Selbstschutz für Antiviren-Software

Eine Internet-Security-Suite sichert ein System rundum ab und setzt dafür alle verfügbaren Schutztechniken ein. Aber wie steht es um den Selbstschutz der Systembeschützer? Nutzen sie Schutztechniken wie DEP und ASLR für sich? AV-TEST hat das bei 32 Programmen nachgeprüft.

In Science-Fiction-Filmen wird ein Raumschiff nicht einfach nur angegriffen und sein Schild beschossen, sondern es wird immer zuerst auf den Schutzschildgenerator gezielt. Übertragen auf Antiviren-Software wäre der Schildgenerator der Kern der Schutz-Suite – das Antiviren-Programm selbst. Fällt der Schildgenerator aus, dann ist das Schiff – oder in unserem Fall das Windows-System – schutzlos und leicht zu übernehmen.

Hersteller von Schutzpaketen kennen natürlich das Problem seit langer Zeit. Deshalb haben sie für den Selbstschutz einige Maßnahmen entwickelt und setzen diese ein. Was viele Anwender nicht wissen: Die IT-Branche hat bereits vor Jahren für Programmierer frei verfügbare Schutzmechanismen entwickelt, die sie in ihrem Programmcode nutzen können – ASLR und DEP. 

Die Experten von AV-TEST haben 24 Security-Suiten und 8 Schutzlösungen für Unternehmen im Oktober 2014 untersucht, ob diese bereits ASLR und DEP einsetzen. Bei dem Check wurden jeweils die Dateien für 32 und 64 Bit getrennt erfasst.

Hinter den sperrigen Begriffen ASLR und DEP versteckt sich folgendes:

• ASLR oder Address Space Layout Randomization steht für eine Speicherverwürfelung, die das Ausnutzen von Sicherheitslücken in Computersystemen erschwert. Durch ASLR werden Adressbereiche den Programmen auf zufälliger Basis zugewiesen. So sollen Angriffe durch einen Pufferüberlauf verhindert oder zumindest erschwert werden.
• DEP oder Data Execution Prevention wird auch als NX-Bit (No eXecute) bezeichnet. Der Schutz hat seine Basis bereits in der Hardware. Die Prozessor-Hersteller AMD und Intel haben diese Technik bereits seit 10 Jahren unter den Eigennamen EVP bzw. XD-Bit in all ihren Prozessoren implementiert. Sie soll verhindern, dass Programme beliebige Daten als Programm ausführen und auf diese Weise Schadcode starten.

Altbekannt und trotzdem gut

Die Techniken ASLR und DEP sind zwar locker über 10 Jahre alt, aber aktueller als jemals zuvor. Ihr eigentlicher Sinn ist folgender:

Ein umfangreicher Programmcode ist selten frei von Fehlern. Laut Wikipedia enthalten Top-Programme nur 1 Fehler auf 2000 Codezeilen. Aber: zum Beispiel Photoshop CS6 besteht aus etwa 9 Millionen Codezeilen, Windows XP aus ungefähr 40 Millionen. Eine gute Übersicht zum Thema Anzahl der Codezeilen in Programmen liefert der Londoner Designer David McCandless in einer Infografik.

Die unvermeidlichen Fehler können sich später als Schwachstellen entpuppen, bei denen der Schadcode eines Angreifers ansetzen kann. Eine Schutz-Suite kennt diese Schwachstellen und versucht die Löcher zu stopfen. Nun ist aber auch eine Security-Suite ein Programm, bestehend aus vielen Dateien und jeder Menge Codezeilen. Die Suite könnte selbst eine Schwachstelle haben, die ein Angreifer ausnutzen kann. Das wäre natürlich fatal.

Wird beim Programmieren die Unterstützung für die Techniken ASLR und DEP mit eingebaut, so sinkt das Risiko, dass eine eventuell vorhandene Schwachstelle auch wirklich ausnutzbar ist. Setzt eine Software ASLR und DEP nicht ein, kann man allerdings nicht generell sagen, dass sie unsicher sei. Denn wenn die Programmierung zu 100 Prozent fehlerfrei ist, dann lässt sich die Sicherheit auch nicht erhöhen. ASLR und DEP sind also ein Zusatzschutz für alle Fälle, auf den man nicht verzichten sollte. Denn der Einsatz ist denkbar einfach: es handelt sich um im Compiler vorhandene Funktionen, die einfach dazu geschaltet werden. Der Codeumfang oder die Programmlaufzeit werden dadurch nicht beeinflusst.

32 Produkte im Check

AV-TEST wollte mit seiner Untersuchung feststellen, wie stark die Hersteller den Zusatzschutz bei ihren Produkten einsetzen. Dazu wurden die einzelnen Produkte installiert und alle neu vorhandenen Dateien protokolliert. Danach wurden die User-Mode-PE-Dateien (Portable Executable) für 32 und 64 Bit für die Auswertung genutzt. Alle anderen Dateien, inklusive der so genannten nativen PE-Dateien, waren für den Test irrelevant. Zu den PE-Dateien gehören beispielsweise:

• .exe oder „Executable“, also ausführbares Programm oder Modul
• .dll oder „Dynamic Link Library“, eine Programm-Bibliothek
• .sys oder „System“, eine Systemsoftware 
• .drv oder „Driver“, eine Treiber-Datei für ein Gerät

Zwischen 5 und 45 Prozent der installierten Dateien einer Schutzlösung sind PE-Dateien, die darauf untersucht wurden, ob sie im Code mit DEP und ASLR zusätzlich geschützt sind.

In den Tabellen wurde dann prozentual erfasst, wie viele der PE-Dateien – getrennt nach 32 und 64 Bit – eines Programms den Zusatzschutz haben. Das Ergebnis ist ein wenig überraschend, da einige Hersteller ASLR und DEP teilweise oder komplett einsetzen und andere Hersteller wiederum fast völlig darauf verzichten.

Consumer-Produkte: den Zusatzschutz nutzt nicht jeder

Das Labor hat die Ergebnisse nach Produkten für private Nutzer und für Unternehmen getrennt aufgeführt. Bei den Internet-Security-Suiten für private Nutzer wurden insgesamt 24 Produkte untersucht und auch nach 32 und 64 Bit getrennt aufgeführt. Die einzigen Produkte, die ASLR und DEP zu 100 Prozent einsetzen, kommen von ESET (Consumer) und Symantec (Business). Avira, G Data, McAfee und AVG (beide Produkte) setzen den Zusatzschutz zu 100 Prozent nur in den 64-Bit-Dateien ihres Produkts ein. Bei 32 Bit schwankt der Wert zwischen 90 und fast 100 Prozent.

Insgesamt setzt die Hälfte aller Schutzpakete zu über 90 Prozent auf den Einsatz von ASLR und DEP. Danach sinkt der Einsatz in Schritten von etwa 10 Prozent von Produkt zu Produkt bis auf den kleinsten Wert von etwa 5 Prozent. Im Einzelfall von Kingsoft bei 64 Bit sogar auf 0 Prozent.

Bei vielen Dateien für 64 Bit, egal ob ASLR oder DEP, ist der Einsatz der Schutztechnik höher als bei Dateien für 32 Bit. Es ist aber keine Regel erkennbar.

Unternehmens-Produkte: hohe Einsatzquote

Bei den Firmenlösungen setzen die Hersteller viel stärker auf den zusätzlichen Selbstschutz von ASLR und DEP. Lediglich Symantec nutzt den Schutz durchgängig zu 100 Prozent. Sophos nur bei seinen 64-Bit-Dateien. Sophos weist aber darauf hin, dass bei seinen 32-Bit-Dateien eine Vielzahl der nicht geschützten Dateien DLLs sind, die nur Daten enthalten und somit keine Gefahr darstellen.

Addiert man für jedes Produkt die 32- und 64-Bit-Werte, so liegt bei 6 von 8 Produkten der Einsatz zwischen 81,5 bis über 97 Prozent. Lediglich Trend Micro setzt nicht auf die Technik und nutzt daher ASLR und DEP bei nur knapp 19 Prozent seiner PE-Dateien.

Insgesamt ist zu erkennen: bei den 64-Bit-Dateien wird der Selbstschutz öfters genutzt als bei 32-Bit-Dateien. Jedoch ist dies nur ein Trend und keine Regel.

Fazit: Mehr Zusatzschutz schadet nie

Den Einsatz der frei verfügbaren Techniken ASLR und DEP kann man den Herstellern nur empfehlen. Schließlich ist es ein Zusatzschutz, der nicht schaden kann. Zugegeben, auch ASLR ist mit Spraying-Techniken zu überlisten, wie etwa auf heise online zu lesen ist (Die Rückkehr der Pufferüberläufe). Allerdings bedeutet das Überlisten von ASLR wiederum mehr Aufwand für den Schreiber von Schadcode. Aufwand, der normalerweise gescheut wird.

Auch DEP (oder NX-Bit) ist nicht der Schutz für Dateien schlechthin, aber Schreiber von Exploits müssen auch hierfür zusätzliche Hürden überwinden, die wiederum Aufwand bedeuten.

Es ist wie so oft die Summe der Dinge, die zählt. Der Aufwand, um zwei, drei oder mehr Schutzwälle zu überwinden, kostet den Angreifer Zeit, Ressourcen und zusätzliche Schritte, die eine Schutz-Software eventuell leichter als Angriff analysieren kann.

Das sagen die Hersteller dazu

AV-TEST hat allen Herstellern die Ergebnisse der Untersuchung zukommen lassen und gleichzeitig nachgefragt, warum sie eventuell kein DEP und ASLR einsetzen. Zusammengefasst lauten die Antworten so:

• Es gibt einige zugekaufte Bibliotheken, die DEP und ASLR nicht verwenden. Aber man will in Zukunft nur noch solche Libraries kaufen, die die Technik auch nutzen.
• Einzelne Dateien arbeiten mit einer selbst entwickelten Schutztechnik, die mit DEP und ASLR nicht kompatible wäre.
• Besondere Dateien wurden zum speziellen Schutz mit einem nicht Microsoft-konformen Compiler angefertigt und sind daher zu DEP und ASLR inkompatibel.
• Bestimmte Dateien werden nicht mehr aktiv im Programm verwendet und sind daher zu vernachlässigen.
• Es werden eigens entwickelte Schutztechniken verwendet, sowie CFI (Control Flow Integrity ) und die Sandbox-Technik.

www.av-test.de

Fachwissen ASLR und DEP
Je mehr Code ein geschriebenes Programm hat, desto größer ist die Wahrscheinlichkeit, dass ein Fehler eine potentielle Schwachstelle ergeben kann. Durch die Techniken ASLR und DEP lassen sich diese Schwachstellen zwar nicht direkt schließen, aber besser verstecken und vor Zugriff sichern. Im Prinzip sollte ein Programmierer nur auf ASLR und DEP verzichten, wenn das Programm hundertprozentig frei von Fehler ist.

Einer der größten Befürworter dieser Techniken ist seit langer Zeit Microsoft. ASLR wird ohne Ausnahme seit Windows Vista verwendet. DEP wird seit Version XP SP 2 unterstützt. Windows ist zu Unrecht in Verruf geraten als System mit vielen Schwachstellen. Vielmehr ist es fast immer eine installierte Fremd-Software, die Lücken in ein Windows-System reißt. Populäre Vertreter dieser Gattung sind etwa der Adobe Reader, Flash oder Java. Microsoft berichtet in seinem Security Intelligence Report ständig über die aktuelle Entwicklung in diesem Bereich. Die Berichte sind frei zugänglich.
Aktuell gibt es auch eine gute Studie von Joxean Koret, COSEINC. In seiner Präsentation (PDF) belegt er anschaulich, dass die vorhandenen Schwachstellen in Antivirus-Software ein hohes Risiko bergen: Breaking Antivirus Software.
AV-TEST hat bereits 2005 über Schwachstellen in Security-Software berichtet und dargelegt, wie sich diese auswirken können. Das Thema lässt sich hier als PDF nachlesen: Insecurity in Security Software.