Wie kann ich meinen Rechner schützen, wenn ein gezielter Angriff die Firewall und den Virenscanner überwindet?
How can I protect my computer if a targeted attack overcomes the firewall and virus scanner?
Gar nicht! Das klingt nicht gut, entspricht jedoch der Realität. Es gibt Software z. B. von der Firma NSO Group aus Israel, die darauf spezialisiert ist in fremde Systeme einzudringen. Erfolgt ein gezielter Angriff auf ein bestimmtes Gerät, kann sich kein Antivirus-Programm dagegen wehren. Antivirenscanner arbeiten mit Signaturen bekannter Schadsoftware. Bei einem neuen, noch unbekannten Angriffsszenario können sie den Angriff nicht verhindern, da es dazu keine Signatur in ihrer Datenbank gibt.
An diesem Punkt setzt die Endpoint Security ein. Gelingt es Angreifern, auf das System ihres Ziels zu gelangen, muss die infizierte Schadsoftware ausgeführt werden. Dies versuchen moderne Betriebssysteme wie Windows 10, durch das sogenannte Whitelisting zu verhindern. Beim Whitelisting werden nur Programme und Komponenten ausgeführt, die vorher vom Anwender als „sauber“ klassifiziert wurden. Das Whitelisting funktioniert nur solange, wie ein Angriff nicht bekannte unbedenkliche Komponenten nutzt, um zur Aufführung zu gelangen.
Ein erweiterter Schutzmodus ist der „Guarded Desktop“, der eine „sichere Schutzhülle“ um kritische Anwendungen aufbaut und kritische Aktivitäten unterbindet. Dazu zählen unter anderem:
Keylogging: das Mitschneiden von Tastatureingaben.
Aufzeichnung von Bildschirmaktivitäten.
Veränderungen von Nachrichten z.B. E-Mails und Messenger.
Einfügen von Schadcode in Datenbanken und Anwendungen, die auf der Whitelist stehen.
Mit der Software App-Protect von Reddfort können sich Anwender vor gezielten Angriffen schützen. Die Anwendung besteht aus zwei Komponenten, einem ausgefeilten Whitelist-System und dem Guarded Desktop. App-Protect wirkt auch dann, wenn der Virenscanner von einem potenziellen Angreifer überwunden wurde. App Protect verhindert einfach den Start von ausführbaren Dateien (EXE, MSI, BAT, etc.) und v die Auführung von z. B. Macros aus Office-Dokumenten (DOC, XLS, etc.). So ist es dennoch möglich Dateien wie Videos, Musik, Fotos und Office-Dokumente von externen USB-Laufwerken zu starten. Die Ausführung von aktiven Elementen, die wiederum Schadsoftware nachladen, wird aber zuverlässig unterbunden.
Am besten lässt sich App-Protect auf einem neuinstallierten System einsetzen, um zu verhindern, dass mögliche Schadsoftware bereits im System installiert wurde und anschließend von App-Protect „geschützt“ wird.
Not at all! That doesn’t sound good, but it corresponds to reality. There is software, e.g. from the NSO Group from Israel, which is specialised in penetrating foreign systems. If a targeted attack is made on a specific device, no antivirus programme can defend itself against it. Antivirus scanners work with signatures of known malware. In the case of a new, as yet unknown attack scenario, they cannot prevent the attack because there is no signature for it in their database
This is where endpoint security comes in. If attackers succeed in getting onto their target’s system, the infected malware must be executed. Modern operating systems such as Windows 10 try to prevent this by so-called whitelisting. With whitelisting, only programmes and components that have previously been classified as “clean” by the user are executed. Whitelisting only works as long as an attack uses components that are not known to be harmless to get to the performance.
An advanced protection mode is the “Guarded Desktop”, which builds a “secure protective shell” around critical applications and prevents critical activities. These include, among others:
Keylogging: the recording of keystrokes.
Record screen activity.
Changes to messages e.g. emails and messengers.
Injecting malicious code into whitelisted databases and applications.
With the App-Protect software from Reddfort, users can protect themselves from targeted attacks. The application consists of two components, a sophisticated whitelist system and the Guarded Desktop. App-Protect is effective even if the virus scanner has been overcome by a potential attacker. App Protect simply prevents the start of executable files (EXE, MSI, BAT, etc.) and v the execution of e.g. macros from Office documents (DOC, XLS, etc.). It is still possible to start files such as videos, music, photos and Office documents from external USB drives. However, the execution of active elements, which in turn load malware, is reliably prevented.
The best way to use App-Protect is on a newly installed system to prevent possible malware from already being installed in the system and subsequently being “protected” by App-Protect.