Erfolgreiche Malware-Attacken schüren Zweifel am Virenschutz

Antivirus-Software – unabdingbar oder obsolet?

| Autor / Redakteur: Wolfgang Kandek, Qualys / Stephan Augsten

Eine Antivirus-Engine kann nicht jede Malware erkennen – aber ist sie deshalb üebrflüssig?
Eine Antivirus-Engine kann nicht jede Malware erkennen – aber ist sie deshalb üebrflüssig? (Bild: Andrea Danti - Fotolia.com)

Bei der Netzwerkattacke auf die New York Times wurden Ende 2012 mehr als 50 Workstations und der Domänenserver infiltriert. Hierfür nutzten die Angreifer 45 verschiedene Schadprogramme, doch nur ein einziges wurde von der installierten Antivirus-Software erkannt – keineswegs ein Einzelfall.

Wolfgang Kandek: „Unternehmen sollten sich über die Grenzen des Virenschutzes im Klaren sein.“
Wolfgang Kandek: „Unternehmen sollten sich über die Grenzen des Virenschutzes im Klaren sein.“ (Bild: Qualys)

Virenschutzprodukte sind in den meisten Unternehmen aller Größen installiert. Trotzdem gelingt es Angreifern immer wieder in Netzwerke einzudringen, lokale Workstations und Server unter Kontrolle zu bringen und die Unternehmensdaten zu stehlen, auf die sie es abgesehen haben.

Untersuchungen nach einem solchen Vorfall zeigen oft, dass sich die Eindringlinge monate- oder gar jahrelang unentdeckt im Netzwerk bewegen konnten. Jüngere Statistiken aus der Branche setzen die Effektivität von Antivirenprogrammen bei nicht ganz 50 Prozent an, einige Untersuchungen gehen von einer noch geringeren Erkennunsrate aus.

Das Problem ist, dass die Angreifer einen zuverlässigen Weg gefunden haben, um die Algorithmen zum Signaturabgleich zu umgehen, wie sie Virenschutzprodukte einsetzen. Da man für einen solchen Abgleich zunächst Zugriff auf eine bestimmte Malware haben muss und erst dann eine Signatur produzieren kann, überfluten die Angreifer den Markt einfach mit Variationen des Schadcodes.

Dazu wird der Basis-Malwarecode signifikant genug variiert, um zu verhindern, dass die Matching Engine den Schadcode erkennt. Diese Veränderungen werden automatisiert und auf eine Weise durchgeführt, die es ermöglicht, jeden Tag für jedes infizierte Unternehmen ein maßgeschneidertes Malware-Programm zu produzieren.

Stellen Sie sich etwas Ähnliches einmal in der physischen Welt vor: ein Grippevirus, das speziell auf Sie abgestimmt ist und sich täglich verändert, um dem Impfstoff zu entgehen, den Sie nur ein paar Mal pro Jahr erhalten. Dann haben Sie eine ungefähre Ahnung davon, gegen welche Probleme die Sicherheitsanbieter ankämpfen.

Das Für und Wider neuer Erkennungsmethoden

Die Hersteller sind sich dieses Problems bewusst und haben ihre Produkte deshalb mit zusätzlichen Erkennungsfunktionen ausgestattet und heuristische Algorithmen entwickelt, die Regeln auf die Programme anwenden. Jede Regel, die passt, lässt den Malware-Score ansteigen, und sobald eine bestimmte Schwelle überschritten ist, wird das betreffende Programm als verdächtig klassifiziert.

Diese Erkennungstechnologie ist schwerer zu umgehen, produziert aber auch mehr Fehlalarme. Ich empfehle Ihnen, sich anzusehen, wie die Antivirusprogramme in Ihrem Unternehmen eingerichtet sind. Wie viele erkannte Viren werden pro Woche gemeldet? Wie stehen Sie damit im Branchenvergleich da? Wird nur die signaturbasierte Erkennung durchgeführt oder ist die Heuristik aktiviert?

Am wichtigsten aber ist die Frage: Wie viele bösartige Programme werden sofort beim Herunterladen gefunden und wie viele erst bei einem der regelmäßigen Scans? Der letztere Fall bedeutet, dass die betreffenden Viren der ursprünglichen Prüfung entgangen sind und erst später – nach einem Signatur-Update – erkannt wurden.

Es besteht kein Grund, den Virenschutz abzuschalten, doch Sie sollten sich über seine Grenzen im Klaren sein und ihn so konfigurieren, dass seine Funktionalitäten maximal ausgenutzt werden. Er ist nur eine Schicht in Ihrer Sicherheitsarchitektur, und genau wie von den anderen Schichten können Sie von ihm nicht erwarten, dass er Sie perfekt vor allen potenziellen Bedrohungen schützt.

Kommentare werden geladen....

Kommentar zu diesem Artikel

Der Kommentar wird durch einen Redakteur geprüft und in Kürze freigeschaltet.

Anonym mitdiskutieren oder einloggen Anmelden

Avatar
Zur Wahrung unserer Interessen speichern wir zusätzlich zu den o.g. Informationen die IP-Adresse. Dies dient ausschließlich dem Zweck, dass Sie als Urheber des Kommentars identifiziert werden können. Rechtliche Grundlage ist die Wahrung berechtigter Interessen gem. Art 6 Abs 1 lit. f) DSGVO.
  1. Avatar
    Avatar
    Bearbeitet von am
    Bearbeitet von am
    1. Avatar
      Avatar
      Bearbeitet von am
      Bearbeitet von am

Kommentare werden geladen....

Kommentar melden

Melden Sie diesen Kommentar, wenn dieser nicht den Richtlinien entspricht.

Kommentar Freigeben

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

Freigabe entfernen

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

copyright

Dieser Beitrag ist urheberrechtlich geschützt. Sie wollen ihn für Ihre Zwecke verwenden? Infos finden Sie unter www.mycontentfactory.de (ID: 39636830 / Malware)