Was ist ein Antivirenprogramm (AV)?

Ein Antivirenprogramm (AV) ist eine Sicherheitssoftware, die Dateien beim Durchlaufen eines Netzwerks – bei Downloads aus dem Internet, E-Mail-Anhängen oder Dateiübertragungen – überprüft, sie mit bekannten Malware-Signaturen abgleicht und infizierte Dateien blockiert, meldet oder zurückweist, bevor sie den Benutzer oder den Server erreichen, an den sie gesendet wurden.

Die wichtigsten Erkenntnisse

• Die Antivirensoftware überprüft Dateien im Web- und E-Mail-Verkehr auf bekannte Malware-Signaturen.
• Vordefinierte Profile scannen Dateien mit einer Größe von bis zu 512 KB; benutzerdefinierte Profile scannen größere Dateien.
• Übereinstimmungen lösen je nach Profil eine Warnung aus, lassen eine Aktion zu, erlauben sie, verweigern sie oder lehnen sie ab.
• Versa Wendet AV als NGFW-Bedrohungsprofil innerhalb der VOS-Richtlinienregeln an.
• Aktualisierungen der Signaturdatenbank werden im Rahmen regelmäßiger SPack-Veröffentlichungen von Versa bereitgestellt.

Auf dieser Seite: Warum das wichtig ist · So funktioniert es · Arten · AV & Versa · Häufig gestellte Fragen

Warum ist AV wichtig?

Dateien sind nach wie vor einer der häufigsten Wege, über die Schadcode in ein Netzwerk gelangt – ein infizierter E-Mail-Anhang, ein mit einem Trojaner versehener Installer über HTTP, eine in einem gewöhnlichen Download versteckte Schadlast. Antivirensoftware ist wichtig, weil sie diesen Datenverkehr an der Stelle überprüft, an der er das Netzwerk durchläuft, anstatt sich ausschließlich auf den Endpunkt zu verlassen, auf dem die Datei schließlich geöffnet wird.

Diese Überprüfung auf Netzwerkebene ist wichtig, da der Endgeräteschutz uneinheitlich ist – private Geräte, Laptops von Auftragnehmern und nicht verwaltete Endgeräte in einem hybriden Netzwerk verfügen nicht immer über aktuelle Anti-Malware-Software, wodurch Lücken entstehen, die ein Angreifer ausnutzen kann. Das Scannen von Dateien während der Übertragung schließt diese Lücke für die Datenverkehrstypen, die am häufigsten für die Verbreitung von Malware missbraucht werden: Web-Downloads und E-Mail-Anhänge. Antivirensoftware ist eine Ebene in einer mehrschichtigen Verteidigungsstrategie – sie ersetzt weder den Endgeräteschutz noch die Benutzerschulung, stoppt jedoch eine bekannte Bedrohung, bevor diese das Gerät erreicht, das am anderen Ende darauf wartet.

Was ist AV?

Antivirensoftware scannt Dateien, die in zwei Arten von Datenverkehr übertragen werden: Webdatenverkehr über FTP und HTTP sowie E-Mail-Datenverkehr über IMAP, MAPI, POP3 und SMTP. Der Vorgang erfolgt Datei für Datei – sobald das letzte Byte einer Datei übertragen wurde, extrahiert die Antiviren-Engine eine Kopie davon, speichert sie im Puffer und scannt sie anhand einer Datenbank mit bekannten Malware-Signaturen. Dabei werden Dutzende unterstützter Dateitypen berücksichtigt, darunter ausführbare Dateien, Archive, Dokumente und Mediendateien.

Wenn der Scan eine Übereinstimmung feststellt, führt die Engine die in ihrem Profil festgelegte Maßnahme durch – Warnung, Zulassung, Verweigerung oder Ablehnung der Datei. Wird keine Übereinstimmung gefunden, werden die zurückgehaltenen Daten freigegeben und die temporäre Kopie gelöscht, sodass die Überprüfung bei einer einwandfreien Datei im Wesentlichen keine Verzögerung verursacht.

Arten von Antiviren-Scans

Antivirenprogramme unterscheiden sich vor allem darin, wie sie feststellen, ob eine Datei schädlich ist, und die meisten kombinieren dabei mehrere Methoden.

Bei der signaturbasierten Erkennung wird eine Datei mit einer Datenbank bekannter Malware-Fingerabdrücke abgeglichen – schnell, mit wenigen Fehlalarmen, aber blind gegenüber Bedrohungen, die noch nicht bekannt sind.

Die heuristische und verhaltensbasierte Erkennung markiert Code, der sich wie ein Virus verhält, auch wenn keine passende Signatur vorliegt, und erkennt so neue und modifizierte Varianten – allerdings auf Kosten gelegentlicher Fehlalarme.

Bei der cloudgestützten Erkennung wird die Analyse an einen Dienst ausgelagert, der Telemetriedaten kundenübergreifend korreliert und seine Bedrohungsinformationen kontinuierlich aktualisiert, teilweise mithilfe von Sandboxing. In den meisten Implementierungen werden alle drei Ansätze kombiniert, anstatt sich allein auf einen zu verlassen.

AV & Versa

VOS-Geräte ermöglichen den Einsatz von Antivirus als eines von zwei Bedrohungsprofilen – das andere ist „Vulnerability“ (IDS/IPS) –, die im Rahmen der Unified Threat Management (UTM)-Funktionalität von „ Versa“ in den Sicherheitszugriffsrichtlinien der NGFW konfiguriert werden. Die Engine scannt den Web- und E-Mail-Verkehr, extrahiert und puffert jede Datei, sobald ihr letztes Byte eintrifft, und vergleicht sie mit der Signaturdatenbank von „ Versa“, die durch regelmäßige SPack-Updates auf dem neuesten Stand gehalten wird.

VOS liefert drei vordefinierte Profile aus – „Web-Datenverkehr scannen“, „E-Mail-Datenverkehr scannen“ und „Web- und E-Mail-Datenverkehr scannen“ –, die jeweils auf 512 KB begrenzt sind. Für größere Dateien ist ein benutzerdefiniertes Profil erforderlich, das mit einem Speicherprofil gekoppelt ist und auf System- oder Organisationsebene auf die Festplatte oder eine RAM-Disk zwischengespeichert wird. Scan-Statistiken und Bedrohungsprotokolle werden in „ Versa Analytics“ angezeigt. Die vollständige Vorgehensweise finden Sie unter „Antivirus konfigurieren “ und „Antivirus (NGFW) konfigurieren “.

Häufig gestellte Fragen

Was ist der Unterschied zwischen Antiviren- und Antimalware-Software?

Die Begriffe sind heute weitgehend austauschbar, obwohl „Antivirus“ ursprünglich die signaturbasierte Erkennung bekannter Viren bezeichnete, während „Antimalware“ den erweiterten Schutz durch heuristische und verhaltensbasierte Analysen umfasst, mit denen Ransomware, Spyware und andere Bedrohungen erkannt werden, für die noch keine Signatur bekannt ist.

Welche Arten von Datenverkehr werden bei einem Antiviren-Scan überprüft?

Auf VOS-Geräten überprüft die Antivirensoftware zwei Datenverkehrskategorien: den über FTP und HTTP gesendeten Webdatenverkehr sowie den über IMAP, MAPI, POP3 und SMTP gesendeten E-Mail-Datenverkehr. Vordefinierte Profile – „Webdatenverkehr scannen“, „E-Mail-Datenverkehr scannen“ oder „Web- und E-Mail-Datenverkehr scannen“ – zielen auf eine oder beide Kategorien ab.

Was passiert, wenn ein Antivirenprogramm einen Virus in einer Datei entdeckt?

Die im Profil konfigurierte Aktion wird ausgeführt: „alert“ lässt die Datei durch und protokolliert sie, „allow“ lässt sie ohne Meldung durch, „deny“ blockiert sie und „reject“ blockiert sie und bricht dabei die Verbindung sowohl zum Client als auch zum Server ab. Welche Aktion angewendet wird, hängt von dem Profil ab, das der entsprechenden Richtlinienregel zugeordnet ist.

Wie groß darf die Datei maximal sein, die das Antivirenprogramm scannen kann?

Vordefinierte Antivirenprofile begrenzen die Scan-Größe auf 512 KB. Um größere Dateien zu scannen, erstellen Administratoren ein benutzerdefiniertes Antivirenprofil in Verbindung mit einem Speicherprofil, das die Datei – auf System- oder Organisationsebene – auf der Festplatte oder einer RAM-Disk zwischenspeichert, während der Scanvorgang abgeschlossen wird.

Ersetzt Antiviren-Software die Anti-Malware-Software für Endgeräte?

Nein. Netzwerkbasierte Antiviren- und Endpoint-Anti-Malware-Software decken unterschiedliche Sicherheitslücken ab: Die eine überprüft Dateien, während sie das Netzwerk durchlaufen, die andere schützt das Gerät im Anschluss daran, auch über Kanäle – wie beispielsweise Wechseldatenträger –, die niemals einen Netzwerkzugangspunkt passieren. Ein wirksamer Schutz nutzt beides.

Mehr zum Thema AV

Wenn Sie mehr erfahren möchten, finden Sie hier Quellen, denen wir vertrauen.

Verwandte Begriffe

Wenn Sie sich gerade mit AV beschäftigen, sollten Sie sich diese Artikel als Nächstes ansehen.