Interview mit ISX-Keynote-Speaker Dr. Siegfried Rasthofer Schützen Antivirus- und Endpoint Protection-Lösungen wirklich?

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

FTAPI Software GmbH

Antivirus-Lösungen gehören zum Unternehmens­standard bei der IT-Sicherheit, trotzdem wird Malware noch immer regelmäßig erfolgreich ausgeführt. ISX-Keynote-Sprecher Dr. Siegfried Rasthofer gibt im Gespräch mit Security-Insider einen Überblick über die neuesten Entwicklungen und Technologien im Bereich Endpoint Security und welche Auswirkungen Bypass-Techniken in Malware auf die Sicherheit von Endpoints haben.

Security-Insider: Herr Dr. Rasthofer, der Titel Ihrer Keynote auf der diesjährigen ISX Conference lautet „Schützen Antivirus- und Endpoint Protection-Lösungen wirklich?“ Jetzt hat man Unternehmen jahrzehntelang gesagt, dass ein guter Virenschutz unerlässlich ist und jetzt schützt das womöglich gar nicht mehr ausreichend?

Dr. Siegfried Rasthofer: Antivirus- und Endpoint Protection-Lösungen spielen nach wie vor eine wichtige Rolle beim Schutz vor Malware und anderen Bedrohungen. Allerdings hat sich die Landschaft der Cyberbedrohungen weiterentwickelt, und aktuelle Angriffsmethoden wie Zero-Day-Exploits und gezielte Angriffe erfordern zusätzliche Sicherheitsmaßnahmen. Daher ist es wichtig, dass Unternehmen ihre Sicherheitsstrategie erweitern und eine mehrschichtige Verteidigung implementieren. Eine ganzheitliche Sicherheitsstrategie, die auf aktuellen Bedrohungen basiert, ist unerlässlich, um die Sicherheit von Unternehmen zu gewährleisten.

Security-Insider: „Antivirus“ war ja eigentlich „gestern“, heute heißen die Lösungen „Endpoint Detection“, „EDR“ oder „EPP“ können Sie mal kurz beschreiben, was sich da denn in den vergangenen Jahren grundlegendes geändert hat?

Dr. Rasthofer: In den letzten Jahren hat sich der Fokus von herkömmlichen Antivirus-Lösungen hin zu Endpoint Detection and Response (EDR) verschoben. EDR bietet eine erweiterte Bedrohungserkennung und Reaktionsfähigkeit durch kontinuierliche Überwachung, automatisierte Bedrohungsanalyse und forensische Untersuchungen. Im Gegensatz zu traditionellen Signaturen bei Antivirus-Lösungen basiert EDR auf Verhaltensanalysen und maschinellem Lernen, um unbekannte oder fortschrittliche Bedrohungen zu erkennen. Durch umfangreiche Protokollierung und Echtzeitüberwachung ermöglicht EDR eine schnelle Reaktion auf Sicherheitsvorfälle und verbessert die Gesamtsicherheit des Endpunkts. Die Verlagerung von Antivirus zu EDR spiegelt die Notwendigkeit wider, sich an die sich entwickelnde Bedrohungslandschaft anzupassen und gezieltere Abwehrmaßnahmen einzusetzen.

Security-Insider: Die Anti-Malware-Lösungen haben sich ja vor allem weiterentwickelt, weil sich die Malware selbst immer mehr weiterentwickelt hat. Vor 15 Jahren begann gerade erst der Siegeszug der Ransomware. Was waren da die wichtigsten Entwicklungsschritte, die uns auch heute noch Probleme bereiten?

Dr. Rasthofer: Im Laufe der letzten 15 Jahre haben Anti-Malware-Lösungen wichtige Entwicklungsschritte vollzogen, um den sich weiterentwickelnden Bedrohungen durch Malware gerecht zu werden. Verbesserungen umfassen fortgeschrittene Erkennungstechnologien, Verhaltensanalyse, Sandboxing und maschinelles Lernen. Dennoch stellen uns bis heute unterschiedliche Bedrohungen wie Software-Supply-Chain Angriffe, Zero-Day und N-Day Schwachstellen und insbesondere der Aufstieg von Ransomware-as-a-Service (RaaS) vor große Probleme. RaaS ermöglicht es Kriminellen, leichter Ransomware-Angriffe durchzuführen. Um solche Herausforderungen zu bewältigen, sind kontinuierliche Innovationen in der Sicherheitsindustrie erforderlich, um auch fortgeschrittene Bypass-Techniken effektiv abzuwehren.

Security-Insider: Schadsoftware hat ja schon seit den ersten polymorphen Viren versucht Erkennungssoftware zu umgehen. Was zeichnet die neuen Bypass-Techniken denn im Besonderen aus, was macht sie so gefährlich?

Dr. Rasthofer: Bei der Betrachtung von Bypass-Techniken sollte zwischen Antivirus (AV) und Endpoint Detection and Response (EDR) unterschieden werden.

Bei AV-Bypass-Techniken werden häufig Code-Obfuskation oder die Ausnutzung einer Fehlkonfigurationen der Lösung eingesetzt. Zusätzlich kann das gezielte Beenden der AV-Engine durch Prozessbeendigung verwendet werden, um die Funktionalität des Schutzprogramms zu deaktivieren. Letzteres ist aber in der Regel erst möglich, wenn der Angreifer über die entsprechenden privilegierten Zugriffsrechte verfügt.

EDR-Bypass-Techniken hingegen sind komplexer und nutzen Techniken wie Zero-Day Schwachstellen oder auch das Prinzip des "Living off the Land". Letzteres bezieht sich auf die Ausnutzung bereits vorhandener Tools und Funktionen des Systems, um schädliche Aktivitäten auszuführen, was es schwieriger macht, sie zu erkennen und zu blockieren. Hierbei sind auch Techniken wie das Einbinden von unsicheren Treibern („bring your own vulnerable driver“) eine gängige Technik.

Die Gefährlichkeit dieser Bypass-Techniken liegt in ihrer Fähigkeit, den herkömmlichen Schutz zu umgehen und schädliche Aktivitäten unauffällig auszuführen. Dadurch können Angreifer länger im System unentdeckt bleiben, was das Risiko von Datenverlust, Betriebsunterbrechungen und finanziellen Schäden erhöht. Unternehmen müssen sich dieser Bypass-Techniken bewusst sein und ihre Sicherheitsmaßnahmen kontinuierlich verbessern, um ihnen effektiv entgegenzutreten.

Security-Insider: Welche Bypass-Technik sehen Sie am Häufigsten in der Praxis?

Dr. Rasthofer: In der Praxis sind die häufigsten Bypass-Techniken eher einfacher Natur, wie das Beenden des Antivirus-Programms (Prozess) oder die Ausnutzung von Fehlkonfigurationen in Antivirus und Endpoint Detection and Response. Diese Techniken ermöglichen es Angreifern, vorübergehend unerkannt zu bleiben. Allerdings treten auch gelegentlich aufwendigere Techniken auf, wie beispielsweise die Nutzung fortschrittlicher Code-Obfuskation oder Zero-Day-Exploits, um gezielte Angriffe durchzuführen.

Security-Insider: Was können Unternehmen tun, um sich gegen solche sich tarnenden Malware-Exemplare zu wehren, wenn es schon der dafür gekaufte Endpoint-Schutz nicht hundertprozentig kann?

Dr. Rasthofer: Um sich gegen sich aktuelle Angriffe zu wehren, sollten Unternehmen eine umfassende Sicherheitsstrategie verfolgen. Neben dem Einsatz von Antivirus und Endpoint Protection ist es wichtig, weitere Sicherheitsmaßnahmen zu implementieren.

Ein Zero-Trust-Ansatz stellt sicher, dass keine Verbindung oder Zugriff als vertrauenswürdig angesehen wird, sondern stets gründlich überprüft wird. Identitäts- und Zugriffsmanagement ermöglichen eine granulare Kontrolle über Berechtigungen und verhindern unbefugten Zugriff auf sensible Daten und Systeme. Patch-Management stellt sicher, dass Sicherheitslücken geschlossen werden und keine bekannten Schwachstellen ausgenutzt werden können.

Netzwerksegmentierung hilft, die Ausbreitung von Malware einzudämmen und begrenzt potenzielle Schäden auf bestimmte Bereiche des Netzwerks. Durch die Implementierung von Multi-Faktor-Authentifizierung wird die Sicherheit von Konten erhöht, da mehrere Bestätigungsschritte erforderlich sind.

Darüber hinaus ist die Vorbereitung auf den Ernstfall von großer Bedeutung. Ein Incident Response Plan legt klare Verfahren fest, um auf Sicherheitsvorfälle effektiv zu reagieren. Regelmäßige Übungen ermöglichen es den Mitarbeitern, mit den Verfahren vertraut zu werden und im Ernstfall angemessen zu handeln.

Indem Unternehmen diese Maßnahmen umsetzen, können sie ihre Verteidigungsfähigkeiten stärken und sich gegen aktuelle Angriffe besser schützen, selbst wenn der Endpoint-Schutz nicht hundertprozentig wirksam ist. Eine umfassende Sicherheitsstrategie, die diese Aspekte berücksichtigt und die Vorbereitung auf den Ernstfall einschließt, minimiert das Risiko von Sicherheitsverletzungen und trägt zur effektiven Abwehr von Bedrohungen bei.

Über die ISX IT-Security Conference

Die ISX 2023 findet am 28. Juni in Hamburg, am 4. Juli in Mainz und am 6. Juli in München statt. Für Anwender ist die Teilnahme an der ISX kostenfrei. IT-Dienstleister nehmen mit dem Zugangscode ISX23-SEI zum reduzierten Preis von 75 Euro (inkl. MwSt.) teil.

(ID:49514884)