Erfolgreiche Malware-Attacken schüren Zweifel am Virenschutz Antivirus-Software – unabdingbar oder obsolet?

Bei der Netzwerkattacke auf die New York Times wurden Ende 2012 mehr als 50 Workstations und der Domänenserver infiltriert. Hierfür nutzten die Angreifer 45 verschiedene Schadprogramme, doch nur ein einziges wurde von der installierten Antivirus-Software erkannt – keineswegs ein Einzelfall.

Anbieter zum Thema

TXOne Networks

Qualys GmbH

Wolfgang Kandek: „Unternehmen sollten sich über die Grenzen des Virenschutzes im Klaren sein.“

Untersuchungen nach einem solchen Vorfall zeigen oft, dass sich die Eindringlinge monate- oder gar jahrelang unentdeckt im Netzwerk bewegen konnten. Jüngere Statistiken aus der Branche setzen die Effektivität von Antivirenprogrammen bei nicht ganz 50 Prozent an, einige Untersuchungen gehen von einer noch geringeren Erkennunsrate aus.

Das Problem ist, dass die Angreifer einen zuverlässigen Weg gefunden haben, um die Algorithmen zum Signaturabgleich zu umgehen, wie sie Virenschutzprodukte einsetzen. Da man für einen solchen Abgleich zunächst Zugriff auf eine bestimmte Malware haben muss und erst dann eine Signatur produzieren kann, überfluten die Angreifer den Markt einfach mit Variationen des Schadcodes.

Dazu wird der Basis-Malwarecode signifikant genug variiert, um zu verhindern, dass die Matching Engine den Schadcode erkennt. Diese Veränderungen werden automatisiert und auf eine Weise durchgeführt, die es ermöglicht, jeden Tag für jedes infizierte Unternehmen ein maßgeschneidertes Malware-Programm zu produzieren.

Stellen Sie sich etwas Ähnliches einmal in der physischen Welt vor: ein Grippevirus, das speziell auf Sie abgestimmt ist und sich täglich verändert, um dem Impfstoff zu entgehen, den Sie nur ein paar Mal pro Jahr erhalten. Dann haben Sie eine ungefähre Ahnung davon, gegen welche Probleme die Sicherheitsanbieter ankämpfen.

Das Für und Wider neuer Erkennungsmethoden

Die Hersteller sind sich dieses Problems bewusst und haben ihre Produkte deshalb mit zusätzlichen Erkennungsfunktionen ausgestattet und heuristische Algorithmen entwickelt, die Regeln auf die Programme anwenden. Jede Regel, die passt, lässt den Malware-Score ansteigen, und sobald eine bestimmte Schwelle überschritten ist, wird das betreffende Programm als verdächtig klassifiziert.

Diese Erkennungstechnologie ist schwerer zu umgehen, produziert aber auch mehr Fehlalarme. Ich empfehle Ihnen, sich anzusehen, wie die Antivirusprogramme in Ihrem Unternehmen eingerichtet sind. Wie viele erkannte Viren werden pro Woche gemeldet? Wie stehen Sie damit im Branchenvergleich da? Wird nur die signaturbasierte Erkennung durchgeführt oder ist die Heuristik aktiviert?

Am wichtigsten aber ist die Frage: Wie viele bösartige Programme werden sofort beim Herunterladen gefunden und wie viele erst bei einem der regelmäßigen Scans? Der letztere Fall bedeutet, dass die betreffenden Viren der ursprünglichen Prüfung entgangen sind und erst später – nach einem Signatur-Update – erkannt wurden.

Es besteht kein Grund, den Virenschutz abzuschalten, doch Sie sollten sich über seine Grenzen im Klaren sein und ihn so konfigurieren, dass seine Funktionalitäten maximal ausgenutzt werden. Er ist nur eine Schicht in Ihrer Sicherheitsarchitektur, und genau wie von den anderen Schichten können Sie von ihm nicht erwarten, dass er Sie perfekt vor allen potenziellen Bedrohungen schützt.

(ID:39636830)