質問
フィルタリングにおいてまず全ての対象をホワイトリストに追加し、その後必要に応じて対象をブラックリストに入れる運用があるそうです。 ホワイトリストに全対象を追加しなくても同じ動きをするはずですが、こうすることによって何か良い点があるのですか？ |
解答
はい、ご指摘の通り「ホワイトリストに全対象を追加し、その後にブラックリストで除外する」という方法は、一見すると冗長にも思えますが、実際には以下のような明確なメリットがあります。 ■ この運用の目的と利点 1. アクセス制御の明示性・可視性が高まる * 全ての対象をホワイトリストに明示的に載せておくことで、「何に対してアクセス許可を与えているのか」が明確に把握できます。 * あとからブラックリストで除外したものも、元々ホワイトリストに載っていたことが明記されているので、「なぜブロックされているか」の説明がつきやすくなります。 2. 管理の一貫性を保ちやすい * ホワイトリストだけをベースにして運用すると、「最初から許可しない対象はリストに載らない」という性質を持ちます。 * 一方、全体許可 → 特定除外にすると、対象の全リストが構成ファイル等に一貫して存在するため、誤って未登録のまま通信できてしまうといった事故が起きにくくなります。 3. 差分管理がしやすくなる * 「ホワイトリスト - ブラックリスト = 有効な許可対象」という構成になるため、対象が多くなるほど比較や更新が自動化しやすくなります。 * たとえば、ある日ブラックリストが更新された際に、それによって無効になる通信対象をスクリプトなどで即時抽出できるようになります。 4. ゼロトラストモデルの考え方と整合 * ゼロトラストでは、「すべての通信は信頼しないことを前提」とし、明示的に許可した通信だけを通す設計が基本です。 * 全対象ホワイトリスト化 → 明示的に除外という方式は、この考えに沿っており、セキュリティポリシーとして説明しやすいです。 ■ 対照的な運用と比較して
■ まとめ：この運用が有効な場面 * 社内からのインターネットアクセス管理（プロキシ＋フィルタリング） * ファイアウォールやWAFのルール設計 * パッチ配布やWSUSなどのインフラ通信の制限 * 機密性が高いシステムやゼロトラスト設計の一部 |
 |  |
にほんブログ村
この記事へのコメント