yohgaki's blog

ホワイトリストとブラックリストの議論はFirewallの利用が一般的になる過程で十分に議論され、90年代に議論され尽くした、と思っていました。しかし、解説の余地はまだまだあるようです。Firewallによるセキュリティ対策を簡単に振り返り、セキュアコーディングの現状を考察したいと思います。

Follow up:

繰り返しになりますが定義から

ホワイトリスト＝許可リスト
ブラックリスト＝拒否リスト

セキュリティ対策の原則の一つに、攻撃可能な範囲の最小化、があります。この原則に従うにはリソースへのアクセス許可を最小化（ホワイトリストで可能な限り限定）します。

Firewallによるセキュリティ対策

Firewwallが一般的になり始めたころはインバウンドのパケットフィルタリングに「ブラックリストでも十分効果がある。フィルタリングより脆弱なアプリケーションをアップデートするのが本筋である」のような意見も散見されました。

まさか、今現在このような意見を持つセキュリティ専門家はいないと思いますが昔は専門家と言われるような人でもこのような意見を持つ方もいました。

現在ではFirewallでインバウンドパケットをホワイトリストを作成し、限定したパケットのみを許可する構成にする事に異論がある方はいないと思います。

少し遅れてアウトバウンドパケットのフィルタリングも当たり前になりました。インバウンドパケットのフィルタリングだけでは十分なセキュリティは確保できないので、アウトバウンドパケットのフィルタリングも必要である、と考えられました。そして、アウトバウンドパケットもホワイトリストを作成し、限定したパケットのみ通過させる構成が当たり前になりました。（少なくとも組織レベルのネットワークでは）

現在では、プロキシやステートフルフィルタリング、クライアントレベルでのネットワーク利用の制御などを行い、アウトバウンドパケットに対してホワイトリストを作成して制限するのは当たり前になっています。最近ではあまり使われていないと思いますが、ZoneAlarmをWindowsに必須のアプリケーションとして利用していた方も少なくないと思います。

Firewallにはゲートウェイ型、クライアント型の2種類がありますが、その両方ともにインバウンドとアウトバウンドパケットにホワイトリストを作成し、パケットをフィルタリングする事が当たり前になっています。

言葉を変えると、ネットワークセキュリティ対策として、入力（インバウンドパケット）と出力（アウトバウンドパケット）両方にホワイトリストと適用し、安全性を向上させる事はセキュリティ専門家でなくても当たり前になっていると言えます。

同じコンセプトの適用が遅れるシステム開発

一方、システム開発におけるセキュリティ対策はどうでしょうか?入力のバリデーションがやっと当たり前になったのようですが、出力のセキュリティ対策は不十分なシステムが多数存在します。コーディングレベルでは入力検査は可能な限りホワイトリスト方式で限定的に検査する事が当たり前になりつつありますが、出力のセキュリティレベルを向上させるためにホワイトリスト方式で限定的（安全に）に出力するスタイルはまだまだ一般的とは言えないようです。

セキュリティに真剣に取り組む姿勢がある企業は、出力に対するホワイトリスト方式の導入は数年前から本格的に取り組んでいます。しかし、一般的になったか?というと、残念ながらどうもそうではないと言えるようです。