Echtzeit-Cloud-Scanning erkennt gefährdete, infiltrierte und kompromittierte Webseiten

Rubrik: Produkte/Router/Switches/Security Appliances

IronPort Exploit-Filter soll schneller und genauer als herkömmliche URL-Filter vor Websites mit Sicherheitslöchern schützen

(25.09.08) - IronPort Systems erweitert die Schutzfunktionen ihrer Web-Security-Appliances durch einen neuen Exploit-Filter. Mit diesem Feature werden Anwender vor Malware aus dem Internet geschützt - selbst dann, wenn die meist legitimen Websites von URL- und signaturbasierten Filtern nicht als kompromittiert erkannt werden oder noch nicht gelistet sind. Der Exploit-Filter nutzt dazu die Reputationstechnologie und das Echtzeit-Cloud-Scanning von IronPort.

Der neue Filter zielt auf ein besonders schnell wachsendes Sicherheitsproblem ab: Immer mehr eigentlich vertrauenswürdige Webseiten werden dazu benutzt, Trojaner oder Phishing-Attacken mit Hilfe von Cross-Site Script-Exploits, Buffer Overflow-Angriffen, SQL-Injections und unsichtbaren iFrame-Redirects zu verbreiten. Dabei konzentrieren sich Malware-Schreiber zunehmend auf bekannte Webseiten. Anhand der Analyse des Webverkehrs in Echtzeit fand das "IronPort Threat Operations Center" kürzlich heraus, dass solche infiltrierten Websites für mehr als 87 Prozent aller heutigen webbasierten Bedrohungen verantwortlich sind. Herkömmliche URL-Filter oder Signatur-scanner sichern PCs vor diesen Gefahren, die sich oft hinter scheinbar unbedenklichen Webkate-gorien wie Shopping oder News verstecken, bislang nur unzureichend ab.

Die Reputationstechnologie von IronPort setzt auf ein Echtzeit-Cloud-Scanning, das die Inhalte so genau erfasst, dass nur die tatsächlich infizierten Teile einer Webseite geblockt werden, die unbedenklichen Bereiche jedoch zugänglich sind. Dabei prüft die Technologie jede Anfrage vom Browser von der anfänglichen HTML-Abfrage bis zu den nachfolgenden Datenabfragen und Links, die von unterschiedlichen Domains kommen können.

Auf der Basis von bekannten Sicherheitslücken und Exploits werden bedenkliche Webseiten daraufhin in eines von drei verschiedenen Bedrohungs-Levels eingestuft:

· Gefährlich - Auf diesen Seiten finden sich aktive Exploits und Malware beziehungsweise bösartige Skripts. Sie werden sofort geblockt.

· Kompromittiert - Auf diesen Seiten sind ein oder mehrere Exploits sowie bösartige Skripts platziert, die jedoch noch nicht von den Internetkriminellen aktiviert sind. Auch diese Sites werden von vorn herein geblockt.

· Gefährdet - Diese bekannten, viel besuchten Websites mit einem hohen Risiko werden aktiv vom "IronPort Threat Operations Center" beobachtet, da sie anfällig für Exploits sind oder bereits durch Malware kompromittiert wurden.

Ein Beispiel für die neue unsichtbare Bedrohung ist die Seite der Sony Play Station, die im Juli dieses Jahres Opfer einer SQL-Injection-Attacke wurde. Dabei schleusten Internetkriminelle ein Stück bösartigen JavaScripts in Teile der Website ein. Dieses generierte ein Pop-up-Fenster mit der Warnung, der Computer sei mit Malware infiziert und führte den User dann auf eine andere Website, wo er Anti-Virus-Software kaufen könne. Doch stattdessen luden sich die Anwender einen heimtückischen Trojaner herunter. Bei solchen Szenarien setzt die Web-Reputationstechnologie von IronPort an, die in Echtzeit Webinhalte scannt, um kompromittierte Inhalte zu identifizieren und zu blocken.

"Als äußerer Schutzschild analysiert der Reputationsfilter mehr als fünf Milliarden Webtrans-aktionen täglich und blockt bis zu 70 Prozent der Malware noch vor der Signaturerkennung. Die Erkennungsrate liegt somit 60 Prozent über der von herkömmlichen Signaturscannern", erklärt Reiner Baumann, Regional Director Central and Eastern Europe bei IronPort. "Der zusätzliche Exploit-Filter bietet PC-Anwendern umfassenden Schutz vor einer der größten, weil unsichtbaren Bedrohungen im Web der Verbreitung von Malware über legitime Websites." Der Exploit-Filter ist ab sofort in allen Produkten der IronPort S-Serie integriert. (IronPort: ra)