Das Antiviren-Testlabor AV-Test hat untersucht, wie konsequent die Hersteller von Antiviren-Software etablierte Techniken zum Schutz ihrer Antiviren-Software vor Angriffen durch Sicherheitslücken nutzen. Diese Untersuchung ergab keineswegs zufriedenstellende Ergebnisse: Schutz-Techniken wie ASLR und DEP etwa nutzen die Hälfte der 32 getesteten AV-Hersteller, darunter Trend Micro, Norman, Bitdefender und Panda, nur für weniger als 90 Prozent ihrer Komponenten.

Im Windows-Bereich haben sich, um Angreifern das Ausnutzen von Sicherheitslücken zu erschweren, zwei Techniken etabliert: Address Space Layout Randomisation (ASLR) sorgt dafür, dass auf jedem System etwa Standardfunktionen wie solche zum Öffnen von Dateien an einer anderen Speicheradresse liegen und somit nicht durch einen einfachen Sprung an eine feste Adresse aktiviert werden können. Data Execution Prevention (DEP) verhindert das Ausführen von, sich in Datenbereichen versteckenden, Code – also etwa dort, wo die eigentlichen Bild-Informationen bei einem Bild liegen. Beide Techniken können zwar ausgetrickst werden, erschweren es einem Angreifer aber deutlich, eine in einem Programm einmal gefundene Sicherheitslücke auch tatsächlich für seine eigenen Zwecke zu missbrauchen.

Lediglich Symantec bei seiner Firmen-Lösung und Eset bei den Consumer-Produkten setzen beide Techniken konsequent, also bei hundert Prozent aller Dateien, ein. AVG, McAfee, Avira, und G Data tun dies zumindest bei den 64-Bit-Versionen. Im Business-Bereich und bei den 64-Bit-Lösungen liegt das Schutzniveau insgesamt höher. AV-Test weist nur etwa bei der Hälfte aller Produkte einen Wert von über 90 Prozent aus.

Ein weit verbreiteter Irrglaube ist, dass Antiviren-Software weniger oder garkeine Sicherheitslücken, die sich ausnutzen ließen, um Systeme anzugreifen, aufweise. Joxean Koret untersuchte erst kürzlich 17 Antiviren-Programme auf Sicherheitslücken und entdeckte teilweise kritische Probleme in 14 davon. Dass der bei AV-Software verbreitete Verzicht auf ASLR und DEP es viel leichter mache, solche Fehler auch tatsächlich auszunutzen, betonte aAuch Koret bereits. Die Hersteller begründen diese Mängel im Selbstschutz zum Teil mit eigenen Schutztechniken, die zum Teil mit DEP und ASLR nicht kompatibel seien oder zugekauften Bibliotheken.

(mt, hannover)

(siehe auch heise-News-Ticker:)

Hannover · EDV-Beratung · Linux · Novell · Microsoft · Seminar · IT-Consult · Netzwerk · LPIC · CLE