Malware-Schutz geht zum Gegenangriff über

Anbieter zum Thema

WatchGuard Technologies GmbH

DataCore Software GmbH

Fsas Technologies GmbH

Sophos Technology GmbH

Wettlauf mit der Zeit

Eine besondere Rolle spielt der Faktor Zeit. Um vor Malware und Spam zu schützen, sammelten IT-Security-Anbieter vor allem bislang Viren-Exemplare und Spam-Proben und entwickelten dafür entsprechende Signaturen. Diese Methode allein aber erweist sich mittlerweile als viel zu langsam und bietet keinen ausreichenden Schutz mehr vor neuen Internet-Bedrohungen oder Zero-Day-Angriffen, bei denen Hacker auf bisher unbekannte Sicherheitslücken in Anwendungen oder Betriebssystemen zielen und geschickt den Zeitraum zwischen dem Entdecken der Lücke und der Verfügbarkeit des entsprechenden Patches nutzen.

Die Lösung steckt in der Analyse des »genetischen« Profils von Schädlingen: Anstatt alleine Signaturen-Updates bereitzustellen, beinhalten professionelle Sicherheitslösungen Mechanismen, mit denen sich Malware bereits vor Eintritt ins Netzwerk anhand ihres Verhaltens erkennen und blocken lässt. Typische Merkmale, die zur Analyse herangezogen werden, sind:

• die Verwendung eines bestimmten Komprimierungsprogramms oder
• einer speziellen Programmiersprache,
• der Versuch, auf das Internet zuzugreifen, oder
• Registrierungseinträge hinzuzufügen.

Elixiere des Bösen

Um Schädlinge proaktiv abzuwehren, hat beispielsweise Sophos die Genotype Technologie entwickelt. Mit Hilfe der in die Antiviren- und Antispam-Engines integrierten Technologie ist es möglich, neue Varianten bekannter Schädlings-Familien und Spam-Kampagnen zu erkennen und zu blocken. Dies ist möglich, noch bevor dafür entsprechende Updates entwickelt wurden. Als Basis dient ihr genetischer Code, der in allen Varianten gleich ist.

Die Genotype Technologie charakterisiert dabei die »Erbinformationen« neuer Viren – also den Quellcode – oder auch Spam-Mails, indem der Genotyp einer Datei extrahiert und mit Hilfe eines fein abgestimmten Auswertungssystems mit dem Genotyp bestehender Schadprogramme verglichen wird. Dabei fließen unter anderem die Checksumme der eMail, die IP des Senders oder die Betreffzeile in die Extraktion des genetischen Codes ein.

Jedes Programm hat seinen eigenen Genotyp. Die die Genotypen einer Schadprogramm-Familie unterscheiden sich erheblich von denen einer anderen. Stimmt der Genotyp einer untersuchten Datei mit dem einer bekannten Malware-Familie überein, meldet die Engine den neuen Wurm als Schadprogramm und verhindert seine Ausführung auf dem Computer.

Um die Zahl von False Positives, also das Risiko, Dateien fälschlicherweise als schädlich zu identifizieren, zu minimieren, sind die Dateien aufgrund ihres genetischen Programmcodes eindeutig zuzuordnen. Alle Dateien werden auch mit denen bekannter, legitimer Programme verglichen.

Lesen Sie weiter, wie Sicherheitssysteme klassifiziert werden können.

(ID:2015300)