Protokolle vs. Bots und Malware heute

Obwohl die Sicherheitsbranche seit den späten 1980er Jahren gegen Schadsoftware - Viren, Würmer, Spyware, Bots und andere Malware - kämpft, stellt Malware auch heute noch einen der wichtigsten Bedrohungsfaktoren für Unternehmen dar. Während alberne Viren der 1990er Jahre und laute Würmer (Blaster, Slammer usw.) der frühen 2000er Jahre durch kommerzielle Bots und sogenannte „Advanced Persistent Threats“ ersetzt wurden, tobt der Kampf gegen Malware weiter.

Im Newsletter-Artikel dieses Monats werfen wir einen Blick auf die Verwendung von Protokolldaten, um bösartige Software in Ihrem Unternehmen zu verstehen und zu bekämpfen.

Die erste Frage, die wir uns stellen müssen, lautet: Warum sprechen wir in diesem Zusammenhang überhaupt über die Verwendung von Protokollen, wenn wir doch schon seit fast 30 Jahren spezielle „Antiviren“-Sicherheitssoftware haben? Eines der schmutzigen Geheimnisse der Sicherheitsbranche ist, dass die Wirksamkeit herkömmlicher Antivirensoftware in den letzten Jahren nachgelassen hat. Die Schätzungen gehen davon aus, dass die Wirksamkeit von Antivirensoftware bestenfalls 30 bis 50 Prozent beträgt - was bedeutet, dass 50 bis 70 Prozent der auf heutigen Computern vorhandenen Schadsoftware von führenden Antivirentools nicht automatisch erkannt werden. Selbst solche weithin umstrittenen Schätzungen werden heftig diskutiert, da es keine einheitliche einheitliche Methodik zum Testen von Antivirensoftware gibt. Unabhängig von den Schätzungen wird stark angepasste Malware fast immer übersehen und muss daher mit anderen Mitteln erkannt werden. Solche Schadsoftware ist viel häufiger anzutreffen, da Kriminelle ein lukratives Geschäft darin haben, Bankdaten, Kartennummern und andere wertvolle Informationen von Verbrauchern und Unternehmen zu stehlen.

Daher müssen andere Technologien eingreifen, um Antiviren-Tools bei ihrer Mission zu unterstützen: die Verbreitung bösartiger Software zu stoppen. Protokolldaten liefern Informationen über System- und Netzwerkaktivitäten, die zur Suche nach Maschinen verwendet werden können, die „unter dem Einfluss“ von Schadsoftware stehen.

Protokolle zur Bekämpfung von Malware

Wie können wir also Protokolle nutzen, um Schadsoftware zu bekämpfen?

Beginnen wir mit Firewall-Protokollen. Sie können dazu beitragen, Konnektivitätsmuster vom Netzwerk zur Außenwelt aufzudecken und als Beweis dafür zu dienen, dass ein System eine Verbindung zu einem anderen System hergestellt hat (im Falle einer erfolgreichen Verbindungsmeldung) oder versucht hat, eine Verbindung zu einem anderen System herzustellen (im Falle einer fehlgeschlagenen oder blockierten Verbindungsprotokollmeldung). Dies ist sehr nützlich, um den Weg der Malware innerhalb der Infrastruktur Ihres Unternehmens zu ermitteln - von der Erstinfektion bis zur anschließenden Ausbreitung dieser Infektion.

Ebenso können Firewall-Protokolle und Netzwerkflussdaten als Beweis für mangelnde Konnektivität dienen: Das Blockieren von Verbindungen durch die Firewall, auf das kein erfolgreicher Versuch folgte, beweist, dass die Malware keine Verbindung nach außen zu ihrem „Hauptquartier“ herstellen konnte und dass es sich höchstwahrscheinlich um sensible Daten handelte nicht gestohlen, nachdem sie von der Malware erfasst wurden. Diese Protokolle sind von entscheidender Bedeutung und liefern sehr nützliche Informationen bei der Beurteilung der Kosten und Auswirkungen eines Malware-Vorfalls - vorausgesetzt, Ihre Firewall-Protokolle werden von Ihrem Protokollverwaltungstool erfasst.

Protokolle können Ihnen auch dabei helfen, durch Malware initiierte Scans zu erkennen. Durch die Kombination mehrerer Treffer auf die Firewall zu einem einzigen Muster - einem Scan - erhalten wir Informationen über die Verbreitung von Malware und Aufklärungsaktivitäten. SIEM-Tools können Warnungen erstellen, wenn sie ein solches Muster in Protokollen erkennen. Wenn Sie einen Scan durch ein internes System sehen, der eine große Anzahl externer Systeme trifft (oder zu treffen versucht), haben Sie in der Regel ein infiziertes System innerhalb Ihres Perimeters. Andererseits verfügt Spyware manchmal über eigene Protokollsignaturen, wie z. B. mehrere Versuche, über Port 80 oder einen Port mit hoher TCP-Anzahl eine Verbindung zu einer kleinen Gruppe von Systemen herzustellen. Tatsächlich kann man Firewall-Protokolle mit bekannten „Blacklists“ von Malware-Websites abgleichen - solche Listen finden Sie im SANS Internet Storm Center und anderen Quellen.

Welche Protokolle sind am besten?

Welche Arten von Protokollen sind also am nützlichsten, um Schadsoftware zu erkennen und zu bekämpfen?

Wie oben erwähnt, sind Firewall-Protokolle äußerst nützlich für die Verfolgung schädlicher Software - allerdings nur, solange ausgehende Verbindungen (erfolgreich und blockiert) in Protokollen aufgezeichnet werden.

Da moderne IDS- und IPS-Geräte über Signaturen zur Netzwerk-Malware-Erkennung, einschließlich Würmern, Viren und Spyware, verfügen, sind ihre Protokolle nützlich, um die Auswirkungen auf infizierte Systeme sowie die Anzahl und Art der Infektionsversuche in Ihrer Umgebung zu ermitteln.

Selbst ein Blick auf die Protokolle Ihres Antivirenprogramms kann unglaublich hilfreich sein, um Situationen zu erkennen, in denen ein Antivirenprogramm die „Präsenz des Bösen“ erkennt, es aber nicht automatisch bereinigt. Unter solchen Umständen wird von den meisten großen Antiviren-Anbietertools eine charakteristische Protokollmeldung generiert. Dieses Protokoll ist möglicherweise Ihr einziger Hinweis darauf, dass das System infiziert ist.

Diese Protokolle sind nützlich, um Vorkommnisse zu erkennen, bei denen die Malware versucht, ein Antiviren-Tool zu beschädigen oder dessen Update-Mechanismus zu stören, wodurch verhindert wird, dass die aktuellen Virensignaturen bereitgestellt werden. Immer wenn ein Antiviren-Softwareprozess ausfällt, wird vom System ein Protokoll erstellt. Die Überprüfung dieser Protokolldatensätze kann als frühzeitiger Hinweis auf einen möglichen Vorfall dienen und wichtige Beweise für die weitere Untersuchung liefern.

Darüber hinaus protokolliert moderne Antivirensoftware, wenn ein Update angewendet wird, und zeigt an, ob ein Update fehlschlägt und das System ungeschützt bleibt, UND wann ein Update erfolgreich ist. Dadurch dient das Protokoll als Beweis für den Stand Ihres Schutzes. Wenn der Computer trotz aktualisierter Antivirensignaturen immer noch Malware enthält, bedeutet dies, dass das Malware-Exemplar wahrscheinlich zu neu ist, als dass das AV-Tool es erkennen könnte.

Web-Proxy-Protokolle können zur Erkennung von Datei-Uploads und anderen ausgehenden Informationsübertragungen über das Internet verwendet werden, die durch datenstehlende Malware initiiert werden. Die Suche nach Methoden und Inhaltstypen in Kombination mit bekannten verdächtigen URLs oder User-Agents (d. h. Web-Client-Typ) kann häufig Spyware-Infektionen aufdecken, die aktiv Daten sammeln und aus Ihrer Umgebung leiten. Zugegebenermaßen kann eine gut geschriebene Spyware das User-Agent-Feld sicherlich fälschen, aber es kann nützlich sein, es zu unserer obigen Abfrage hinzuzufügen. Proxy-Protokolle können auf ein Aktivitätsmuster hinweisen, bei dem ein Computer eine Reihe von Verbindungen und Daten-Uploads in schneller Folge mit Versuchen zu vielen Systemen anzeigt, was darauf hindeutet, dass Malware die Ursache sein könnte.

Betriebssystemprotokolle sind auch für die Malware-Nachverfolgung nützlich, da moderne Betriebssysteme Software-Updates und Prozessabbrüche erfordern - und beides kann von bösartiger Software durchgeführt werden. Selbst die einfache Protokollierung der Anwendungsstarts mit Prozessnamen ermöglicht es uns, diese Namen mit bekannten Listen von Malware-Anwendungen abzugleichen, was manchmal zu überraschenden und beängstigenden Ergebnissen führt.

Schnelle Fallstudie

In einem aktuellen Fall wurde beobachtet, wie ein normaler Desktop das gesamte interne Netzwerk scannte. Dies wurde durch die Analyse der Firewall-Protokolle und die Entdeckung eines Volumenanstiegs nach dem Massenstart dieser Scans entdeckt. Der Desktop wurde kurz nach dieser Entdeckung schnell vom Netzwerk getrennt und ein Vorfall gemeldet. Bei der Untersuchung des Systems wurde eine beeindruckende Reihe von Malware entdeckt - zusammen mit einer toten Antivirensoftware, die durch die Malware getötet wurde. Protokolle halfen auch bei der Beantwortung der Frage „Hat es noch jemand anderen infiziert?!“ „Zu diesem Zweck zeigten dieselben Protokolle von Firewalls, dass außer dem untersuchten System kein anderes System solche Scans aufwies. Daher wurde festgestellt, dass die Scan-Kampagne nicht zu Infektionen anderer Systeme führte.

Schlussfolgerungen

Zusammenfassend lässt sich sagen, dass die Wahrscheinlichkeit, dass Antivirenlösungen die Malware heutzutage übersehen, VIEL größer ist als noch vor einigen Jahren. Protokolle stellen wichtige Informationen zur Erkennung und Untersuchung von Infektionen dar. Das automatische Sammeln, Baselining und Analysieren von Protokollen führt manchmal zu schnelleren Erkennungen als nur die Verwendung von Antiviren-Tools. Durch die Verwendung eines Protokollverwaltungstools zum Sammeln und Analysieren von Firewall-, IDS/IPS-, Server- und Web-Proxy-Protokollen können Sie schnell Hinweise auf Malware-Aktivitäten in allen Systemen und Netzwerken finden.