Notiz Microsoft Defender: Virenschutz auch für Android, iOS und Linux

[maccox]

Also ich wüsste nicht wie MS einen funktionierenden AV-Scanner für iOS bereitstellen könnte...

Das ist bei iOS definitiv nicht möglich da die Apps keinerlei derartige Zugriffsmöglichkeiten haben und bis auf bestimmte API Aufrufe (Teilen Menü etc.) innerhalb der App selbst gefangen sind, Sandbox halt.

Früher konnten iOS Apps noch die Namen aller installierten Apps auslesen, das ist mittlerweile aber glaube ich auch nicht mehr möglich.

Der MS "AV-Scanner" kann somit eigentlich nur ein Proxy sein der eben den Datenverkehr analysiert, das kann man aber nun wirklich nicht Virenscanner nennen...

 

[leckerbier1]

Wenn ich der Meinung bin n AV zu brauchen, dann gibts ClamAV, da brauch ich kein MS-Geseuche auf meinem PC ^^

Wirklich besser ist Clam aber auch nicht. Ist am Ende nur eine weitere unnötige App für Windows.

 

[Affenzahn]

Microsoft 365 E5 (M365 E5) which includes Windows 10 Enterprise E5

Aber für alle zum Mitlesen: aktuelle Voraussetzungen für Microsoft Defender ATP sind:

• Windows 10 Enterprise E5
• Microsoft 365 E5 (M365 E5) which includes Windows 10 Enterprise E5

Die Gauner hätten das für E3 ruhig auch noch integrieren dürfen.
"Hey, wir haben hier ne Komplettlösung für dein Unternehmen - aber halt nur Superluxuspremium"

Das ist nicht der Punkt. MS ist ein weiterer Datensammler. Außerdem gibt es viele Kaufprogramme. Wenn da ein paar schlechter sind, sagt das nichts aus.

Irrelevant. In jeder Firma sind zig Smartphones unterwegs, es gibt Server / Programme die einfach Windows Server brauchen, Windows ist bei weitem das Nummer 1 Enterprise OS.

Solange die nur eigene Telemetrie sammeln, ist alles OK. Das macht eh jeder. Dagegen ist Whatsapp auf Firmenhandys ne ganz andere Hausnummer.

Stell dir vor jemand verkauft Unfallpräventionswasser mit Ringelblumenextrakt

Das wäre dann die Avira Lösung.

MS wird schon wissen wie sie eigene (Enterprise!!) Services vernünftig integrieren.
Wer eh schon auf Azure und Intunes setzt, wird weit weniger Probleme damit haben den Defender auszurollen als einen Drittanbieter-AV.

Enterprise != Endbenutzer.
Enterprise macht Geld, Endbnutzer nur Probleme.

Enterprise macht schon auch Probleme, aber die werden besser bezahlt.

Der MS "AV-Scanner" kann somit eigentlich nur ein Proxy sein der eben den Datenverkehr analysiert, das kann man aber nun wirklich nicht Virenscanner nennen...

Deep Packet Inspection kann schon auch was bringen.

 

[corvus]

Die Gauner hätten das für E3 ruhig auch noch integrieren dürfen.
"Hey, wir haben hier ne Komplettlösung für dein Unternehmen - aber halt nur Superluxuspremium"

Jo mei irgendwo muss ja der Aufpreis noch gerechtfertigt werden. Andere Hersteller langen bei ihren Cloud-Security-Lösungen auch ordentlich hin.
Wobei ich es auch vorziehen würde, wenn es bei den kleineren Plänen dabei wäre. Aber MS ist halt noch immer ein privatwirtschaftliches Unternehmen.

 

[Spassmuskel]

Gibt es eigentlich schon Firmen, die nur auf den Defender bzw. ATP setzen oder ist der dafür gar nicht geeignet?

Bei mir in der Firma ist als Virenscanner Kaspersky installiert. Das Ding lastet die CPU vom Laptop bei jedem Scan zu 100% aus und dauert Stunden (trotz SSD). Arbeiten wird währenddessen zur Qual, da sogar einfache Intranetseiten stark verlangsamt laden.

 

[corvus]

Enterprise != Endbenutzer.
Enterprise macht Geld, Endbnutzer nur Probleme.

Enterprise macht schon auch Probleme, aber die werden besser bezahlt.

Das kann ich unterschreiben

 

[Schredderr]

Bei mir in der Firma ist als Virenscanner Kaspersky installiert. Das Ding lastet die CPU vom Laptop bei jedem Scan zu 100% aus und dauert Stunden (trotz SSD). Arbeiten wird währenddessen zur Qual, da sogar einfache Intranetseiten stark verlangsamt laden.

Habe aktuell auch einen Laptop von unserem Kunden mit Kaspersky drauf. Bei mir geht der auch regelmäßig auf die CPU, so dass sogar das Bewegen der Maus laggt. Ist mir unbegreiflich wie man diesen Schrott benutzen kann.

 

[Affenzahn]

Bei mir in der Firma ist als Virenscanner Kaspersky installiert. Das Ding lastet die CPU vom Laptop bei jedem Scan zu 100% aus

mit Kaspersky drauf. Bei mir geht der auch regelmäßig auf die CPU,

Hat da jemand vergessen den Windows Defender zu deaktivieren?

 

[Schredderr]

Hat da jemand vergessen den Windows Defender zu deaktivieren?

Der Defender Echtzeitschutz ist in der Tat auch gleichzeitig aktiviert.

 

[Affenzahn]

Wenn du selbst dran rumspielen darfst:
gpedit.msc
Local Computer Policy\Computer Configuration\Administrative Vorlagen\Windows Komponenten\Windows Defender Antivirus
Für "Windows Defender Antivirus Deaktivieren" den Status auf "aktiviert" setzen.

 

[linuxfan]

Es scheint US-Behörden mächtig zu stinken, dass Linux-Nutzer schwieriger auszuschnüffeln sind. Also muss nach geheimer Absprache Microsoft ran und eine Closed Source mit gewohnt komfortabler Hintertür bereitstellen?

 

[Spassmuskel]

Hat da jemand vergessen den Windows Defender zu deaktivieren?

Wenn ich es richtig sehe bei mir nicht, dort steht "Kaspersky Blabla for Windows ist aktiviert". Win Defender Echtzeitschutz sehe ich bei mir nicht.

 

[Schredderr]

Wenn du selbst dran rumspielen darfst:

Eher weniger. Ich habe zwar Admin-Rechte, aber auch nur weil die IT wohl vergessen hat mir diese wieder zu entziehen. Die Kollegen habe keine.
Daher sträube ich mich auch mich an die IT zu wenden. Nicht dass ihnen ihr kleiner Fehler noch auffällt und ich kann analog zu den Kollegen wegen jedem Furz zur IT rennen und mir die Admin-Rechte wieder temporär freischalten lassen.
Das Deaktivieren von "Sicherheitsdiensten" auf einem Leihgerät vom Kunden erscheint mir ohne Rücksprache unangebracht.
Da muss ich mir mal was überlegen oder vorsichtig nachfragen.

 

[Affenzahn]

Wenn ich es richtig sehe bei mir nicht, dort steht "Kaspersky Blabla for Windows ist aktiviert". Win Defender Echtzeitschutz sehe ich bei mir nicht.

Nie auf Windows Menüs vertrauen.
Im Task Manager unter Services nach WinDefend schauen. Der sollte "Stopped" sein
Alternativ den Prozess "Antimalware service Executable" suchen. Das ist der Defender.
Oder unter Details pffff... vermutlich defender.exe oder WinDefend.exe

 

[d.ullrich]

Das sieht bei Android nicht anders aus, auch dort ist der Einsatz einer AV-Software weitestgehend sinnfrei, da die Scanner die wirklich relevanten Bereiche des OS gar nicht scannen dürfen/können.

Es geht ja auch nicht nur darum das eigene System zu scannen. Klar, man ist sicherlich interessiert, dass das eigene System vermeintlich sicher ist. Aber selbst wenn das eigene System an sich nicht gescannt werden kann, dann können immer noch ein- und ausgehende Dateien gescannt werden, damit man z.B. nicht belastete Dateien weiterverteilt, die man selbst ggf. zugeschickt bekommen hat. Und das ist in einer Firma durchaus von Interesse, denn egal welcher Mitarbeiter mal nicht aufgepasst hat.. da ist eine "mein System sollte sicher sein, aber alle anderen sind mir total egal"-Einstellung wenig zielführend.

 

[Spassmuskel]

@Affenzahn alles klar, wieder was gelernt. Aber nein der Dienst dafür ist beendet und ansonsten wird davon auch nichts ausgeführt.

 

[Termy]

Wirklich besser ist Clam aber auch nicht. Ist am Ende nur eine weitere unnötige App für Windows.

Allein dass es Opensource ist macht es tendenziell vertrauenswürdiger Wenn ich schon Windoze nicht auf meinen Rechner lasse, wieso sollte ich MS dann auf die weise Vollzugriff geben?
Klar, wenn man sich eh mit Win rumschlägt, dann ist der Defender ne gute Sache!

 

[Bigeagle]

Das wäre dann die Avira Lösung.

MS wird schon wissen wie sie eigene (Enterprise!!) Services vernünftig integrieren.
Wer eh schon auf Azure und Intunes setzt, wird weit weniger Probleme damit haben den Defender auszurollen als einen Drittanbieter-AV.

Enterprise != Endbenutzer.
Enterprise macht Geld, Endbnutzer nur Probleme.

Enterprise macht schon auch Probleme, aber die werden besser bezahlt.

Aber, Aber ... was hat denn das arme Avira getan? ^^
unauffällig nachtret
räusper

Ich glaube du hast mich da Missverstanden. Ich denke - und bin mir auch ziemlich sicher - dass der Defender weniger nebenher kaputtmacht und auch Performancefreundlicher ist als die meisten anderen AV. Im Falle von Avira konnte ich das über die Jahre selbst beobachten wie es immer schlimmer, lästiger, langsamer und sinnloser wurde bis es sechseckig vom System flog weil es ohnehin eher crashte sobald es was tun sollte.

Ich bezog mich tatsächlich rein auf das Sicherheitsgefühl. Denn die AV die ich kenne und gesehen habe werfen lieber mit Panikmache, dämlichen Namen und künstlich aufgeblasener Erkennunsrate durch "oh, das da ist gepackt. ist bestimmt verdächtig. achwas verdächtig, das ist BÖSARTIG." -> fr08v101.exe was blocked by <insert AV name here>

Zu meiner Überraschung erkennen dabei laut Virustotal nur noch 6 AVs das als verdächtig. Ich glaub jemand sollte mal ein Thermometer in die Hölle werfen und die Temperatur prüfen.

Anyway, AV schützt eher selten vor tatsächlichen Angriffen sondern eher vor überbleibseln aus der Vergangenheit. Dazu wird das AV Urteil gerne als absolute Wahrheit betrachtet, was angesichts der Falscherkennungsrate eher unsinnig ist. Darüber hinaus ersetzt kein AV das selber denken. Allerdings vernachlässigen viele unbedarftere Anwender gerne ihre Brain.exe weil sie ja so gemütlich in ihrem Käfig ... ähm Sandkasten aus eingeschränkten Rechten, GUI und Sicherheitssoftware die ihnen schon sagt wenn etwas schlecht ist sitzen können.

Aus meiner Sicht sind AV mit Schuld daran dass manche Leute eine Whitelist für erlaubte Dateiendungen in Emailanhängen einrichten. Noch dazu dass sie sich dadurch sicherer fühlen. Noch dazu dass da meistens pdf weiter erlaubt ist, aber txt oder rtf als gefährlich geflaggt wird.

 

[Affenzahn]

Das Gefühl der falschen Sicherheit.
Das Problem gibts natürlich. Da find ich den im Vergleich unauffälligen Defender aber noch ganz i.O.
Er blockt mir nix wichtiges weg und scheint gegen 0815 (Hirn vorausgesetzt) Gefahren auch ausreichend zu schützen.
Auch behelligt der mich nicht ständig mit (false-) positives.

Die Geschichte mit der Whitelist ist da schon schwieriger.
Theoretisch wäre ein Virenscanner der alles blockt was nicht explizit gewhitelistet ist wünschenswert.
Hab neulich von nem Blackberry Dingens gelesen der das irgendwie so macht
https://www.cylance.com/en-us/index.html

Im Prinzip wäre sowas wie uMatrix, nur eben Dummie-Freundlich, die wohl beste Lösung.
Man bracuht kurz bis Word läuft, aber kann sich sicher sein dass die Makros nicht ausgeführt werden, es sei denn man gibt das für eine Datei oder einen speziellen Pfad explizit frei.
Dann ist auch egal ob man sich MalwareXY einfängt, sie kann einfach nix tun, da nicht freigegeben.

 

[xexex]

Die Gauner hätten das für E3 ruhig auch noch integrieren dürfen.

Du kannst Defender ATP zusätzlich zu E3 buchen, der Unterschied zwischen E3 und E5 ist eben vor allem sie Sicherheitsprüfung.

https://www.microsoft.com/de-de/microsoft-365/compare-all-microsoft-365-plans

Gibt es eigentlich schon Firmen, die nur auf den Defender bzw. ATP setzen oder ist der dafür gar nicht geeignet?

Vermutlich tausende, vor allem die, die auch Microsoft Clouddienste nutzen, weil es eine nahtlose Integration gibt. Einen Vergleich mir Kaspersky oder ähnlichen, kannst du hier gar nicht ziehen, es geht bei ATP vor allem um Gefahrenerkennung, nahtloser Verhaltensüberwachung und Analyse. Kaspersky ist eigentlich nur ein Virenscanner.

YouTube

An dieser Stelle steht ein externer Inhalt von YouTube, der den Forumbeitrag ergänzt. Er kann mit einem Klick geladen und auch wieder ausgeblendet werden.

YouTube-Embeds laden

Ich bin damit einverstanden, dass YouTube-Embeds geladen werden. Dabei können personen­bezogene Daten an YouTube übermittelt werden. Mehr dazu in der Datenschutzerklärung.

YouTube-Embeds laden

Datenschutzerklärung

Am ehesten kannst du die Lösung mit Trendmicro Officescan mit ATP und DDA vergleichen und da reden wir normalerweise über fünfstellige Beträge.

https://www.trendmicro.com/de_de/business/products/network/advanced-threat-protection/analyzer.html

Es nicht darum irgendwelche "exe" Dateien über Signaturen auf Schädlinge zu prüfen, das funktioniert schon seit Jahren nicht mehr. Es geht darum Sachen wie unbekannte Ransomware und 0Day Angriffe zu blocken, auch wenn diese Datei speziell für den Angriff auf einen PC erstellt wurde.

Beispiel gefällig?
Plötzlich versucht Word Dateien zu verschlüsseln, eine Funktion die man bei Word eigentlich bestenfalls selten aufrufen würde, das wird dann von der ATP erkannt, der Prozess geblockt, die Admins Informiert und diese können dann den genauen Verlauf der Datei nachvollziehen, die Datei selbst in einer Sandbox analysieren und den PC, das Mailkonto und den Benutzer in die Quarantäne setzen.

Mit "Virenscan" haben solche Produkte so viel zu tun wie ein Auto mit einer Schubkarre.

YouTube

An dieser Stelle steht ein externer Inhalt von YouTube, der den Forumbeitrag ergänzt. Er kann mit einem Klick geladen und auch wieder ausgeblendet werden.

YouTube-Embeds laden

Ich bin damit einverstanden, dass YouTube-Embeds geladen werden. Dabei können personen­bezogene Daten an YouTube übermittelt werden. Mehr dazu in der Datenschutzerklärung.

YouTube-Embeds laden

Datenschutzerklärung

Wieso das bei Microsoft funktioniert? Tja, da hätten wir ja die "böse" Datensammlung.

Dadurch weiß Microsoft genau, welche Prozesse auf welche Daten oder Ordner zugreifen und was ungewöhnlich aussieht. Microsoft ATP ist der beste Beispiel dafür wie man die Datensammlung, sinnvoll zum Nutze der Kunden einsetzen kann, statt damit nur Geld zu machen.