Liste blanche ou liste noire : quelles différences ?

Les listes blanches, les listes noires et les listes grises contrôlent l’accès informatique selon leurs principes respectifs de confiance explicite, de méfiance et de mise en quarantaine.

Également appelés, respectivement, listes d’autorisation, listes de refus et listes de suivi, ces principes de cybersécurité s’appliquent largement à l’ensemble des technologies de l’information (IT) et peuvent contribuer à gérer un large éventail de menaces pesant sur les ressources et les sources.

Nous allons examiner brièvement les avantages, les inconvénients et les cas d’usage de chaque technique dans le tableau ci-dessous, puis plus en détail.

Qu’est-ce qu’une liste blanche ?

La liste blanche, ou liste d’autorisation, applique les principes fondamentaux de « zéro confiance » pour refuser l’accès par défaut et n’autoriser que les sources explicitement approuvées à accéder à une ressource. Une liste blanche peut s’appliquer à n’importe quelle ressource (réseau, terminal, application, etc.) afin d’autoriser un accès spécifique à tout type de source (utilisateurs, appareils, applications, adresses IP, etc.).

Le National Institute of Standards and Technology (NIST) des États-Unis a publié un Guide de la mise en liste blanche des applications qui recommande d’utiliser ensemble deux des attributs suivants pour définir une application à placer sur liste blanche :

• Chemin du fichier autorise l’exécution de toutes les applications dans un chemin ou un répertoire spécifique, un attribut large qui ne peut empêcher l’exécution de logiciels malveillants dans le chemin approprié.
• Nom du fichier autorise l’exécution selon une convention de nommage donnée, mais ne détecte pas les fichiers malveillants renommés ni les fichiers infectés par des logiciels malveillants.
• Taille du fichier vérifie uniquement la taille du fichier et peut facilement autoriser l’exécution de logiciels malveillants de la taille appropriée.
• Signature numérique peut constituer une valeur unique pour une application, mais risque de devenir obsolète lorsque des correctifs et des mises à jour sont appliqués.
• Hachage cryptographique fournit la valeur la plus unique et la plus difficile à usurper pour une liste blanche, mais sera invalidé par tout correctif ou toute mise à jour appliqué au logiciel.

Ces recommandations s’appliquent spécifiquement aux applications, mais les méthodes permettent d’illustrer les considérations applicables aux listes blanches en général : comment définir la source autorisée de manière suffisamment précise pour qu’elle soit reconnue de façon unique, sans la définir de manière si étroite que le moindre changement entraîne un refus d’accès.

Avantages des listes blanches

Les listes blanches bloquent très efficacement les sources non fiables et offrent une protection supérieure contre les logiciels malveillants et les attaques. Elles limitent strictement l’accès aux sources déjà connues et fiables, telles que les applications, utilisateurs, sites web et adresses IP existants et approuvés.

La comparaison avec une liste blanche est plus efficace sur le plan informatique qu’une analyse complète de la source. L’utilisation de listes blanches réduit également le risque d’une analyse produisant un faux positif, qui déclarerait à tort une source malveillante comme sûre.

Un avantage caché — mais aussi un défi — est que la liste blanche impose le suivi élémentaire des ressources et des utilisateurs. Les ressources et utilisateurs qui n’y figurent pas seront rejetés, ce qui refusera automatiquement l’accès aux appareils indésirables, aux logiciels non autorisés et aux utilisateurs non autorisés.

Inconvénients des listes blanches

Les listes blanches peuvent être laborieuses et chronophages à maintenir. Chaque nouvel utilisateur, appareil, application ou adresse IP sera initialement refusé jusqu’à ce que l’équipe chargée de leur maintenance ajoute ces informations à toutes les listes blanches concernées.

Les retards dans l’ajout de ressources aux listes blanches ralentiront la productivité et feront de l’équipe de sécurité un goulot d’étranglement potentiel, à moins que la liste blanche ne puisse être reliée à des ressources telles que la gestion des identités et des accès (IAM), la gestion des accès à privilèges (PAM), le contrôle d’accès au réseau (NAC), les groupes Active Directory, etc. Pour compenser ces retards, les organisations doivent anticiper l’intégration des utilisateurs et l’ajout de ressources afin que les équipes chargées d’ajouter des ressources aux listes blanches soient informées en temps utile ou que des options en libre-service puissent être proposées.

Cas d’usage des listes blanches

Les listes blanches doivent être utilisées chaque fois que l’accès peut être défini avec précision, par exemple pour les ressources internes. Voici quelques cas d’usage efficaces des listes blanches :

• Adresses e-mail : la mise sur liste blanche garantit la bonne réception des e-mails provenant d’expéditeurs fiables dans le cadre d’un programme de sécurité des e-mails.
• Adresses IP : mise sur liste blanche sur un pare-feu pour les agences régionales
• Adresses web : mise sur liste blanche sur un serveur afin de réduire le nombre potentiel de connexions externes à une ressource vulnérable
• Adresses MAC des appareils : mise sur liste blanche pour autoriser l’accès des appareils de l’entreprise à un réseau
• Applications : mise sur liste blanche des applications de l’entreprise pour accéder à une base de données interne
• Utilisateurs : mise sur liste blanche pour une application interne de l’entreprise

Qu’est-ce qu’une liste noire ?

La liste noire, ou liste de refus, est une mesure de sécurité qui bloque l’accès des utilisateurs, adresses IP, sites web, machines ou programmes connus comme malveillants aux ressources d’une organisation. De nombreuses solutions de sécurité intègrent une liste noire dans le cadre d’une fonctionnalité de sécurité antiprogramme malveillant ou de blocage des attaques, et une organisation peut ajouter manuellement des éléments à certaines listes. La liste noire ne respecte pas les principes de la zéro confiance car la condition d’accès par défaut consiste généralement à autoriser l’accès, sauf si l’élément figure sur la liste noire.

Avantages des listes noires

Les listes noires bloquent de manière proactive les sources malveillantes et peuvent être mises en œuvre sans efforts techniques considérables. Comme les listes blanches, elles bloquent efficacement les sources non fiables et réduisent le risque de faux négatifs dans la détection des menaces, lorsqu’une source légitime est déclarée à tort comme malveillante.

Inconvénients des listes noires

Pour les listes noires manuelles, le processus est simple, mais nécessite beaucoup de travail. Tel un jeu de tape-taupe aux dimensions infinies, les acteurs malveillants peuvent facilement modifier les adresses IP, les URL, les machines et les utilisateurs afin d’ajouter constamment de nouveaux éléments à une liste noire. Par exemple, plus de 450 000 nouvelles applications potentiellement malveillantes ou indésirables sont enregistrées chaque jour par l’institut AV-TEST.

De nombreux outils commerciaux (pare-feu nouvelle génération, passerelles web sécurisées, antivirus, détection et réponse sur les terminaux, etc.) mettent automatiquement à jour les listes noires. Toutefois, un délai s’écoulera naturellement entre le lancement d’une campagne malveillante (logiciel malveillant, adresse IP malveillante, URL de spam malveillante, etc.), la détection de l’élément malveillant et son ajout à une liste noire.

Toutefois, une fois qu’un appareil, une URL ou une adresse IP est bloqué, il devient difficile de le retirer de la liste. Un client potentiel placé sur la liste noire en raison d’une précédente infection par un botnet — depuis supprimée — aura du mal à utiliser le domaine ou l’appareil placé sur liste noire pour contacter l’organisation et demander son retrait de la liste noire.

Enfin, une liste noire ne peut pas arrêter les menaces inconnues. Les listes noires exigent qu’une menace soit identifiée précisément pour pouvoir l’ajouter.

Cas d’usage des listes noires

Les listes noires sont souvent privilégiées lorsque les sources d’accès potentielles ne peuvent pas être définies facilement, notamment pour les ressources publiques. Voici quelques cas d’usage efficaces des listes noires :

• Adresses e-mail : mise sur liste noire des adresses e-mail connues pour envoyer du spam ou des logiciels malveillants dans le cadre d’un programme de sécurité des e-mails
• Adresses IP : mise sur liste noire de la source d’attaques malveillantes dans un pare-feu
• Adresses web : mise sur liste noire de sites pornographiques sur un serveur DNS
• Adresses MAC des appareils : mise sur liste noire d’appareils connus comme malveillants, tels que des botnets connus
• Applications : mise sur liste noire, par exemple des signatures de logiciels malveillants dans un programme antivirus
• Utilisateurs : mise sur liste noire d’utilisateurs ayant enfreint les règles de la communauté sur un forum de discussion

Qu’est-ce qu’une liste grise ?

La liste grise, ou liste de suivi, équivaut à une liste noire moins stricte. Les éléments placés sur liste grise sont temporairement bloqués jusqu’à ce qu’ils puissent être analysés plus en détail et confirmés comme sûrs ou dangereux. Les outils peuvent automatiquement mettre en quarantaine les utilisateurs, adresses e-mail, adresses IP et autres éléments jusqu’à ce qu’il soit déterminé s’ils doivent être ajoutés à une liste blanche ou à une liste noire.

Avantages des listes grises

Les listes grises offrent une protection temporaire contre les menaces potentielles, le temps qu’elles soient analysées. Les outils commerciaux qui utilisent la mise en liste grise reconnaissent généralement les nouvelles sources ou les activités inhabituelles sur des sources existantes et prennent automatiquement des mesures pour ajouter la source à une liste grise, dans l’attente d’une enquête plus approfondie.

Comme les listes noires et les listes blanches, les listes grises peuvent bloquer les sources non fiables et réduire les faux négatifs dans la détection des menaces, qui pourraient autrement permettre à des sources malveillantes d’obtenir des niveaux d’accès inappropriés. La mise en liste grise peut être utilisée de manière plus agressive que la liste noire, car des processus formels d’examen peuvent être établis et exécutés afin d’évaluer régulièrement les sources placées sur liste grise.

Inconvénients des listes grises

Bien que les outils puissent ajouter automatiquement des sources à une liste grise, le personnel informatique doit souvent examiner manuellement les listes de quarantaine à des fins de catégorisation. Cette tâche peut nécessiter beaucoup de travail et entraîner des retards pour les sources légitimes.

Comme pour les listes noires, un nombre presque infini de nouvelles sources peuvent tenter d’accéder aux ressources de l’entreprise et être ajoutées à une liste grise, y compris de nombreuses sources légitimes qui peuvent simplement être nouvelles. Les listes grises peuvent arrêter plus efficacement les menaces inconnues qu’une liste noire, mais elles entraîneront davantage de faux positifs — en ajoutant des sources légitimes à la liste grise — car elles seront généralement appliquées de manière plus agressive qu’une liste noire.

Cas d’usage des listes grises

Comme les listes noires, les listes grises sont particulièrement efficaces pour les ressources publiques lorsque la liste des sources d’accès potentielles ne peut pas être facilement définie. Les listes grises doivent être utilisées à la place des listes noires pour mettre rapidement en quarantaine les sources suspectes en vue d’un examen ultérieur.

De nombreux fournisseurs d’outils utilisent des algorithmes d’intelligence artificielle (IA) ou d’apprentissage automatique (AA) pour détecter les anomalies et les nouvelles sources et les ajouter automatiquement à une liste grise. Voici quelques exemples efficaces de mise en liste grise :

• Adresses e-mail : mise sur liste grise des sources potentielles de spam (usage le plus courant)
• Adresses IP : mise sur liste grise des paquets suspects traversant un pare-feu
• Adresses web : mise sur liste grise des URL récemment créées (souvent un indicateur de sources de logiciels malveillants) sur une passerelle web sécurisée
• Adresses MAC des appareils : mise sur liste grise des appareils d’un réseau interne qui ne respectent pas les exigences de mise à jour des correctifs et déplacement de ces appareils vers un réseau DMZ en attendant la remédiation
• Applications : mise sur liste grise des applications inconnues sur un ordinateur de l’entreprise venant de se connecter au réseau
• Utilisateurs : mise sur liste grise des utilisateurs inscrits en libre-service, dans l’attente de l’approbation interne de leur accès à une application ou à un réseau

Listes blanches, noires ou grises ? Utilisez-les toutes

Les listes noires, blanches et grises remplissent toutes des fonctions spécifiques, avec leurs propres avantages et inconvénients. Toutefois, elles offrent toutes trois une protection contre les logiciels malveillants ou les accès malveillants et réduisent donc généralement les vulnérabilités ainsi que les risques liés aux menaces externes.

Cependant, aucune de ces solutions n’est infaillible. Des appareils malveillants peuvent utiliser des identifiants d’utilisateurs figurant sur une liste blanche et dérobés, des utilisateurs malveillants peuvent compromettre des appareils placés sur liste blanche, et des attaquants peuvent usurper des ressources placées sur liste blanche pour causer des dommages.

De même, certains utilisateurs, adresses IP ou appareils ajoutés à une liste noire peuvent être temporairement compromis, comme un ordinateur infecté par un botnet utilisé pour générer des attaques par déni de service distribué (DDoS). Une fois l’infection par le botnet supprimée, l’appareil redevient un utilisateur légitime qui ne mérite plus de figurer sur une liste noire.

Malgré leurs faiblesses potentielles, chaque technique améliore indépendamment la sécurité et devient encore plus puissante lorsqu’elle est utilisée en combinaison avec les autres. Voici quelques exemples de listes utilisées conjointement :

• Mettre sur liste noire les domaines connus pour héberger des logiciels malveillants sur les pare-feu protégeant un réseau, placer les appareils inconnus sur liste grise et mettre sur liste blanche les utilisateurs et machines connus et fiables autorisés à accéder à une console de gestion du réseau
• Une passerelle web sécurisée peut proposer une liste blanche pour les appareils connus comme sûrs, une liste noire pour les URL connues comme malveillantes et une liste grise pour les utilisateurs, appareils et URL suspects

Une approche combinée réduit la probabilité qu’une seule erreur dans l’une des listes entraîne des dommages importants, que ce soit pour l’organisation (en raison d’attaques malveillantes) ou pour les opérations (en raison d’un accès refusé à tort).

Pour déterminer la combinaison optimale pour une organisation, l’équipe chargée de la sécurité doit déterminer :

• Combien de ressources peuvent être mobilisées pour assurer la maintenance des listes ou évaluer les sources mises en quarantaine ?
• À quel point l’accès à des ressources spécifiques doit-il être strict ou flexible ?
• Quels sont les risques acceptables ?
• Comment ces techniques complèteront-elles et amélioreront-elles la pile de sécurité ?

Termes alternatifs

Bien que les termes liste blanche, liste noire et liste grise restent des standards du secteur, de nombreux utilisateurs, fournisseurs et organisations cherchent désormais à employer des termes moins connotés. Les couleurs blanche, noire et grise renvoient de manière inconfortable aux préjugés raciaux et seront probablement abandonnées dans les prochaines années.

De nombreux fournisseurs, comme VMware, ont déjà effectué cette transition. Les professionnels doivent donc connaître toutes les variantes afin de pouvoir trouver les options appropriées dans leurs outils de sécurité :

• Liste blanche : allowlist, allow-list, liste des éléments autorisés, liste approuvée
• Liste noire : denylist, deny-list, liste des éléments bloqués, liste désapprouvée
• Liste grise (ou graylist) : liste de suivi, liste d’inspection, liste de quarantaine

En bref : toutes les techniques de mise en liste renforcent la pile de sécurité

Les listes blanches, noires et grises jouent toutes un rôle important dans la protection des données et des ressources. Toutefois, elles ont également chacune leurs limites et ces techniques ne peuvent donc pas être utilisées indépendamment les unes des autres. Pour être véritablement efficace, une organisation doit intégrer les stratégies de mise en liste à sa pile de sécurité de manière à réduire les risques sans mobiliser excessivement ses ressources.

À lire ensuite :

• Protection du réseau : comment sécuriser un réseau
• 8 meilleurs outils et logiciels d’analyse des vulnérabilités pour 2023

Cet article a été initialement rédigé par John Iwouzor le 26 août 2021. Il a été mis à jour et réécrit par Chad Kime le 3 novembre 2023.