Белый список

«Белый список» — это неформальный термин, обозначающий перечень лиц, организаций, IP-адресов, доменов, программ или действий, которые считаются заведомо безопасными, надёжными или заслуживающими доверия. В отличие от «чёрного списка», который содержит запрещённые или нежелательные элементы, «белый список» определяет, что разрешено, допущено или одобрено. Принцип работы «белого списка» основан на презумпции запрета: всё, что не включено в перечень, по умолчанию считается недопустимым или подозрительным. Данный подход применяется в различных сферах — от информационной безопасности и администрирования компьютерных сетей до государственного регулирования и управления персоналом.

История возникновения и развития

Понятие «белого списка» возникло в контексте развития систем контроля доступа и управления безопасностью. Первоначально, в середине XX века, принцип «всё, что не разрешено, запрещено» использовался в физической охране режимных объектов и в системах допуска к государственной тайне. С распространением компьютерных сетей в 1970–1980-х годах этот подход был перенесён в цифровую среду. Одним из ранних примеров стало использование файлов .rhosts в операционной системе Unix для определения доверенных хостов, которым разрешался удалённый доступ без пароля.

В 1990-е годы, с ростом числа угроз в интернете, концепция «белых списков» стала активно применяться в антивирусном программном обеспечении и брандмауэрах. Вместо того чтобы искать известные вирусы (что делали «чёрные списки»), некоторые разработчики предлагали разрешать выполнение только тех программ, которые были внесены в базу доверенных. В начале 2000-х годов «белые списки» закрепились в практике корпоративной безопасности, а затем — в государственном регулировании интернета, в частности в Китае, России и ряде других стран.

Применение в информационной безопасности

Контроль исполняемых программ (Application Whitelisting)

В сфере защиты компьютерных систем «белый список» (или whitelisting) используется для управления тем, какие приложения могут запускаться на устройстве. Администратор заранее определяет перечень разрешённых программ (по имени файла, цифровой подписи, хешу или пути). Любая попытка запуска не включённого в список приложения блокируется. Этот метод считается более надёжным, чем антивирусная проверка на основе «чёрных списков», поскольку он предотвращает выполнение неизвестных или модифицированных вредоносных программ. Недостатком является высокая трудоёмкость поддержки актуального списка и возможность блокировки легитимного, но не внесённого в перечень ПО.

Фильтрация электронной почты

В системах антиспам-фильтрации «белый список» адресов отправителей гарантирует, что письма от указанных контактов не будут помещены в папку «Спам» или заблокированы. Пользователь или администратор почтового сервера может вручную добавить адреса в список доверенных. Некоторые почтовые сервисы автоматически формируют «белый список» из адресатов, с которыми пользователь активно переписывается.

Сетевые экраны и доступ в интернет

В корпоративных сетях и системах родительского контроля «белые списки» сайтов и IP-адресов используются для ограничения доступа. Разрешёнными считаются только ресурсы, внесённые в перечень. Это позволяет, например, предоставить сотрудникам доступ исключительно к рабочим порталам или ограничить ребёнка несколькими образовательными сайтами. Данный подход жёстче, чем «чёрный список», так как требует предварительного согласования каждого разрешённого ресурса.

Антивирусная защита и системы обнаружения вторжений

Некоторые антивирусные решения (например, «Лаборатория Касперского» в режиме «Безопасная среда») и системы предотвращения вторжений (IPS) используют «белые списки» для легитимных процессов и сетевых соединений. Если поведение программы или трафик не соответствует эталонному «белому» профилю, система блокирует активность как потенциально опасную.

Применение в государственном регулировании и юриспруденции

Реестры доверенных организаций

В ряде стран, включая Россию, государственные органы ведут «белые списки» организаций, которые признаются добросовестными или соответствуют определённым критериям. Например, Министерство цифрового развития, связи и массовых коммуникаций РФ ведёт реестр отечественного программного обеспечения (ПО), включение в который даёт приоритет при государственных закупках. Аналогично, существует «белый список» аккредитованных IT-компаний, имеющих право на налоговые льготы.

Списки разрешённых товаров и услуг

В рамках регулирования внешнеэкономической деятельности могут формироваться «белые списки» товаров, разрешённых к ввозу или вывозу без дополнительных разрешений. Например, в 2022 году, после введения санкций, Правительство РФ утвердило перечень товаров (так называемый «белый список»), для параллельного импорта которых не требуется согласие правообладателя.

В сфере миграции и трудовых отношений

Некоторые государства ведут «белые списки» работодателей, имеющих право привлекать иностранную рабочую силу, или перечни стран, граждане которых могут въезжать в упрощённом порядке. В России существует реестр недобросовестных поставщиков (фактически «чёрный список»), а «белым списком» можно считать перечень организаций, прошедших проверку и получивших аккредитацию для работы с персональными данными.

Применение в финансах и банковской сфере

Списки доверенных контрагентов

Банки и финансовые организации ведут внутренние «белые списки» клиентов и компаний, с которыми разрешено проводить операции без дополнительного мониторинга. Включение в такой список обычно требует прохождения процедуры «Знай своего клиента» (KYC) и подтверждения деловой репутации. В России Центральный банк ведёт реестр (фактически «белый список») микрофинансовых организаций, имеющих право на осуществление деятельности.

Платёжные системы и криптовалюты

В платёжных системах (например, PayPal, WebMoney) «белый список» позволяет пользователю задать перечень адресов или счетов, на которые перевод средств осуществляется без дополнительной проверки или с пониженными комиссиями. В криптовалютных биржах «белый список» адресов кошельков используется для защиты от несанкционированного вывода средств: вывод возможен только на заранее одобренные адреса.

Применение в социальных сетях и онлайн-платформах

Управление конфиденциальностью

В социальных сетях (например, «ВКонтакте», Telegram) функция «белого списка» (или «списка доверенных лиц») позволяет пользователю ограничить круг лиц, которые могут просматривать его публикации, отправлять сообщения или совершать звонки. Все остальные пользователи, не включённые в список, не имеют доступа к указанным функциям.

Модерация контента

Некоторые платформы (например, YouTube, Twitch) используют «белые списки» для каналов или пользователей, чей контент автоматически пропускает премодерацию или не подлежит демонетизации. Включение в такой список часто является привилегией для крупных или проверенных авторов.

Критика и ограничения

Использование «белых списков» имеет ряд недостатков и подвергается критике.

1. Сложность администрирования. Поддержание актуального «белого списка» требует постоянного мониторинга и ручного внесения изменений. В быстро меняющейся среде (например, при появлении новых сайтов или программ) список быстро устаревает.
2. Ложные блокировки. Любой элемент, не внесённый в «белый список», блокируется, даже если он является безопасным и необходимым. Это может парализовать работу пользователя или организации.
3. Злоупотребление и цензура. В государственном регулировании «белые списки» могут использоваться для ограничения доступа к информации и подавления неугодных ресурсов. Критики отмечают, что такой подход создаёт преграды для свободы слова и предпринимательства.
4. Риск злоупотреблений. Если «белый список» формируется вручную, существует коррупционный риск: включение в него может стать платной услугой или предметом сговора.
5. Неприменимость для больших систем. В масштабах всего интернета или глобальной экономики создать исчерпывающий «белый список» практически невозможно из-за огромного числа элементов.

Примеры «белых списков»

• Реестр отечественного ПО (Россия). Ведётся Минцифры РФ. Включение в реестр даёт приоритет при госзакупках и освобождение от НДС.
• Список доверенных программ Windows (SmartScreen). Встроенная в Windows функция проверяет приложения по базе известных безопасных программ; приложения, не входящие в «белый список», запускаются с предупреждением.
• Белый список адресов в криптовалютных биржах (Binance, Bybit). Пользователь задаёт перечень адресов для вывода; вывод на другие адреса блокируется.
• Перечень разрешённых товаров для параллельного импорта (Россия, 2022). Включает бренды и категории товаров, которые можно ввозить без согласия правообладателя.

Источники

• Федеральный закон от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации».
• Постановление Правительства РФ от 16.11.2015 № 1236 «Об установлении запрета на допуск программного обеспечения...».
• Приказ Минпромторга России от 19.04.2022 № 1532 «Об утверждении перечня товаров... для параллельного импорта».
• Материалы «Лаборатории Касперского» по технологии Application Control и «белым спискам».
• Документация Microsoft по SmartScreen и Windows Defender Application Control.
• Отчёты и статьи по информационной безопасности (Positive Technologies, Group-IB).