Application Allowlisting (Whitelisting).

Application-Allowlisting (früher Whitelisting) kehrt das Allow-by-default-Modell von Antivirus um: Nur Executables, DLLs, Skripte und Installer, die einer genehmigten Richtlinie entsprechen — per Hash, Herausgebersignatur oder Pfad — dürfen laufen, alles andere wird blockiert. Umgesetzt wird es von Microsoft AppLocker und Windows Defender Application Control (WDAC), fapolicyd unter Linux, den Notarisierungs-Gates von macOS und eigenständigen Produkten wie Airlock Digital und ThreatLocker. Der Leitfaden NIST SP 800-167 dokumentiert die Architektur, und die Essential Eight der Australian Signals Directorate führen Application Control als eine ihrer wichtigsten Maßnahmen gegen gezielte Angriffe.

Das Schwierige ist nicht, offensichtliche Malware zu blockieren, sondern Umgehungen zu schließen. Angreifer missbrauchen Living-off-the-Land-Binaries (LOLBins) — signierte, von Microsoft vertrauenswürdige Tools wie mshta.exe, regsvr32.exe, msbuild.exe und installutil.exe —, um Code auszuführen, den eine naive Allowlist zulässt, weil der Loader signiert ist. Microsoft veröffentlicht deshalb eine Liste empfohlener Blockregeln für WDAC, die diese bekannten Umgehungen neutralisiert, und ausgereifte Richtlinien erzwingen DLL- und Skriptregeln, nicht nur Executable-Regeln, damit ein zugelassener Prozess keine unsignierte Bibliothek nachladen (Side-Loading) oder ein beliebiges Skript ausführen kann. Pfadbasierte Regeln sind die schwächste Form (ein zugelassener, benutzerschreibbarer Ordner hebelt sie aus); Herausgeber- und Hash-Regeln sind stärker, verlangen aber echtes Change-Management, weil jeder Patch die Hashes ändert und jedes neue Tool einen Freigabe-Workflow braucht.

flowchart TD
  A[Prozess / DLL / Skript<br/>fordert Ausführung an] --> B{Entspricht der Richtlinie?}
  B -->|Hash-Treffer| C[Zulassen]
  B -->|Vertrauenswürdige Herausgebersignatur| C
  B -->|Genehmigter Pfad| C
  B -->|Kein Treffer| D[Blockieren + protokollieren]
  C --> E{Bekannte<br/>LOLBin-Umgehung?}
  E -->|Ja, in Blockregeln| D
  E -->|Nein| F[Ausführen]
  D --> G[Alarm / Freigabe-Workflow]

Im Modus Erst-Auditieren-dann-Erzwingen ist Allowlisting hochwirksam gegen dateilose Angriffe, unsignierte Ransomware und nicht vertrauenswürdige Downloads — aber nur, wenn DLL-/Skriptregeln und die empfohlenen Blockregeln aktiv sind, sonst spazieren LOLBins ungehindert durch die Vordertür.