|
|
| Zeile 1: |
Zeile 1: |
| Teil der Übersicht [[Malware]]. Wie Schadsoftware erkannt wird, und wo das im Kurs vorkommt.
| | #WEITERLEITUNG [[Schadsoftware/Malware]] |
| | |
| {| class="wikitable"
| |
| ! Verfahren !! Wie es funktioniert !! Stärke !! Schwäche
| |
| |-
| |
| | Signatur || bekannte Bytefolgen oder Hashwerte || schnell, kaum Fehlalarme || erkennt nur Bekanntes, scheitert an Polymorphie
| |
| |-
| |
| | Heuristik || verdächtige Merkmale im Code (z. B. Packer, ungewöhnliche Funktionsaufrufe) || erkennt auch Varianten || Fehlalarme
| |
| |-
| |
| | Verhalten (EDR) || beobachtet, was ein Prozess tut: Word startet PowerShell, Massenumbenennung von Dateien || erkennt auch dateilose Angriffe || braucht Agenten und Auswertung
| |
| |-
| |
| | Sandbox || Datei wird isoliert ausgeführt und beobachtet || sieht das tatsächliche Verhalten || Malware erkennt Sandboxen und hält still
| |
| |-
| |
| | YARA-Regeln || frei definierbare Muster für Dateien und Speicher || flexibel, im Austausch zwischen Analysten üblich || Regeln müssen gepflegt werden
| |
| |-
| |
| | Netzwerk (IDS) || erkennt C2-Verkehr, bekannte Muster, verdächtige Ziele || sieht auch unbekannte Rechner im Netz || bei TLS nur Metadaten
| |
| |}
| |
| | |
| ;Im Kurs
| |
| *Virenscanner im Proxy: [[OPNsense Squid ClamAV]]. Zum Testen dient die ''EICAR''-Testdatei, die jeder Virenscanner erkennt, ohne dass sie schädlich ist.
| |
| *IDS im Netz: [[OPNsense Suricata]].
| |
| *Auswertung und Korrelation im SIEM: [[Sicherheitsinformations- und Ereignisverwaltung (SIEM)]].
| |
| | |
| [[Kategorie:Cybersecurity]]
| |