Beim Schutz von PCs und Servern fällt noch immer häufig der Begriff „Virenscanner“. Er stammt aus einer Zeit, in der Schadprogramme vor allem anhand bekannter Signaturen erkannt wurden.
Moderne Endpoint-Security funktioniert längst anders. Statt sich auf einen einzelnen Mechanismus zu verlassen, greifen mehrere Schutzebenen ineinander. Das lässt sich gut am Beispiel der Avast Small Business-Lösungen zeigen.
Eine Bedrohung – mehrere Möglichkeiten, sie zu stoppen
Das Grundprinzip ist einfach: Eine Bedrohung sollte möglichst früh erkannt werden. Gelingt das an einer Stelle nicht, gibt es weitere Schutzmechanismen, die anschließend eingreifen können.
So können beispielsweise Web- und URL-Schutz verhindern, dass bekannte schädliche Inhalte überhaupt auf das Gerät gelangen. Der E-Mail-Schutz untersucht den Mailverkehr, während der Dateisystem-Schutz Dateien beim Zugriff überprüft.
Damit ist aber noch nicht Schluss.
Bei unbekannten oder verdächtigen Dateien kommt CyberCapture ins Spiel. Dateien können einer weitergehenden Analyse unterzogen werden, um auch bislang unbekannte Bedrohungen zu erkennen.
Der Verhaltensschutz verfolgt wiederum einen anderen Ansatz: Statt ausschließlich zu fragen, was eine Datei ist, beobachtet er, was ein Programm tut. Verdächtiges Verhalten kann dadurch auch dann auffallen, wenn die zugrunde liegende Schadsoftware zuvor noch nicht bekannt war.
Warum das wichtiger geworden ist
Klassische signaturbasierte Erkennung ist weiterhin ein Bestandteil moderner Sicherheitslösungen. Sie allein reicht jedoch nicht mehr aus.
Neue Schadsoftware, veränderte Varianten bekannter Malware und Zero-Day-Bedrohungen machen zusätzliche Verfahren erforderlich. Avast kombiniert deshalb unter anderem signaturbasierte Erkennung mit Heuristik, maschinellem Lernen, cloudbasierter Bedrohungserkennung und Verhaltensanalyse.
Das Entscheidende daran ist weniger die Anzahl einzelner Funktionen als deren Zusammenspiel.
Eine schädliche Datei kann beispielsweise bereits beim Aufruf einer Webseite gestoppt werden. Wird sie dennoch heruntergeladen, kann sie bei der Dateiprüfung auffallen. Ist sie auch dort zunächst unverdächtig, können CyberCapture oder eine spätere Verhaltensanalyse eingreifen.
Schutz endet nicht bei Malware
Moderne Endpoint-Security berücksichtigt zudem Angriffsszenarien, die mit einem klassischen Virenscanner nur wenig zu tun haben.
Dazu gehören beispielsweise der Schutz vor Ransomware, unerwünschten Remote-Zugriffen oder manipulierten Webseiten. Je nach Avast Small Business-Lösung kommen weitere Funktionen wie USB-Schutz oder Patch Management hinzu.
Gerade Patch Management zeigt, wie weit sich das Verständnis von Endpoint-Security inzwischen entwickelt hat: Nicht nur Schadsoftware soll erkannt werden. Sicherheitslücken sollen möglichst geschlossen werden, bevor sie überhaupt für einen Angriff genutzt werden können.
Der „Virenscanner“ ist heute ein Sicherheitssystem
Wer heute von einem Virenscanner spricht, beschreibt deshalb eigentlich nur noch einen kleinen Teil dessen, was auf einem geschützten Endgerät passiert.
Moderner Endgeräteschutz ist ein System aus Prävention, Erkennung, Analyse und Reaktion. Unterschiedliche Technologien übernehmen dabei unterschiedliche Aufgaben.
Genau darin liegt der Sinn des mehrschichtigen Ansatzes: Nicht eine einzelne Schutzfunktion muss perfekt sein. Mehrere Schutzmechanismen sollen verhindern, dass aus einer einzelnen übersehenen Bedrohung ein erfolgreicher Angriff wird.
Für IT-Dienstleister ist das auch ein wichtiger Punkt in der Beratung ihrer Kunden. Denn die Frage sollte heute nicht mehr nur lauten: „Welchen Virenscanner setzen Sie ein?“ – sondern vielmehr: Welche Schutzmechanismen greifen auf Ihren Endgeräten ineinander?
