Tettnang (pte/09.06.2006/10:15) - Mit neuen heuristischen Scanmethoden will der Antivirensoftware-Hersteller Avira http://www.avira.com mit dem Juni-Release seine Antiviren-Produkte sattelfester machen und proaktiven Schutz bieten. "AHeAD (Advanced Heuristic Analysis and Detection) erkennt unbekannte Malware bereits bevor eine spezielle Virensignatur gegen den Schädling erstellt und ein Virenschutz-Update dazu versandt wurde", erklärt Avira-Sprecherin Adela Kohl im Gespräch mit pressetext. "Erste Tests im Realbetrieb haben gezeigt, dass wir durch die neue Heuristik die Erkennungsrate unserer Virenschutzsoftware um das Drei- bis Vierfache steigern konnten", meint Avira-Sicherheitsexperte Gernot Hacker.
Die Heuristik kann anhand der Beschaffenheit einer Datei, der Abfolge signifikanter Code-Sequenzen oder bestimmter Verhaltensmuster mit sehr hoher Wahrscheinlichkeit feststellen, ob es sich um eine schädliche oder virulente Datei handelt. Ausschlaggebend für die Neuerung bei Avira sei das immer schnellere Tempo, mit dem sich Viren und Malware verbreiten, verwandeln und anpassen können. Statische Erkennungsverfahren über Virensignaturen würden häufig nicht mehr ausreichen, um die Sicherheit eines Systems zu gewährleisten, so Kohl.
Proaktive Systeme allein reichen jedoch nicht aus, bisherige Schutzmethoden wie die Signatursuche werden immer ein Bestandteil von Antivirensoftware sein. "Es gibt viele Arten von Malware die man nicht zuverlässig proaktiv erkennen kann. Einige versuchen gezielt einer proaktiven Erkennung zu entgehen in dem verdächtige Merkmale verschleiert werden", so Kohl. Zudem seien bei einer heuristischen Erkennung Fehlalarme unvermeidlich, da es immer Dateien geben wird, die sich ähnlich einer Malware verhalten, jedoch völlig unbedenklich sind.
Treten Fehlalarme auf, wird die Heuristik dementsprechend angepasst. Eine effiziente Heuristik zeichne sich durch eine gute Gewichtung zwischen Fehlalarmquote und Erkennungsrate aus um den User nicht unnötig mit Fehlalarmen zu irritieren. Bei Avira kann die Sicherheitsstufe vom Benutzer eingestellt werden (Low/Medium/High). "Je höher die Stufe eingestellt ist, desto besser ist zwar die Erkennungsrate, allerdings steigt auch die Wahrscheinlichkeit für Fehlalarme", erläutert Kohl. Ist erst einmal Alarm geschlagen, biete die Virenschutzsoftware die Wahl, die potenziell virenverseuchte Datei in Quarantäne zu nehmen oder vom Rechner zu löschen.
Zudem sei AHeAD in der Lage, manipulierte HTML-Dateien proaktiv auf Gateways zu überprüfen. Auf diese Weise werde wirksam verhindert, dass Hacker eventuelle Exploits in Browsern ausnutzen können. Die Heuristik AHeAD ist für Geschäftskunden sowohl in die Windows- als auch in die Linux-Versionen von AntiVir integriert.
