Schutz vor unbekannter Malware

Anbieter zum Thema

Fsas Technologies GmbH

Negativ-orientierte Ansätze gegen unbekannte Attacken

Tatsächlich bietet allein das „negative“ Sicherheitsmodell die Möglichkeit, Bedrohungen zu identifizieren und einzeln dagegen vorzugehen. Um jedoch auch einen wirksamen Schutz gegen unbekannte Attacken zu bieten, müsste die eingesetzte Technologie in der Lage sein, alle nur denkbaren Schadcodes, deren Anzahl gegen unendlich gehen müsste, sogar vor ihrer eigentlichen Existenz zu benennen und aufzulisten – ein schier unrealisierbarer Auftrag.

Ganz so trostlos wie es scheint ist die Lage jedoch nicht: Hersteller von „Negativ“-Werkzeugen wie Anti-Virus- und Intrusion Detection-/Prevention-Systemen haben dieses Manko erkannt und Technologien entwickelt, die nicht nur konkrete Schadcodes identifizieren, sondern auch Anzeichen von möglichen unbekannten Bedrohungen wahrnehmen.

Aktiver Spürhund

Heuristische Verfahren versuchen Verhaltensmuster aufdecken, die bekanntermaßen schlecht sind. Ein heuristischer Scan bewertet mit seinen Algorithmen Programme und Daten nach Punkten. Bei einer bestimmten Punktzahl vermutet das System einen Virus. Einige Virenscanner versuchen dann zu simulieren („Sandbox Emulation“), was das vermeintliche Ungeziefer tun könnte.

Dieser Ansatz ist zwar effektiv, führt jedoch auch häufig zu Berichten mit falschem positivem Ergebnis. Zudem kommt nur eine eingeschränkte Auswahl an möglichen Schadprogrammen für ein derart auffälliges Verhalten in Frage. Des Weiteren entwickelten Sicherheitshersteller Schwachstellen-basierte Signaturen. Das heißt, sobald eine Schwachstelle bekannt ist, entwerfen sie Signaturen (und Firewall-Regeln), die potentielle Malware abhalten soll.

Die Entwickler versuchen dabei, die Charakteristik möglicher Bedrohungen auf Grund der Eigenschaften der Schwachstelle vorauszuahnen. Leider reagieren die Hacker immer schneller auf „undichte“ Stellen, so dass sie dieses Zeitrennen in den meisten Fällen gewinnen werden. Außerdem lässt sich natürlich keineswegs sicherstellen, dass die entsprechende Malware auch tatsächlich in der prophezeiten Form eintrifft.

Unregelmäßigkeiten erkennen

Ein weiterer Ansatz gegen das unbekannte digitale Übel sind Anomalie-Mechanismen. Sie definieren, welches Verhalten oder welcher Datenverkehr im internen Netz als „normal“ zu betrachten sind. Abweichungen davon stuft das System dann als kritisch ein und verhindert sie gegebenenfalls.

Schwierig bei dieser Methode ist jedoch die unbestrittene Tatsache, dass es in der Realität keine zuverlässige Korrelation zwischen „unnormalen“ Bedingungen für den Datenverkehr und dem Eintreten konkreter Angriffe gibt. Beispielsweise könnte die Technologie eine neue Geschäftsapplikation im Netzwerk als ungewöhnlich einstufen – obwohl es sich offensichtlich um keinen Angriff handelt.

Nicht zu vergessen ist, dass für die Einstufung als „kritisch“ ein gewisser Schwellenwert überschritten werden muss. Entspricht dieser Schwellenwert nicht gerade dem Wert „Null“, so könnten Attacken zum Zeitpunkt des Erkennens schon ein bedrohliches Stadium erreicht haben.

Als Schlussfolgerung lässt sich festhalten, dass selbst fortgeschrittene „negativorientierte“ Technologien hinsichtlich unbekannten Bedrohungen nur mit Einschränkungen wirksam sind.

Seite 3: „Positives“ Sicherheitsmodell entschärft Wettrennen mit Hackern

(ID:2004928)