Selbstschutz für Security-Software

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

Arvato Systems

TXOne Networks

32 Antivirus-Produkte im Check

AV-TEST wollte mit seiner Untersuchung feststellen, wie stark die Hersteller den Zusatzschutz bei ihren Produkten einsetzen. Dazu wurden die einzelnen Produkte installiert und alle neu vorhandenen Dateien protokolliert. Danach wurden die User-Mode-PE-Dateien (Portable Executable) für 32 und 64 Bit für die Auswertung genutzt. Alle anderen Dateien, inklusive der so genannten nativen PE-Dateien, waren für den Test irrelevant. Zu den PE-Dateien gehören beispielsweise:

.exe oder „Executable“, also ausführbares Programm oder Modul

.dll oder „Dynamic Link Library“, eine Programm-Bibliothek

.sys oder „System“, eine Systemsoftware

.drv oder „Driver“, eine Treiber-Datei für ein Gerät

Zwischen 5 und 45 Prozent der installierten Dateien einer Schutzlösung sind PE-Dateien, die darauf untersucht wurden, ob sie im Code mit DEP und ASLR zusätzlich geschützt sind. In den Tabellen wurde dann prozentual erfasst, wie viele der PE-Dateien – getrennt nach 32 und 64 Bit – eines Programms den Zusatzschutz haben. Das Ergebnis ist ein wenig überraschend, da einige Hersteller ASLR und DEP teilweise oder komplett einsetzen und andere Hersteller wiederum fast völlig darauf verzichten.

Consumer-Produkte: den Zusatzschutz nutzt nicht jeder

Das Labor hat die Ergebnisse nach Produkten für private Nutzer und für Unternehmen getrennt aufgeführt. Bei den Internet-Security-Suiten für private Nutzer wurden insgesamt 24 Produkte untersucht und auch nach 32 und 64 Bit getrennt aufgeführt.

Die einzigen Produkte, die ASLR und DEP zu 100 Prozent einsetzen, kommen von ESET (Consumer) und Symantec (Business). Avira, G Data, McAfee und AVG (beide Produkte) setzen den Zusatzschutz zu 100 Prozent nur in den 64-Bit-Dateien ihres Produkts ein. Bei 32 Bit schwankt der Wert zwischen 90 und fast 100 Prozent.

Insgesamt setzt die Hälfte aller Schutzpakete zu über 90 Prozent auf den Einsatz von ASLR und DEP. Danach sinkt der Einsatz in Schritten von etwa 10 Prozent von Produkt zu Produkt bis auf den kleinsten Wert von etwa 5 Prozent. Im Einzelfall von Kingsoft bei 64 Bit sogar auf 0 Prozent.

Bei vielen Dateien für 64 Bit, egal ob ASLR oder DEP, ist der Einsatz der Schutztechnik höher als bei Dateien für 32 Bit. Es ist aber keine Regel erkennbar.

Unternehmens-Produkte: hohe Einsatzquote

Bei den Firmenlösungen setzen die Hersteller viel stärker auf den zusätzlichen Selbstschutz von ASLR und DEP. Lediglich Symantec nutzt den Schutz durchgängig zu 100 Prozent. Sophos nur bei seinen 64-Bit-Dateien. Sophos weist aber darauf hin, dass bei seinen 32-Bit-Dateien eine Vielzahl der nicht geschützten Dateien DLLs sind, die nur Daten enthalten und somit keine Gefahr darstellen.

Addiert man für jedes Produkt die 32- und 64-Bit-Werte, so liegt bei 6 von 8 Produkten der Einsatz zwischen 81,5 bis über 97 Prozent. Lediglich Trend Micro setzt nicht auf die Technik und nutzt daher ASLR und DEP bei nur knapp 19 Prozent seiner PE-Dateien.

Insgesamt ist zu erkennen: bei den 64-Bit-Dateien wird der Selbstschutz öfters genutzt als bei 32-Bit-Dateien. Jedoch ist dies nur ein Trend und keine Regel.

Fazit: Mehr Zusatzschutz schadet nie

Den Einsatz der frei verfügbaren Techniken ASLR und DEP kann man den Herstellern nur empfehlen. Schließlich ist es ein Zusatzschutz, der nicht schaden kann. Zugegeben, auch ASLR ist mit Spraying-Techniken zu überlisten. Allerdings bedeutet das Überlisten von ASLR wiederum mehr Aufwand für den Schreiber von Schadcode. Aufwand, der normalerweise gescheut wird.

Auch DEP (oder NX-Bit) ist nicht der Schutz für Dateien schlechthin, aber Schreiber von Exploits müssen auch hierfür zusätzliche Hürden überwinden, die wiederum Aufwand bedeuten. Es ist wie so oft die Summe der Dinge, die zählt. Der Aufwand, um zwei, drei oder mehr Schutzwälle zu überwinden, kostet den Angreifer Zeit, Ressourcen und zusätzliche Schritte, die eine Schutz-Software eventuell leichter als Angriff analysieren kann.

Das sagen die Hersteller

AV-TEST hat allen Herstellern die Ergebnisse der Untersuchung zukommen lassen und gleichzeitig nachgefragt, warum sie eventuell kein DEP und ASLR einsetzen. Zusammengefasst lauten die Antworten so:

• Es gibt einige zugekaufte Bibliotheken, die DEP und ASLR nicht verwenden. Aber man will in Zukunft nur noch solche Libraries kaufen, die die Technik auch nutzen.

• Einzelne Dateien arbeiten mit einer selbst entwickelten Schutztechnik, die mit DEP und ASLR nicht kompatible wäre.

• Besondere Dateien wurden zum speziellen Schutz mit einem nicht Microsoft-konformen Compiler angefertigt und sind daher zu DEP und ASLR inkompatibel.

• Bestimmte Dateien werden nicht mehr aktiv im Programm verwendet und sind daher zu vernachlässigen.

• Es werden eigens entwickelte Schutztechniken verwendet, sowie CFI (Control Flow Integrity ) und die Sandbox-Technik.

(ID:43089354)