90% aller Unternehmen sind bereits wissentlich oder unwissentlich Opfer von Cyberattacken geworden. Oft zeigen sich die Auswirkungen solcher Angriffe erst nach Jahren und die Hacker stehlen über Jahre hinweg Daten oder infiltrieren die IT Systeme. Entsprechende technische Maßnahmen sollen die Integrität der Systeme garantieren und das Risiko eines Cyberangriffs minimieren. Die Verwendung von Antiviren Software gehört dabei zur Grundausstattung. Diese bietet PCs, Server oder mobilen Endgeräten Schutz vor Malware. Antivirensoftware setzt dabei auf eine signaturbasierte Erkennung, um bekannte Bedrohungen zu identifizieren. Die Software greift dabei auf eine Datenbank mit Signaturen zurück, die Muster oder Codeabschnitte von bekannten Viren, Trojanern oder Malwarevarianten enthalten. Sie durchsucht Dateien oder ganze Systeme nach diesen bekannten Signaturen und behandelt diese entsprechend, wenn eine Übereinstimmung in der Datenbank gefunden wird.
Die Bedrohungslage im Cyberraum entwickelt sich ständig weiter. Um dies zu verdeutlichen: täglich gibt es in Deutschland 250.000 neue Schadprogrammvarianten. Hier wird deutlich, dass eine einfache Antivirensoftware schnell an Ihre Grenzen kommt, sofern nur auf eine Datenbank mit veralteten Daten zurückgegriffen wird. Dies ist oft bei kostenlosen Produkten der Fall.
Dennoch, herkömmliche Antivirensoftware ist heutzutage ein unzureichendes Schutzschild und ist oft machtlos gegen Zero-Day-Lücken oder polymorphe Viren, deren Code mittels KI automatisch verändert wird, um signaturbasierte Erkennungsmethoden zu umgehen.
Der User sollte bei der Auswahl einer passenden Antivirensoftware darauf achten, dass die Software eine heuristische Suche beinhaltet. Diese heuristische Suche analysiert das Verhalten von Dateien und Programmen und erkennt, wenn diese verdächtiges Verhalten zeigen. Beispielsweise würde kein Programm, wenn es ausgeführt wird, Dateien in großen Mengen verschlüsseln. Sollte ein solches Verhalten detektiert werden, würde ein Programm als verdächtig eingestuft werden, auch wenn keine bekannte Signatur in der Datenbank zu finden ist.
Zeit ist der entscheidende Faktor, der im Falle eines Cyberangriffs über das Ausmaß des Schadens entscheidet. Idealerweise sollte ein Sicherheitsvorfall innerhalb einer Stunde erkannt, analysiert und komplett beseitigt sein. Hier wird klar, dass Standard Antivirus Software bereits an seine Grenzen stößt, da diese oft nur 1 mal täglich den Endpunkt auf etwaige Bedrohungen scannt.
Einen Schritt weiter geht EDR – Endpoint Detection and Response. EDR ist eine weiterentwickelte Form der klassischen Antivirensoftware und überwacht bzw. analysiert kontinuierlich proaktiv alle Aktivitäten auf den Endpunkten und das in Echtzeit.
Mit Hilfe von Maschinellem Lernen (ML) können unbekannte Viren und Schadsoftware erkannt werden. Das Erkennen von ungewöhnlichen, anormalen Netzwerkaktivitäten oder ungewohnte Benutzerinteraktionen ist mittels EDR möglich.
Ein Sicherheitsvorfall kann erst als erledigt angesehen werden, wenn alle Fragmente des Cyberangriffs von den Systemen entfernt sind.
Ein integrierter Flight Recorder, wie er bei vielen EDR Lösungen enthalten ist, liefert umfassende und detaillierte Aufzeichnungen aller Aktivitäten und kann somit für die Durchführung von forensischen Analysen verwendet werden, um beispielsweise zu erkennen, wie der Angreifer ins System gekommen ist oder ob das System wirklich zu 100% gesäubert wurde.
Zudem können EDR Lösungen verdächtige Endpunkte isolieren, womit verhindert werden kann, dass sich Malware von einem Client PC auf das gesamte Netzwerk ausbreitet.
Im Vergleich zu Standard Antivirensoftware bieten EDR Lösungen die Möglichkeit des Rollbacks, wodurch Daten, die durch einen Ransomware Angriff verschlüsselt, gelöscht oder verändert wurden, wiederhergestellt werden können. Dies bietet den Vorteil, dass eine Rücksicherung möglich ist, auch wenn das Backup verschlüsselt oder gelöscht worden wäre. Einen weiteren effektiven und zusätzlichen Schutzmechanismus bieten Cloud-Sandboxen, die in Endpoint Detection und Response Software integriert ist. Diese Sandboxen analysieren und bewerten verdächtige Objekte in einer isolierten und sicheren Umgebung. Dadurch können komplexe und unbekannte Cyberbedrohungen erkannt und neutralisiert werden, bevor sie den PC oder Server erreichen.
