Contrôle des applications (liste blanche applicative)
Règle technique qui n'autorise sur un poste ou un serveur que les programmes d'une liste approuvée et bloque le reste par défaut ; le souscripteur cyber demande surtout s'il bloque vraiment ou se contente d'observer.
Le contrôle des applications est la règle technique qui n'autorise sur un poste ou un serveur que les programmes inscrits sur une liste approuvée, et bloque tout le reste par défaut. L'antivirus cherche ce qui est connu comme mauvais ; le contrôle des applications refuse ce qui n'est pas connu comme bon. Le renversement s'énonce en une phrase et se tient difficilement. Sous Windows, les outils natifs s'appellent AppLocker et WDAC (Windows Defender Application Control), qui autorisent par éditeur signataire, par chemin ou par empreinte du fichier. L'Essential Eight australien en fait la première de ses huit stratégies, et l'agence australienne le rangeait déjà parmi ses mesures prioritaires avant la création de ce référentiel. Le questionnaire cyber le pose rarement en question bloquante, plus souvent en question de maturité : le contrôle couvre-t-il les serveurs, tous les postes, et fonctionne-t-il en mode audit ou en mode blocage ? Le mode audit est le piège classique. Il journalise ce qui aurait été bloqué sans rien bloquer, et des entreprises y restent des années, de peur de casser une application métier. Le souscripteur n'en voit rien de l'extérieur et s'appuie sur l'entretien, sur une preuve de configuration ou sur le rapport d'un auditeur. Les angles morts sont connus des attaquants. Une règle par chemin qui autorise tout le dossier de téléchargement de l'utilisateur ne protège plus rien. Et les binaires signés de Windows, PowerShell ou mshta en tête, restent autorisés par construction : l'attaque qui vit sur le terrain les détourne sans jamais introduire de programme étranger. Le contrôle des applications ralentit beaucoup le rançongiciel de série. Contre un opérateur patient qui a déjà des droits d'administration, il pèse nettement moins.
Cas d'école, chiffres inventés : une PME industrielle déclare un contrôle des applications « déployé ». L'entretien précise : 12 serveurs en mode blocage, 300 postes en mode audit. Le souscripteur ne retient que les serveurs. Pour lui, un rançongiciel arrivé par l'un des 300 postes s'y exécute sans obstacle, et la question suivante devient celle des droits administrateur locaux et du cloisonnement entre postes et serveurs, qui décident de la vitesse de propagation.
liste blanche applicative, contrôle d'exécution des applications, AppLocker, WDAC
Suivez la recherche
Une lettre par semaine. En tête, la note de souscription de la semaine, quand il en paraît une : une décision datée et argumentée, signée de Paul Bernardski. Ensuite, ce que l'observatoire a publié en risque cyber, en risque politique et en assurance. Sans compte, sans suivi.
Pas de spam, désinscription en un clic, aucune donnée revendue.