whitelist verfolgt den Ansatz, dass grundsätzlich alles verboten ist, was nicht explizit in der Liste eingetragen ist. Dadurch entsteht ein sehr hoher Schutzgrad: Nur bekannte und geprüfte Anwendungen, Webseiten oder Absender dürfen ausgeführt beziehungsweise kontaktiert werden. Unternehmen reduzieren so ihre Angriffsfläche erheblich und können sich sogar gegen unbekannte Malware oder Zero-Day-Angriffe wappnen. Zudem unterstützt Whitelisting moderne Zero-Trust-Strategien, indem es konsequent das Prinzip „Never trust, always verify“ umsetzt.

Eine Whitelist kann jedoch zu hohem Pflegeaufwand führen. Da alles, was nicht in der Liste eingetragen ist, verboten bleibt, müssen neue Ziele, Anwendungen oder Kontakte laufend nachgepflegt werden. Erst nach einer Aktualisierung der Liste sind sie verfügbar. Oft setzt Whitelisting daher automatisierte Verfahren voraus, um Administratoren zu entlasten.

Ein weiterer Schwachpunkt ist die geringe Fehlertoleranz: Fehleinträge können legitime Anwendungen blockieren und Geschäftsprozesse lahmlegen. Wird das Regelwerk zu restriktiv, entsteht häufig Schatten-IT, weil Mitarbeiter nach inoffiziellen Workarounds suchen, um produktiv arbeiten zu können.

Whitelisting-Lösung von Seculution

Whitelisting statt Virenscanner

Vor- und Nachteile der Blacklist

Die Blacklist basiert auf dem Prinzip, dass grundsätzlich alles erlaubt ist, solange es nicht ausdrücklich verboten wurde. Das macht sie einfach einzurichten und zu verstehen. Administratoren haben einen geringeren Verwaltungsaufwand, da nur schädliche oder unerwünschte Elemente eingetragen werden müssen. Zudem ist die Nutzung für Anwender vergleichsweise komfortabel, da sie kaum Einschränkungen im Arbeitsalltag erleben. Blacklists sind daher eine praktische und flexible Lösung für Spamfilter, Virenschutz oder URL-Blocklisten.

Schwäche des Blacklistings ist jedoch, dass diese Listen nur dann zuverlässig funktionieren, wenn die Bedrohungen bereits bekannt und eingetragen sind. Neue oder polymorphe Angriffe können unbemerkt durchrutschen, bis eine Aktualisierung erfolgt. Das macht Blacklisting zu einer reaktiven Maßnahme. Hinzu kommt die Gefahr von Fehleinträgen, die legitime Dienste blockieren können. Ein weiteres Risiko ist die trügerische Sicherheit: Wenn Unternehmen sich zu stark auf Blacklists verlassen, entstehen blinde Flecken in der Abwehr. Auch hier kann die Folge Schatten-IT sein, wenn gesperrte, aber für die Arbeit notwendige Dienste über Umwege genutzt werden.

Dies sind die Vor- und Nachteile der Listen zusammengefasst:

Tipps & Tricks zu OPNsense – Teil 2: IP-Filterlisten

IP-Filterlisten in OPNsense integrieren und aktualisieren

(ID:45035507)