Web Sicherheit

Internetanwendungen sind laut Gartner Malware-Quelle Nummer eins in den Unternehmen. Auch der Report „Internet Security Trends 2008“ der Cisco-Tochter IronPort weist auf die verstärkte Bedrohungslage der Unternehmens-IT hin.

• Web 2.0

Die interaktiven Applikationen des Web 2.0 transportieren Inhalte nicht nur per Mail oder FTP (File Transfer Protocol), sondern auch als webbasierte Datenströme, wie beispielsweise beim HTTP-basierten Instant Messaging. Oft genügen schon wenige Zeilen Malware-Code auf einer Social-Networking-Seite, um Sicherheitslücken auszunutzen. Die Gefahr: In diesen Daten enthaltener Schadcode wird von herkömmlichen Antiviren-Programmen oft nicht erfasst.

• Infizierte legitime Webseiten

Eine von zehn Seiten enthält einen Schadcode. Das ist das Ergebnis einer Google-Untersuchung vom im Mai 2007, bei der alle Seiten im Verzeichnis des Google Such-Crawlers auf Malware überprüft wurden. Besonders tückisch ist, dass 70 Prozent der webbasierten Infektionen auf seriös wirkenden Webseiten gefunden wurden. Reiner Baumann, Regionaldirektor Zentral- und Osteuropa bei IronPort, warnt: „URL-Filtertechniken der ersten Generation, wie sie in den Unternehmen noch häufig vorzufinden sind, bieten keinen zuverlässigen Schutz vor dieser Bedrohung.“

• Verknüpfung mit Spam

E-Mail- und Webtechnologien vermischen sich bei der Verbreitung von Malware immer stärker. Beispiel: Beim so genannten Dirty Spam führen die in Spam-Mails enthaltenen Links auf infizierte Webseiten (s. E-Mail Security)

Methoden, die Inhalt, Zusammensetzung, Herkunft und Absender eines Threats analysieren, bieten wirksamen Schutz. Ein Beispiel hierfür ist die Technologie der Webreputation. Das Prinzip ist einfach: Da Malware typischerweise von Webservern mit ungewöhnlichen Verkehrsströmen oder ungewöhnlichem Netzwerkverhalten kommt, wird genau dieses analysiert. Der Filter hinterfragt zum Beispiel, wie lange und in welchem Land eine Domäne bereits registriert ist, ob der Webserver eine dynamische IP-Adresse nutzt und vieles mehr. Basis dafür ist ein System zur Überwachung des weltweiten E-Mail- und Webverkehrs namens SenderBase. Dieses speichert täglich Informationen zu rund 20 Millionen IP-Adressen und analysiert mehr als 50 vordefinierte Parameter in Echtzeit (www.senderbase.org).

Der Reputationsfilter bestimmt mit Hilfe eines Reputation-Scores von +10 bis -10, ob für bestimmte URLs eine besonders intensive Behandlung erforderlich ist. URLs mit einer starken positiven Reputation werden nicht gescannt, eine schwache positive Reputation macht hingegen einen Scan durch ein Anti-Malware-System erforderlich. Weblinks mit einer schwachen negativen Reputation werden von unterschiedlichen Systemen überprüft. Eine mangelhafte Reputation wird ohne einen vorhergehenden Scan sofort geblockt.

Auch die Untersuchung von verschlüsselten HTTPS-Datenströmen gewinnt zunehmend an Bedeutung. „Es ist einfach, eine neue Website zu erstellen, die einer lokalen Bank oder eines Unternehmens sehr ähnlich sieht, eine HTTPS-Verbindung aufzubauen und dann dem Anwender Malware zu senden. Da HTTPS eine verschlüsselte Verbindung zwischen dem Client und dem adressierten Server ist, haben viele Sicherheitslösungen keinen Einblick in oder Kontrolle über HTTPS-Traffic“, erklärt Baumann.