Die signaturbasierte Erkennung ist eine Methode, Malware und Angriffe zu identifizieren, indem Dateien oder Netzwerkverkehr mit einer Datenbank bekannter Muster – sogenannter Signaturen – abgeglichen werden.
Wie signaturbasierte Erkennung funktioniert
Eine Signatur beschreibt etwas, das für eine bekannte Bedrohung einzigartig ist. Verbreitete Formen sind:
- Hashes – der MD5- oder SHA-256-Wert einer bösartigen Datei; exakt, aber schon durch die Änderung eines einzigen Bytes auszuhebeln.
- Byte-Muster und Zeichenketten – für eine Malware-Familie typische Code- oder Textsequenzen, oft mit Platzhaltern.
- Regeln – Kombinationen von Bedingungen, etwa YARA-Regeln für Dateien oder Snort- und Suricata-Regeln für Netzwerkverkehr in einem Intrusion Detection System.
Hersteller analysieren neue Samples, schreiben Signaturen und verteilen mehrmals täglich Datenbank-Updates an die Clients. Der Scanner prüft Dateien beim Zugriff, beim Download und bei geplanten Scans.
Warum signaturbasierte Erkennung relevant ist
Signaturen sind schnell, präzise und erzeugen wenige Fehlalarme. Damit bilden sie das Fundament von Antiviren-Engines wie dem Open-Source-Scanner ClamAV und von Netzwerksicherheitstools. Zudem lassen sie sich leicht teilen: Von Forschern veröffentlichte Indikatoren und Regeln ermöglichen es vielen Organisationen, dieselbe Bedrohung schnell zu erkennen.
Die Schwäche: Signaturen erkennen nur, was bereits bekannt ist. Zero-Day-Malware, polymorphe Malware, die sich mit jeder Kopie verändert, gepackte oder verschleierte Dateien und dateilose Angriffe können durchrutschen, bis eine neue Signatur existiert. Kriminelle testen ihre Samples routinemäßig gegen öffentliche Scanner, bevor sie sie verbreiten. Moderne Sicherheitsprodukte kombinieren Signaturen deshalb mit heuristischer Analyse, Verhaltensüberwachung, Sandboxing und Machine Learning.
Wie signaturbasierte Erkennung eingesetzt wird
- Signaturdatenbanken auf allen Endpunkten und Gateways automatisch aktualisieren.
- Eigene YARA- und IDS-Regeln für organisationsspezifische Bedrohungen nutzen.
- Sich nicht allein auf Signaturen verlassen, sondern verhaltensbasierte Erkennung und EDR ergänzen.
