FHNW_Infsec_Gwerder_MSP

Ein Attribut (z.B. eine Request-ID) wird als External Entity signalisiert und der Server inkludiert dann beim parsing ein File auf seinem System als ID und sendet dieses zurück.

• Encoder und Laufzeitpacker
  Eine einfache Umgehung der Entdeckung. Auf der Disk liegt das Schad-Programm nicht in der aus- führbaren Form vor, was Malware-Scanner dazu nötigt eine dekomprimierung oder Dekodierung vorzunehmen.

• Polymorphie
  Die Malware verwendet Verschlüsselungsalgorithmen um ihre Signatur permanent anzupassen und damit der Erkennung von signaturbasierter Malware-Scanner zu entgehen.

• Stealth-Technologien
  Stealth-Technologien werden vor allem auf lokalen Systemen verwendet. Hier werden Zugriffe auf das Speichersystem so geändert, dass beim Lesen eines infizierten Files nur die nicht-infizierte Version zurückgegeben wird, wenn die Malware aktiv ist. Damit wird verunmöglicht, dass ein fi- lebasierter Malware-Scanner allfällig versuchte Files detektieren kann.

• Payload download
  Es wird ein möglichst harmloser Downloader auf dem System abgelegt. Alle übrigen Teile werden aus dem Netz geladen. Ein filebasierter Scanner wird deshalb nie direkt Malware-Programme auf dem Massen-Speichersystem des Rechners finden.

Backdoors sind üblicherweise Programme, die es erlauben normale Sicherheitssperren ohne der üblichen Prüfung der Rechte zu umgehen.

Ein Rootkit erlaut es normale Benutzerrechte hochzustufen. Die Unterscheidung zwischen Backdoor und Rootkit ist schwer. Typischerweise sind Backdoors gezielt programmierte Funktionen, während Rootkits sich Fehler in der Programmimplementation zunutze machen.

• Signatur-Basiert
  Diese Detektion versucht mittels möglichst kurzer Signaturen (z.B. Regular Expression) eine be- kannte Malware zu identifizieren.

• Verhaltensbasiert
  Bei der verhaltens-basierten Detektion wird auffälliges Verhalten (z.B. Das Herstellen einer Ver- bindung ins Internet oder bestimmte Arten von Schreibzugriffen auf den Massenspeicher) als Er- kennungsmerkmal für möglicher Malware verwendet.

• Statistikbasiert
  Bei dieser Detektions-Art werden statistische Häufungen von Prozessen und Files erfasst und ana- lysiert. Dieses Feature wird häuffig auch als “Cloud-Feature” verkauft.

Ein Intrusion Detection System (IDS) ist ein System, das der Erkennung von Angriffen auf ein Computersystem oder Computernetz dient. Richtig eingesetzt, ergänzen sich eine Firewall und ein IDS und erhöhen so die Sicherheit von Netzwerken.