Anti-Virus- und HIPS-Anleitung für Einstellungen zu On-Access-Scans

Wenn diese Einstellung aktiviert ist, werden die allgemeinen Archivdateiformate zur Liste der Erweiterungen hinzugefügt, die vom On-Access-Scanner gescannt werden.

Diese Einstellung wurde deaktiviert, da es meist nicht notwendig ist, Archive bei Zugriff zu scannen. Bei Anwendung der Standard-On-Access-Scan-Einstellungen werden alle Dateien im Archiv beim Öffnen oder Ausführen gescannt. Das Scannen von Archiven ist ein speicherintensiver Prozess. Es kann vorausgesetzt werden, dass die meisten Archive in einem Unternehmen frei von Malware sind (diese sollte am Gateway von einem Produkt wie z.B. der Sophos Web and Control Appliance herausgefiltert werden). Darum muss der Endbenutzer die Verzögerungen, die durch die benötigte Prozessorzeit zum Scannen von Archiven entstehen, nicht in Kauf nehmen.

Sollten jedoch viele Benutzer ihre eigenen USB-Flashdrives und andere Wechselmedien mit dem Netzwerk verbinden oder das Unternehmen verlangt es, sollte diese Einstellung für eine Untergruppe von Benutzern aktiviert werden.

Als Alternativlösung zum On-Access-Scannen, kann auch Folgendes in Betracht gezogen werden:

• Anweisen der Benutzer, Archive vor dem Öffnen immer rechtszuklicken und "Mit Sophos Anti-Virus scannen" zu wählen. Auf diese Weise werden nur Archive, die geöffnet werden sollen, bei Zugriff gescannt. Um eine Gruppe von Archiven zu prüfen, legen Sie sie in einem Ordner ab und rechtsklicken Sie darauf, um ihn zu scannen.
• Einrichten eines geplanten Scans nur für Archive. Da dieser Scan alle Dateien entpackt, deren Inhalt scannt und wieder packt, dauert dieser Vorgang lange. Dieser Scann sollte zu einem Zeitpunkt stattfinden, wenn der Computer zwar eingeschaltet ist, der Scan aber nicht die Arbeit des Endbenutzers stört. Um diesen Scan zu erstellen, richten Sie einen neuen geplanten Scan ein und fügen Sie nur die Dateierweiterungen zur Erweiterungsliste hinzu, die Sie scannen möchten.

Archive und komprimierte Dateien werden an folgenden Standorten heruntergeladen, an denen der On-Access-Scanner von Sophos Anti-Virus ihren Inhalt überprüft:

In Windows lautet der Speicherort wie folgt:

• Windows-Betriebssysteme außer Windows: C:\Dokumente und Einstellungen\Alle Benutzer\Anwendungsdaten\Sophos\Sophos Anti-Virus\Temp\d5ab0000.$$$
• Windows Vista: C:\ProgramData\Sophos\Alle Benutzer\Anwendungsdaten\Sophos\Sophos Anti-Virus\Temp\d5ab0000.$$$

In UNIX handelt es sich um die "/tmp"-Datei. Der Standort kann mit Hilfe des "SAV_TMP"-Parameters geändert werden: z.B. Exportieren von "SAV_TMP" in ein anderes Verzeichnis.

Scannen auf Macintosh-Viren

Scannen des Systemspeichers

Wenn die Option zum Scannen des Systemspeichers aktiviert wird, überprüft der On-Access-Scanner stündlich den Systemspeicher im Hintergrund. Die Funktion dient der Erkennung von im Systemspeicher (Kernel-Speicher) versteckter Malware.

Beim Systemspeicher-Scan werden Speicherbereiche als Reaktion auf Anfragen der Virus Engine gelesen oder beschrieben.  Da die SophosLabs der Meinung sind, dass die Funktion für x64-Betriebssysteme nicht erforderlich ist, wird sie auf solchen Betriebssystemen nicht durchgeführt.

Potenziell unerwünschte Anwendungen (PUA) sind Anwendungen wie PC-Überwachungssoftware und Scherzanwendungen. SophosLabs schließen die Erkennung bekannter PUA in die Threat-Erkennungsdaten ein, die in den Updates für Endpoint Security and Control enthalten sind.

Diese Einstellung ist standardmäßig deaktiviert, da zuerst legitime Anwendungen, wie Verwaltungstools, autorisiert werden sollten. Führen Sie dazu einen geplanten Scan Ihres Netzwerks durch, um die legitimen Anwendungen zu identifizieren und autorisieren Sie diese. Aktivieren Sie dann den On-Access-Scan, um nicht zugelassene Anwendungen künftig zu sperren. Weitere Details finden Sie in der Einführungsanleitung zum Schutz vor potenziell unerwünschten Anwendungen (PUA) für Administratoren.

Sollte diese Einstellung aktiviert werden, bevor Ausnahmen eingerichtet wurden, kann das Netzwerk mit PUA-Benachrichtigungen überflutet werden. Sie können die erstellten Benachrichtigungen abarbeiten und in Enterprise Console Ausschlüsse einrichten, um sie zu entfernen. Dieser Vorgang kann jedoch einige Zeit in Anspruch nehmen. Beachten Sie, dass ein geplanter Scan durchgeführt werden muss, um alle gefundenen PUA zu bereinigen.

Die SophosLabs überprüfen regelmäßig ihre PUA-Definitionen, um sicherzustellen, dass neue Programme mit schädlichen oder unmoralischen Hintergründen vom Netzwerk gesperrt werden können. Neue PUA können hier vorgeschlagen werden: https://secure.sophos.de/support/samples/.

Verdächtige Dateien sind Dateien, die Code enthalten, der meist in Malware zu finden ist. Da Antiviren-Scanner unmöglich die Zusammenhänge in einer Datei erkennen können (z.B. dass eine von einem Ihrer Softwareentwickler geschriebene Datei ungefährlich ist), meldet Sophos alle möglichen verdächtigen Dateien. Dies kann zu einigen unerwünschten Erkennungen führen. Sophos bevorzugt jedoch alle potenziell gefährlichen Dateien hervorzuheben, um den Inhalt von einer Person prüfen zu lassen.

Diese Einstellung ist standardmäßig deaktiviert. Es empfiehlt sich, zuerst legitime Dateien zu autorisieren, wie z.B. von Mitarbeitern geschriebene. Führen Sie dazu einen geplanten Scan Ihres Netzwerks durch, identifizieren Sie die legitimen Dateien und autorisieren Sie sie in Enterprise Console. Aktivieren Sie danach On-Access-Scans, um künftig verdächtige Dateien zu erkennen.

Für weitere Informationen zu HIPS lesen Sie bitte folgenden Knowledgebase-Artikel: http://www.sophos.de/support/knowledgebase/article/48765.html

Es empfiehlt sich, immer diese Einstellung zu verwenden, wenn On-Access-Scans aktiviert sind. Scans beim Lesen sorgen dafür, dass alle Dateien, auf die zugegriffen wird, vor dem Öffnen überprüft werden.

Das Scannen beim Umbenennen ist in mindestens zwei (seltenen) Situationen nützlich.

Die erste Situation tritt beim beim Erkennen schädlicher Dateien auf. Wenn eine schädliche Datei auf dem Computer installiert wird, kann sie eine nicht existierende Dateierweiterung haben, wie z.B. .abc. Wenn sie zur Ausführung bereit ist, kann die Datei in .exe umbenannt werden. Malware kann außerdem eine Datei in einen Speicherort schreiben und dann an einer anderen Stelle mit einem neuen Namen speichern. Dieser Vorgang ist eine "Umbenennung" und wird von den Scans beim Lesen oder Schreiben nicht erfasst.

Die zweite Situation tritt beim Scannen heruntergeladener Dateien auf. Einige Browser laden eine Datei mit temporärem Namen herunter, deren Dateierweiterung sich nicht in der Standardliste befindet und nach Abschluss des Downloads auf den korrekten Namen umbenannt wird. Auf diese Weise kann die heruntergeladene .exe dem Scan entgehen, selbst wenn Scannen beim Schreiben aktiviert ist.

Sollten Sie also eine Malwareinfektion in Ihrem Netzwerk vermuten, empfiehlt es sich, diese Einstellung in Ihren Richtlinien vorübergehend zu aktivieren.

Da die anderen On-Access-Scan-Einstellungen Infektionen durch Dateien verhindern, die bekannterweise zum Infizieren von Computern genutzt werden (einschließlich selbstdefinierte Dateitypen), empfiehlt es sich, die Standardeinstellung (deaktiviert) in den meisten Fällen beizubehalten.

On-Access-Scannen nicht infizierter Dateien auf dem Computer kann die Systemleistung deutlich abbremsen. Viele Anwendungen benutzen beispielsweise ihre eigenen Dateiformate für temporäre Dateien. Jede dieser Dateien wird bei Zugriff gescannt. So würde ein speicherintensives Programm, wie z.B. ein Fotobearbeitungsprogramm oder Finanzsoftware, noch länger dauern, da der On-Access-Scanner jede der vom Programm benutzten temporären Dateien gescannt. Selbst bei normalen Netzwerk- und Computeraktivitäten sind die Auswirkungen auf die Systemleistung hoch und die Wahrscheinlichkeit minimal, dass eine Datei erkannt wird, die nicht auf der Liste ausführbarer Dateien steht, die standardmäßig gescannt werden.

Während (oder direkt nach) einer Malwareinfektion sollten Sie jedoch sicherstellen, dass alle Komponenten eines Virus nach der Desinfektion entfernt wurden. Dieser Vorgang sollte möglichst unter Anleitung des technischen Supports von Sophos erfolgen.

Sollten Sie vorziehen, dass Ihr Virenscanner alle Dateien überprüft, empfiehlt es sich, stattdessen einen wöchentlichen Scan aller Dateien zu planen. Führen Sie diesen Scan jedoch zu einem Zeitpunkt durch, wenn Ihr System selten benutzt wird (wie z.B. an einem Sonntag Nachmittag).

Diese Einstellung sollte immer aktiviert sein. Wenn aktiviert, überprüft dieser Scan alle Dateien mit ausführbaren Dateierweiterungen (z.B. ".EXE", ".BAT", ".PIF") oder Dateien, die infiziert sein könnten (z.B. '.DOC', '.CHM', '.PDF'). Außerdem wird schnell die Struktur aller Dateien überprüft und die mit ausführbarem Dateiformat werden gescannt.

Um weitere Dateitypen zu scannen, können deren Dateierweiterungen zur Liste zu scannender Dateitypen (Schaltfläche "Hinzufügen) hinzugefügt werden.

Sie können hier stattdessen auch eine automatische Bereinigung aller erkannten Malware einstellen. Möglicherweise haben Sie Ihre eigenen Verfahren zur Bereinigung von Malware, darum wird hier kein automatischer Vorgang ausgeführt. Eventuell ziehen Sie vor, erkannte Objekte in Quarantänte zu lassen, bis Sie sich darum kümmern können.

Wenn der On-Access-Scanner automatisch Objekte bereinigt, die Viren oder Spyware enthalten, werden alle Objekte gelöscht, die reine Malware sind und er versucht, alle infizierten Objekte zu bereinigen. Da der Virenscanner die Inhalte infizierter Dateien vor der Beschädigung nicht kennt und lediglich den vom Virus injizierten Code entfernt, sollten die Dateien als permanent beschädigt angesehen werden.

Der Standard "Zugriff verweigern" bedeutet, dass der Virenscanner fragt, was geschehen soll, bevor er fortfährt. Alle gefundenen Objekte sind gesperrt, bis Sie dem Virenscanner eine Anweisung geben.

Die beiden Optionen "Löschen" und "Zugriff verweigern und verschieben" können unter besonderen Umständen verwendet werden (z.B. wenn der technische Support von Sophos Sie auffordert, diese Option auszuwählen).

Es empfiehlt sich, dem Virenscanner nicht zu erlauben, infizierte Dateien automatisch zu löschen, da dadurch manchmal legitime Dateien gelöscht werden können. Wenn diese Einstellung aktiviert wird, sollten die Protokolle regelmäßig überprüft werden, um sicherzustellen, dass keine wichtigen Dateien gelöscht wurden.

Diese Einstellung erkennt Dateivorgänge während sie ausgeführt werden. Wenn der Scanner annimmt, dass die parallelen oder Gruppen von Vorgängen, die zurzeit aktiv sind, eine Bedrohung darstellen, werden Sie entweder benachrichtigt (wenn "Nur Alerts" ausgewählt wurde) oder er sperrt den Vorgang (wenn "Nur Alerts" deaktiviert wurde) .

Es empfiehlt sich, die Einstellung zunächst im Modus "Nur Alerts" zu betreiben und Anwendungen zuzulassen, die unerwünschte Erkennungen auslösen. Wenn Sie sich mit den Anwendungen vertraut gemacht haben, die Alerts auslösen und sich sicher sind, dass nur gewünschte Anwendungen zugelassen werden, können Sie den Modus "Nur Alerts" wieder verlassen.

Diese Einstellung schützt Ihren Computer vor Pufferüberläufen und sollte aktiviert sein. Sie ist ausschlaggebend beim Erkennen und Sperren neuer Malware, wenn "Nur Alerts" ausgeschaltet ist, bevor sie Ihre Systeme infizieren kann.

Da Pufferüberläufe nie wünschenswert sind, sollten Sie sich an alle Softwarehersteller wenden, deren Anwendung einen Pufferüberlauf auslöst und von der Sie wissen, dass sie keine Malware ist. Lassen Sie diese Anwendungen nur zu, wenn sie für Ihr Unternehmen wichtig sind. Wenn Sie auf verdächtige Pufferüberläufe stoßen, wenden Sie sich an den technischen Support von Sophos, der Ihnen beim Identifizieren und Eliminieren von Bedrohungen behilflich ist.

Die Erkennung verdächtigen Verhaltens sollte beim Einsatz einer neuen Antiviren-Richtlinie Vorrang haben, da die Einstellung "Nur Alerts" mit der Pufferüberlauferkennung geteilt wird, die mögliche Infektionen unmittelbar nachdem die Richtlinie zum Einsatz kommt sperrt. Sobald die legitimen Programme genehmigt wurden, die verdächtiges Verhalten in Ihrem Netzwerk zeigen, empfiehlt sich, dass Sie die Einstellung "Nur Alerts" sofort ausschalten.

Es ist Ihnen überlassen, ob der Endbenutzer Alerts am Computer erhält.

Diese Einstellung zeigt eine Benachrichtigung auf dem Endpoint an und gibt Auskunft darüber, was erkannt wurde, wo und wie damit umgegangen wird. Sie können Ihre eigene Nachricht für jedes Ereignis hinzufügen, auf das der Benutzer aufmerksam gemacht werden soll.

Diese Einstellung sollte aktiviert bleiben, damit sich der Endbenutzer an Ihre Helpdesk wenden kann, falls auf seinem Computer etwas erkannt wurde. Sie können auch eine angepasste Nachricht hinzufügen, um die Richtlinie Ihres Unternehmens zu übermitteln.