Malware Erkennung

Teil der Übersicht Malware. Wie Schadsoftware erkannt wird, und wo das im Kurs vorkommt.

Verfahren	Wie es funktioniert	Stärke	Schwäche
Signatur	bekannte Bytefolgen oder Hashwerte	schnell, kaum Fehlalarme	erkennt nur Bekanntes, scheitert an Polymorphie
Heuristik	verdächtige Merkmale im Code (z. B. Packer, ungewöhnliche Funktionsaufrufe)	erkennt auch Varianten	Fehlalarme
Verhalten (EDR)	beobachtet, was ein Prozess tut: Word startet PowerShell, Massenumbenennung von Dateien	erkennt auch dateilose Angriffe	braucht Agenten und Auswertung
Sandbox	Datei wird isoliert ausgeführt und beobachtet	sieht das tatsächliche Verhalten	Malware erkennt Sandboxen und hält still
YARA-Regeln	frei definierbare Muster für Dateien und Speicher	flexibel, im Austausch zwischen Analysten üblich	Regeln müssen gepflegt werden
Netzwerk (IDS)	erkennt C2-Verkehr, bekannte Muster, verdächtige Ziele	sieht auch unbekannte Rechner im Netz	bei TLS nur Metadaten

Im Kurs

• Virenscanner im Proxy: OPNsense Squid ClamAV. Zum Testen dient die EICAR-Testdatei, die jeder Virenscanner erkennt, ohne dass sie schädlich ist.
• IDS im Netz: OPNsense Suricata.
• Auswertung und Korrelation im SIEM: Sicherheitsinformations- und Ereignisverwaltung (SIEM).