Die Verhaltensanalyse ist ein Sicherheitsansatz, der Bedrohungen erkennt, indem er beobachtet, was Programme, Benutzer und Systeme tatsächlich tun, statt sich nur darauf zu stützen, wie bekannte Schadsoftware aussieht.
Wie Verhaltensanalyse funktioniert
Statt zu fragen „Ist diese Datei als bösartig bekannt?“, fragt die Verhaltensanalyse „Ist diese Aktivität typisch für einen Angriff?“. Sicherheitswerkzeuge sammeln Telemetrie – Prozessstarts, Datei- und Registry-Änderungen, Netzwerkverbindungen, Speicheroperationen – und vergleichen sie mit Mustern bösartigen Verhaltens. Beispiele für verdächtige Aktivitäten:
- ein Prozess, der in kurzer Zeit viele Dateien verschlüsselt oder umbenennt – typisch für Ransomware;
- ein Word-Dokument, das PowerShell startet, welches eine Datei herunterlädt;
- ein Programm, das den Speicher von lsass.exe ausliest, um Zugangsdaten abzugreifen;
- das Löschen von Schattenkopien oder Deaktivieren von Sicherheitstools.
Dasselbe Prinzip nutzt eine Sandbox, die eine verdächtige Datei isoliert ausführt und ihre Aktionen protokolliert, ebenso die Netzwerküberwachung, die nach Beaconing zu Steuerungsservern sucht. Das Verhalten von Benutzern und Konten analysieren UEBA-Systeme.
Warum Verhaltensanalyse relevant ist
Angreifer können das Aussehen ihres Codes endlos verändern, müssen aber dieselben Aktionen ausführen, um ihre Ziele zu erreichen. Verhaltensbasierte Erkennung findet deshalb neue Malware, dateilose Angriffe und den Missbrauch legitimer Werkzeuge, die signaturbasierte Scanner übersehen. Sie ist eine Kernfunktion von EDR und modernen Antivirenprogrammen und lässt sich gut auf Techniken in MITRE ATT&CK abbilden.
Ihre Grenzen sind Fehlalarme und das Timing: Legitime Admin-Tools können sich wie Angreifer verhalten, und manche bösartigen Aktionen werden erst erkannt, nachdem sie begonnen haben.
Wie Verhaltensanalyse eingesetzt wird
- Verhaltensüberwachung und automatisches Blockieren auf Endpunkten aktivieren.
- Regeln auf bekannte Admin-Aktivitäten abstimmen, um False Positives zu reduzieren.
- Erkennungen an das SOC weiterleiten und mit Netzwerk- und Identitätsdaten korrelieren.
