Anti-Malware Solution- How Does It Work?

Funktionsweise von Anti-Malware

Der Schutz vor Malware funktioniert auf zwei verschiedene Arten:

• Es erkennt die bösartigen Codezeilen innerhalb einer Datei
• Es muss die Ausführung der Datei isolieren oder anderweitig verhindern

Die spezifische Art und Weise, wie Anti-Malware eine verdächtige oder gefährliche Datei erkennt, kann verschiedene Formen annehmen, wobei die beiden möglichen Ansätze statische und dynamische Analysen sind.

Statische Detektion

Die statische Malware-Analyse ist eine wichtige Technik im Kampf gegen bekannte, dateibasierte Malware. Es konzentriert sich auf die manuelle Analyse der einzigartigen Funktionen von Malware-Dateien. Für eine geeignete, tiefgehende Analyse verlassen sich Sicherheitsexperten in der Regel auf mehrere Kopien jeder Art von Malware-Familie, die aus folgenden Quellen stammen:

• Online-Repositorien
• Das Darknet
• Infizierte Computer

Aspekte wie Dateigröße, importierte und exportierte Funktionen, Hashes und druckbare Zeichenfolgen fließen in diese statische Analyse ein, was ein Verständnis der Aktionen einer Malware ermöglicht, die dann in gemeinsam nutzbaren Signaturen zusammengefasst werden.

Signatur-Formate

Signaturformate wie YARA spielen in diesem Prozess eine wesentliche Rolle, da sie es Analysten ermöglichen, Beschreibungen von Malware-Familien zu erstellen und sie mit kompatiblen Tools zu teilen. Jede YARA-Regel besteht aus einem Satz von Zeichenfolgen und einem booleschen Ausdruck, der eine präzise Erkennung der Natur eines Codes unabhängig vom breiteren Kontext ermöglicht.

Auf diese Weise ist es möglich, dass Malware, die nur ein Unternehmen infiziert hat, analysiert und in die Abwehr einer ganzen Branche implementiert wird.

Die Wirksamkeit der signaturbasierten Erkennung hängt stark von der Anzahl der analysierten Malware-Samples ab. Wenn Analysten nur über eine begrenzte Anzahl von Stichproben oder sogar nur über eine einzelne Stichprobe verfügen, ist die resultierende Signatur weniger effektiv und weitaus anfälliger für falsch positive Ergebnisse.

Außerdem erfordert das schnelle Scannen größerer Dateien mehr Ressourcen. Obwohl die Einschränkung von Dateiscans auf der Grundlage der Größe die Leistung verbessern kann, eröffnet sie auch eine ganz neue Schwachstelle im Erkennungsprozess:Malw-Autoren können dies ausnutzen, indem sie Dateien mit unnötigem Code aufblähen, um der Erkennung zu entgehen.

Dynamische Analyse

Eine Alternative zur statischen Analyse des Scannens von Dateisignaturen sind Heuristiken. Dieser neuere Ansatz konzentriert sich auf die Analyse des Echtzeitverhaltens von Dateien, anstatt zu versuchen, aus dem Rohcode zu raten. Es ist zum Teil eine Reaktion auf fortschrittliche Bedrohungstechniken wie:

• Code-Verschleierung
• Teilweise eine gezielte Abwehr neuartiger Malware-Stämme

Heuristiken sind das Herzstück der User and Entity Behavior Analytics (UEBA): Wenn UEBA auf eine breitere Organisation angewendet wird, stützt sie sich auf Algorithmen, um das Verhalten von Benutzern, Routern, Endgeräten und Servern zu untersuchen.

Dynamische heuristische Analyse und UEBA

Vor der UEBA stützte sich die dynamische heuristische Analyse jedoch auf eine Sandbox. In diesem isolierten, abgesperrten Bereich der Laufzeitumgebung wird eine Kopie der verdächtigen Datei ausgeführt.

Seine Aktivitäten werden dann verfolgt. Wenn die Datei beginnt, Systemprotokolle zu durchwühlen, Verbindungen zu einem unbekannten Server herzustellen oder sich anderweitig schlecht verhält, markiert das Anti-Malware-Programm sie als bösartig, beendet sie und verhindert den Download auf das Gerät des Unternehmens.

Aber im endlosen Katz-und-Maus-Getümmel der Cybersicherheit haben einige Angreifer herausgefunden, dass ihre bösartigen Dateien zuerst überprüft werden könnten. Um festzustellen, ob sie sich wahrscheinlich in einer Sandbox befinden oder nicht, weigert sich eine zunehmende Anzahl fortschrittlicher Malware-Stämme jetzt, ausgeführt zu werden, wenn sie eine völlig leere oder neu erstellte Umgebung erkennen.

Dies führt uns zur fortschrittlichsten Form von Anti-Malware: UEBA.

Profitieren Sie von modernstem Malware-Schutz mit Check Point Harmony

Edge-Geräte waren noch nie so exponiert: Der Cybersecurity 2024 Report von Check Point beschreibt die wichtigsten Bedrohungsakteure des Jahres in nationalstaatlichen APTs und gewinnbringenden Angriffsgruppen.

Wenn Sie die Anti-Malware-Funktionen von Check Point aus erster Hand sehen möchten, können Sie eine Demo buchen und die marktführende Plattform selbst erkunden.