CMDCake schrieb:
Was ist das denn für eine Argumentation?
Das ist die Argumentation, die den Kontext berücksichtigt. Es geht nicht darum, wie gut oder wie schlecht der AV-Scanner ist; es geht darum, das System sicher zu bekommen.
Das sind zwei völlig verschiedene Paar Schuhe. Ein anderes Beispiel:
-- Ein Paßwort mit 8 Buchstaben ist sicher, wenn es auf einer Maschine ohne Benutzerverkehr und ohne Internetanschluß verwendet wird.
-- Ein Paßwort mit 16 Zeichen egal welcher Art ist unsicher, wenn es für einen Internetservice verwendet wird.
Hintergrund:
-- An den "Safe" mit dem achtstelligen Schlüssel kommt effektiv kein Unbekannter ran, weder direkt per Tastatur noch indirekt per Netzwerk.
-- An den "Safe" mit dem sechzehnstelligen Paßwort kommt praktisch jeder, freiwillig oder unfreiwillig, absichtlich oder nicht, ist egal, im Internet weiß ich nichts über gar nichts.
"Normal" staffelt man sein Sicherheitskonzept. Ich hab einen Zugang zum Internet? Direkt am Zugang hängt irgendeine Form von Gateway mit Sicherheitsfunktion, sei es ein Proxy mit Accesssfilter und AV-Scanner oder ein normaler L3-Router mit irgendwelchen Zugriffsbeschränkungen und Deep Packet Inspection.
Dahinter hab ich mein Netzwerk. Das ist jetzt in irgendeiner Form gegen Zugriffe "von da draußen" geschützt. Nicht geschützt ist es aber gegen Zugriffe von innen, wenn sich also wer Fremdes ransetzt an eine Kiste, dann nützt der Internetgateway überhaupt nichts, außer daß er ggfs. noch protokolliert. Entsprechend brauch ich noch einen zusätzlichen Schutz für die Clients.
Knackpunkt: Ich hab jetzt ein Subset von Angriffspunkten auf meinem Client. Die Software dort muß nicht mehr gegen alles schützen, auch wenn es natürlich sinnvoll ist, "Internetschutz" auf Clientseite aufrechtzuerhalten als
zweite Schutzwand.
Wenn es jetzt einen Angreifer gäbe und der hätte es auf deutsche Internetnutzer abgesehen, was macht der?
- Er findet Schwachpunkte der Fritzbox. Deckung: >80%.
- Er versucht sich an 192.168.178.0/24 als Zielnetz. Deckung: 95+% bei Fritzboxen. Dann noch die 1.0/24 und die 2.0/24 und er hat 95%+ total.
- Er versucht sich an Windows 10 ohne weitere Schutzsoftware. Deckung: >90% .
Mit anderen Worten, der potentielle Angreifer läuft einfach da durch. Die Umgebung ist buchstäblich uniform. Findet sich dann auch nur eine Schwachstelle im Windows Defender, läuft er nicht nur durch, sondern er rennt durch.
Nehmen wir hinzu, daß der Otto Normalanwender als Admin unterwegs ist.... eh.
Was kann man also tun?
- Irgendwas nicht-Fritzbox als Router einsetzen. Deckung: <= 20%.
- den IP-Addressraum seines Heimrouters ändern, und sei es auf sowas wie 192.168.150.0/24. Deckung: <= 10%.
- Nicht Windows verwenden. Deckung: <= 10%.
Und nicht als Admin unterwegs sein. Deckung: <= 10%.
Und schon ist die Einfahrt nicht mehr von der Dimension eines Scheunentors, sondern eher einer hohlen Gasse, durch die er kommen muß.
Analog: Setze ich in meinem Netzwerk überall dieselbe Software ein und es findet sich irgendwann mal eine Schwachstelle da drin, dann hab ich überall den Schaden.
Setz ich aber auch mal was anderes ein, dann hab ich den Schaden auf die fragliche Teilmenge eingegrenzt.
Sicher, für zuhaus ist das Overkill. Aber man muß zumindest ein bißchen was im Hinterstüberl behalten. Homogenität im Netz ist zwar bequem, aber äußerst schlecht für die Sicherheit.
andy_m4 schrieb:
[Es] lohnt sich die Überlegung, ob das Gesamt-Schutzniveau durch Einsatz eines Virenscanners steigt [...]
Das größte Problem an der Stelle ist eine fehlende Nachvollziehbarkeit. Ich muß nicht unbedingt einen Virenscanner haben, der für mich jede Bedrohung aus dem Weg räumen soll.. Das funktioniert eh nicht.
Aber ich muß wissen was los ist. Hab ich keinen AV-Scanner, weiß ich nicht was los ist.
Natürlich kann man das Problem auch umgehen und kann zB Trojaner an den o.g. Gateway delegieren. Ich selber werd die Dinger ohne Erkennungssystem NICHT zu Gesicht bekommen (können) außer da waren absolute Stümper am Werk.
Das Mindeste was man daher tun muß ist sich fragen, welcher Weg von A nach B, um mir Schaden zuzufügen? Der Trojaner tut erstmal niemandem was, er macht das System weder lahm noch kaputt, aber er verschickt meine Daten, daran muß ich ihn hindern, OHNE meine Benutzer einzuschränken. Gelingt mir das, brauch ich keinen dedizierten "Trojanerfilter".
Aber es gibt auch noch andere Schadsoftware. Wir nennen das zwar alles Malware, aber das ist im Kontext Sicherheit eines DER Unwörter: Ransomware ist kein Trojaner ist kein Wurm usw und ich muß schon irgendwie gegen zumindest die schlimmsten Bedrohungen absichern.
Ransomware? Bissel blöd, wenn ich am Adminpanel zusehen kann, wie alle meine Daten (und die meiner Anwender!) meiner Kontrolle entschwinden. Da brauch ich aktiven Schutz. Benutzer kann irgendwohin schreiben? Die Ransomware dann auch.
"Backup" ist immer ein lecker Argument. Blöd nur, wenn man dann die ganzen Stunden verliert, und das auch noch wiederholt; noch blöder, wenn das Backup gleich mit verseucht wird.
Ich geh ja mit, daß AV-Scanner selber als Software die Angriffsfläche vergrößern. Aber mh. Zumindest in meinen Augen überwiegt der Nutzen weiterhin signifikant.
Danke für den Tipp
