Prüfen Sie Firewall und Virenscanner

Transkript

1 Prüfen Sie Firewall und Virenscanner Jeder sicherheitsbewusste Internetnutzer hat eine Firewall und einen Virenscanner installiert, aber erfüllen diese Programme auch wirklich ihren Job? So prüfen Sie, ob Ihre Schutzsoftware korrekt funktioniert. Die wichtigsten Programme zum Schutz vor Gefahren aus dem Internet sind eine Firewall und ein Virenscanner. Die Firewall schützt vor Angriffen, indem sie alle Netzwerkdaten filtert, während der Virenscanner jede neue Datei darauf prüft, ob sie schädlich ist. Aber verrichten diese Tools auch wirklich ihre Arbeit? Eine Firewall, die gefährliche Daten durchlässt, fällt erst einmal gar nicht auf. Genauso schwie- Kompakt Der Artikel beschreibt, wie Sie Lücken in Ihrer Sicherheitssoftware finden und schließen. Die Firewall prüfen Sie mit mehreren Port-Checks. Über offene Ports dringen Hacker und Würmer in PCs ein. Den Virenscanner prüfen Sie mit Testdateien, die jedes Antivirenprogramm erkennen muss. rig ist es für den Anwender, herauszufinden, ob der Hintergrundwächter seines Virenscanners tatsächlich alle Dateioperationen überwacht. Der Artikel stellt mehrere Webdienste vor, die Ihre Firewall vom Internet aus auf Lücken abklopfen. Zwei Tools checken die Firewall darüber hinaus im lokalen Netz und finden heraus, ob sie Programmen erlaubt, Daten ungefragt zu versenden. Mehrere Testdateien dienen zudem dazu, Ihren Virenscanner 82 Fotos: Mathias Vietmeier

2 INTERNET Inhalt Firewall und Virenscanner prüfen Firewall online checken Trojaner-Check S.83 Kompletter Port-Check S.84 Fingerprint-Check S.84 Firewall lokal checken Local Port Scanner S.85 Firewall Leakage Tester 1.2 S.85 Virenscanner checken Eicar-Checks S. UPX-Check S. Spycar-Checks S. Software-Übersicht S.84 auf Herz und Nieren zu prüfen. Die für die Tests benötigten Programme und Dienste sind kostenlos. Firewall online checken Eine Firewall muss Ihren PC gegen unerwünschte und gefährliche Anfragen aus dem Internet schützen. Wie zuverlässig sie diese Aufgabe erfüllt, lässt sich mit mehreren Port-Checks herausfinden. Über einen offenen Port gelangen Hacker und Würmer auf den PC. Die Port-Nummer zeigt, für welchen Dienst beziehungsweise welches Programm eine Kommunikation bestimmt ist. Webserver warten beispielsweise in der Regel auf Port 80 auf Anfragen. Bei einem Privat-PC sollte dieser Port jedoch geschlossen sein. Viele Trojaner und Backdoor-Tools verwenden ebenfalls eigene Ports, über die sie aus der Ferne steuerbar sind. Trojaner-Check Der Trojaner-Check macht sich zunutze, dass viele Schädlinge meist auf einem ganz bestimmten Port aktiv sind. Der Scanner prüft also nur die Ports, auf denen Trojaner normalerweise kommunizieren. Typische Beispiele sind etwa Port 1349 und 8787 für den Schädling Back Orifice, Trojaner-Test: Der Check auf der Webseite prüft nur die Ports, die häufig von Trojanern verwendet werden (Bild A) So geht s: Rufen Sie die Seite www. roter Farbe (Bild A). Grün bedeutet, dass port-scan.de/index2.php auf und klicken Sie auf Trojaner-Test. Setzen Sie Findet die Seite einen offenen Port, der Port geschlossen ist. danach ein Häkchen vor Bedingungen sollten Sie überprüfen, zu welchem Programm oder Dienst er wahrscheinlich akzeptieren. Ein Klick auf Scanvorgang starten beginnt mit der Suche gehört: Eine ausführliche Liste aller nach offenen Ports. Der Vorgang dauert Ports finden Sie unter entgegen der Angabe von 20 Minuten.ne.jp/~s_ita/port (Bild B). meist nur wenige Minuten. Nach dem Machen Sie dann den Gegen-Check Scan markiert die Seite offene Ports in mit Fport 2.0 (kostenlos, ne.com/us/resources/prod desc/fport.htm) und finden Sie damit heraus, welches Programm auf Ihrem PC auf diesem Port wirklich aktiv ist. Laden Sie Fport herunter und entpacken Sie das ZIP-Archiv in ein neues Verzeichnis namens fport auf Ihrer Festplatte. Öffnen Sie mit [Windows R], cmd und OK ein Fenster der Eingabeaufforderung von Windows. Wechseln Sie mit cd.\fport in das neue Verzeichnis. Geben Sie dann den Be- während Subseven oft auf Übersicht aller Ports: Auf finden Sie heraus, fehl fport ein. Sie sehen Port 6711 bis 6713 aktiv ist. welcher Schädling welchen Port normalerweise verwendet (Bild B) nun alle geöffneten auf CD und DVD nur auf DVD 83

3 Netzwerkverbindungen und Ports (Bild C). Suchen Sie nach dem geöffneten Port, beispielsweise In der Spalte Process sehen Sie den Namen des Programms, das den Port geöffnet hat, und in der Spalte Path den dazugehörigen Pfad. Windows startet selbst mehrere Prozesse, die auf einem Port auf Kommunikation warten. Diese Einträge, beispielsweise svchost und alg, sind in der Regel harmlos. Anders verhält es sich, wenn Sie hier einen Trojaner entdecken. Tipps, wie Sie unerwünschte Programme loswerden, finden Sie im Artikel Bot-Viren aufspüren und entfernen auf Seite 74. Wenn Sie einen DSL-Router mit integrierter Firewall verwenden, funktioniert der Check mit Fport nicht. Das liegt daran, dass der Port im Router geöffnet ist und nicht auf dem lokalen PC. Prüfen Sie daher die Router-Konfiguration auf eingerichtete Weiterleitungen. Meist findet sich diese Funktion, die etwa für manche Online-Spiele oder Tauschbörsensoftware benötigt wird, unter Port Forward oder einem ähnlichen Menüpunkt. Deaktivieren Sie unerwünschte Weiterleitungen oder pausieren Sie den Router-Eintrag zumindest, solange er nicht benötigt wird. Kompletter Port-Check Die Ports, die beim vorhergehenden Trojaner-Check geprüft werden, sind Software-Übersicht Programm Quelle Avast 4.8 (Virenscanner) Eicar-Testdateien (Viren-Checks) Firewall Leakage Tester 1.2 (Firewall-Checker) Fport 2.0 (Netzwerk-Tool) proddesc/fport.htm Local Port Scanner (Port-Scanner) Online Armor Free (Desktop-Firewall) Spycar Autostart-Test (Spyware-Check) Spycar IE-Test (Spyware-Check) Spycar Hosts-Datei-Test (Spyware-Check) Towtruck 1.0 (Spyware-Check-Remover) www-spycar.org UPX 3.03 (EXE-Packer) Alle -Programme finden Sie auf Heft-CD und -DVD in der Rubrik Internet, Firewall-Check. Fport 2.0: Das Kommandozeilen-Tool deckt auf, welches Programm wirklich an welchem Port lauscht (Bild C) nur eine vergleichsweise kleine Auswahl an Ports, die von den Schädlingen meist genutzt werden. Neben diesem schnellen Trojaner-Scan sollte immer auch ein Scan aller Ports durchgeführt werden. So geht s: Rufen Sie erneut die Seite auf und klicken Sie diesmal auf TCP-Test. Setzen Sie ein Häkchen vor Bedingungen akzeptieren und klicken Sie auf Scanvorgang starten. Dieser Test ist aufwendiger und kann mehrere Stunden dauern. Der Fortlauf lässt sich rechts oben neben Aktiver Test verfolgen. Verwenden Sie anschließend wieder die Webseite _ita/port und das Netzwerk-Tool Fport, wie im vorhergehenden Abschnitt beschrieben, um festzustellen, welches Programm einen bestimmten Port geöffnet hat. Auch hier gilt: Wenn Sie einen DSL-Router mit integrierter Firewall verwenden, ist der Port dort geöffnet und nicht auf Ihrem PC. Fingerprint-Check Seite Jedes Betriebssystem reagiert anders auf TCP- und UDP-Anfragen. Das lässt sich von Hackern ausnutzen, um aus der Ferne herauszufinden, welches Betriebssystem jemand verwendet. Mit einem Fingerprint-Check, einem Fingerabdruck-Check, prüfen Sie, ob Ihre Firewall diese Information verrät. So geht s: Rufen Sie die Seite www. port-scan.de/index2.php auf und klicken Sie auf die Schaltfläche Finger- Print. Setzen Sie ein Häkchen vor Bedingungen akzeptieren und klicken Sie auf Scanvorgang starten. Der Test dauert nur wenige Minuten. Anschließend finden Sie ausführliche Informationen über das vermutlich verwendete Betriebssystem. Keine Sorgen müssen Sie sich machen, wenn Sie einen DSL-Router mit integrierter Firewall verwenden. Der Fingerabdruck wird in diesem Fall nämlich von Ihrem Router erstellt. Wenn Sie jedoch ein Modem und eine Desktop-Firewall einsetzen, kann der Angreifer nun eventuell Ihr Betriebssystem attackieren. Achten Sie deswegen unbedingt darauf, dass Ihr Win- 84

4 INTERNET dows immer auf dem aktuellsten Stand ist. Nur so verhindern Sie, dass ein Schädling eine Sicherheitslücke ausnutzt, zu der es bereits einen Patch gibt. Dem Wurm Conficker ist es beispielsweise erst vor Kurzem gelungen, sich massenhaft über eine Sicherheitslücke zu verbreiten, zu der Microsoft schon Monate vorher einen Patch bereitgestellt hatte. Ports listet das Programm noch einmal übersichtlich im unteren Feld auf. Gehen Sie wie im Abschnitt Trojaner-Check auf Seite 83 beschrieben vor, um herauszufinden, welches Programm für den offenen Port verantwortlich ist. Starten Sie außerdem nach dem schnellen Quick scan auch eine Überprüfung aller Ports, indem Sie im Port-Scanner wieder auf das PC-Icon oben links klicken und danach Firewall Local Port Scanner 1.2.2: Der Port-Scanner prüft jeden einzelnen Port und Full TCP scan auswählen. lokal checken findet heraus, ob er geschlossen oder offen ist (Bild D) Den Fortgang des Checks sehen Sie in der Statusleiste Bei einem Online-Check wird Ihre Firewall über das Internet auf mögliche Lücken überprüft. Bei einem lokalen Check finden Sie heraus, ob die installierte Desktop-Firewall oder die in Windows XP ab Service Pack 2 beziehungsweise die in Vista enthaltene Firewall Daten ungefragt durchlässt. Local Port Scanner Für einen lokalen Check benötigen Sie rung öffnen, ipconfig/all eingeben und mit der Eingabetaste bestätigen. Klicken Sie im Port-Scanner links oben auf das Icon mit dem PC und dem kleinen Dreieck daneben und wählen Sie Quick scan aus. Das Tool prüft dann nur die wichtigsten Ports (Bild D). Die Liste füllt sich langsam mit Einträgen. Wichtig ist die Spalte Status. BLOCKED bedeutet, dass der jeweilige Port geschlossen und von einem des Tools. Ein vollständiger Durchlauf dauert mehrere Stunden. Setzen Sie das Tool nur lokal in Ihrem eigenen Netzwerk ein. Bei einem Port- Check eines anderen Rechners über das Internet sperrt eventuell Ihr Provider Ihre Internetleitung, da er Sie für einen Hacker hält. Firewall Leakage Tester 1.2 Der Firewall Leakage Tester 1.2 (kostenlos, einen zweiten PC, der mit Ihrem Computer anderen PC aus nicht ansprechbar ist. über ein Netzwerk verbunden ist. Steht dort hingegen der Eintrag und auf ) prüft, ob Ihre Firewall auch Das kann sowohl ein Desktop-Rechner OPEN und zeigt das Tool in der Spalte ausgehende Verbindungen überwacht als auch ein Notebook oder ein Netbook ganz links eine kleine grüne Glocke und unerwünschte Kommunikation sein. Darüber hinaus brauchen Sie ein Programm wie den Local Port Scanner (kostenlos) des dänischen Entwicklers JP Soft. In Deutschland fällt das Check-Programm unter den Hackerparagrafen, es ist aber über eine Google-Suche leicht zu finden. So geht s: Installieren Sie den Port- Scanner und starten Sie das Tool anschließend über Start, Alle Programme, Local Port Scanner, LPS. Klicken Sie danach auf Yes, um direkt die Optionen aufzurufen. Tragen Sie die IP-Adresse des zu überprüfenden Computers in das Feld Target Machine IP ein und bestätigen Sie mit OK. Falls nötig, ermitteln Sie die IP-Adresse des betreffenden PCs, indem Sie auf ihm mit [Windows R], cmd und OK ein Fenster der Windows-Eingabeauffordean, dann ist der Port offen. Die offenen Firewall Leakage Tester 1.2: Diese Meldung bedeutet, dass es dem Tool gelungen ist, Daten an der Firewall vorbeizuschleusen (Bild E) verhindert. So geht s: Zuerst starten Sie das Tool und bestätigen das Infofenster mit OK. Klicken Sie dann auf Test For Leaks und auf OK, um Ihre Firewall zu testen. Das Tool schickt anschließend mehrere Datenpakete an den Server des Entwicklers Gibson Research. Wenn Firewall Leakage Tester kurz darauf Firewall Penetrated! meldet, hat Ihre Firewall den Test nicht bestanden und die Datenpakete durchgelassen (Bild E). Um den Test zu bestehen, muss Ihre Firewall den Kommunikationsversuch erkennen und ein Warnfenster öffnen (Bild F). Verbieten Sie den gewünschten Verbindungsaufbau. Wenn das Test- Tool nun Unable To Connect meldet, hat Ihre Firewall den Test bestanden. auf CD und DVD nur auf DVD 85

5 Sowohl die integrierte Firewall von reits beim Entpacken sollte Windows XP als auch die Firewall in der Hintergrundwächter einem DSL-Router lassen die Datenpakete des Test-Tools passieren. Wenn Sie die Kontrolle über Datenpakete haben wollen, die Ihren PC verlassen, installieren Sie eine Desktop-Firewall, beispielsweise Online Armor Free (kostenlos, Ihres Virenscanners aktiv werden. Entweder öffnet er jetzt ein Warnfenster und bittet Sie um eine Entscheidung, oder er löscht sofort alle oder einen Teil der Dateien. Das ungefragte Löschen free und auf ). ist allerdings nur in den seltensten Fällen erwünscht, weil der Virenscanner dabei auch wich- Virenscanner checken Der Hintergrundwächter ist die wichtigste tige Dateien erwischen Komponente eines Virenscantige ners, weil er jede Dateioperation überwacht und so das Eindringen eines Schädlings verhindert. Mit den folgenden Tests finden Sie heraus, ob der Hintergrundwächter auch wirklich einsatzbereit ist. könnte. Ein wirklich gut arbeitender Virenscanner sollte nicht nur vor den Eicar- Dateien mit den Endungen COM und EXE warnen, sondern zusätzlich vor den Test erfolgreich: Online Armor Free hat den Kommunikationsversuch des Firewall Leakage Testers 1.2 gestoppt (Bild F) Eicar-Checks Die Eicar-Testdatei (kostenlos, car.org/anti_virus_test_file.htm und auf ) ist eine von der European Expert Group for IT-Security (Eicar) bereitgestellte Datei, die von praktisch jedem Virenscanner als Schädling erkannt wird (Bild G). Anstelle von Schad-Code enthält die Datei jedoch nur einen harmlosen Text-String, zu dem die Virenscanner eine Signatur in ihrer Datenbank haben. Erkennt der Virenscanner eine Übereinstimmung zwischen der gerade geprüften Datei und seiner Signaturdatenbank, meldet er einen Alarm. Die Eicar-Testdatei eignet sich deswegen dazu, die Funktionsfähigkeit des Antivirenprogramms ohne Risiko zu testen. So geht s: Entpacken Sie den Inhalt des Eicar-Archivs in einen beliebigen Ordner auf Ihrer Festplatte. Das Archiv ist mit einem Passwort versehen, damit nicht beiden im ZIP-Format gepackten Varianten. Diese beiden Dateien mit der Endung TXT sind nicht ausführbar. Sie würden deswegen auch keine Gefahr darstellen, wenn es sich um echte Schädlinge handeln würde. Aus Geschwindigkeitsgründen überprüfen daher viele Virenscanner Textdateien auch nicht. UPX-Check Der Spezial-Packer UPX 3.03 (kostenlos, und auf ) wird häufig von Virenprogrammierern verwendet, um ihre Schädlinge zu tarnen. Das Tool packt ausführbare Dateien im EXE-Format und erstellt daraus neue, kleinere EXE-Dateien. Die Wirkung der Datei verändert sich dadurch nicht, nur die Signatur. Ein Virenscanner, der nur auf Signaturen basiert, erkennt die neu gepackte Datei nicht und stoppt den Schädling auch nicht. Ob Ihr Antivirenprogramm mit UPX gepackte Schädlinge aufdeckt, lässt sich herausfinden. So geht s: Legen Sie einen neuen Ordner namens upx auf Ihrer Festplatte an und entpacken Sie darin das UPX-Archiv von der Heft-CD oder -DVD. Entpacken Sie dann auch den Inhalt des Eicar-Testarchivs in diesen Ordner. Eventuell müssen Sie den Hintergrundwächter Ihres Virenscanners für den Test vorübergehend versehentlich ein Virenalarm deaktivieren. ausgelöst wird. Das Passwort lautet leser. Das Archiv enthält mehrere Varianten der Eicar-Datei. Be- Virus entdeckt: Der Virenscanner Avast erkennt die Eicar-Testdatei und beweist, dass sein Hintergrundwächter funktioniert (Bild G) UPX ist ein Kommandozeilen- Tool. Öffnen Sie daher mit [Win dows R], cmd und OK ein Fenster der Windows-Eingabeauf- auf CD und DVD nur auf DVD

6 forderung. Wechseln Sie ter. Starten Sie dann den mit cd.\upx in den neuen Download des ersten Ordner und geben Sie folgenden Befehl ein: Tests bei Internet Explorer Config Change 1 upx.-f.-o.eicar2.exe.eicar.exe Tests. Dieser versucht, die Startseite des Internet Explorers zu verändern. Zuletzt laden Dadurch erstellen Sie die Sie noch die Testdatei neue Datei eicar2.exe, bei Network Config die inhaltlich identisch mit eicar.exe ist, aber Change Tests herunter, die versucht, die Hostseine andere Signatur Datei zu manipulieren. hat. Scannen Sie eicar2.exe nun mit Ihrem Virenscanner. Erkennt er, dass es sich hierbei um die Eicar-Testdatei handelt, hat Ihr Antivirenprogramm Spycar-Webseite: Die Webseite bietet insgesamt 17 verschiedene Tests. Drei der Tests genügen jedoch, um die wichtigsten Bereiche abzudecken (Bild H) Starten Sie nun alle drei Tests nacheinander. Beim ersten Check öffnet sich ein Fenster, in dem Sie ein Testprofil anlegen. Tragen Sie in den Test bestanden. Spycar-Checks rem Computer wieder rückgängig und erstellt einen kleinen Bericht. So geht s: Rufen Sie die Seite www. das Feld etwa test ein und klicken Sie auf Create Profile. Führen Sie den Test im folgenden Fenster mit Perform Die Spycar-Testdateien (kostenlos, spycar.org im Browser auf, scrollen Sie Test durch. Starten Sie jetzt die anderen kopieren typische ganz nach unten, klicken Sie auf here beiden Dateien und klicken Sie dort Verhaltensweisen von Viren und Spyware-Programmen und prüfen so die Funktionsfähigkeit Ihrer Sicherheitssoftware. Die insgesamt 17 Spycar- Tools versuchen, neue Autostarteinträge in der Registry Ihres PCs zu erstellen, die Einstellungen des Internet Explorers zu manipulieren und die Hosts- Datei auf Ihrem PC zu verändern. Nach den Tests macht das Zusatz- Tool Towtruck alle Änderungen auf Ihund auf der nächsten Seite noch einmal auf here. Nun müssen Sie die einzelnen Testdateien herunterladen. Prinzipiell genügt in jeder der drei angebotenen Kategorien der erste Test, um festzustellen, ob Ihre Sicherheitssoftware Veränderungen an Ihrem PC zulässt (Bild H). Scrollen Sie zu Autostart Tests und laden Sie den ersten Test, der versucht, die Registry zu manipulieren, mit einem Klick auf here herun- auch jeweils auf Perform Test. Laden Sie von der Spycar-Seite bei RESULTS AND CLEAN-UP die Datei Towtruck 1.0 herunter. Das Tool macht alle Veränderungen auf Ihrem PC rückgängig und erstellt einen kurzen Bericht, welcher der Tests erfolgreich war. Starten Sie TowTruck.exe und klicken Sie auf Cleanup und OK. Rote Einträge weisen auf Spycar-Checks hin, die Ihre Sicherheitssoftware nicht verhindert hat (Bild I). Die unter Firewall Leakage Tester 1.2 bereits erwähnte Desktop-Firewall Online Armor Free schützt nicht nur Netzwerkverbindungen, sondern verhindert auch Manipulationen, wie sie die Spycar-Testdateien demonstrieren. Andreas Th. Fischer internet@com-magazin.de Towtruck 1.0: Das Tool macht Änderungen durch die Spycar-Tests rückgängig und erstellt einen kurzen Bericht. Rote Schrift bedeutet, dass die vorhandene Sicherheitssoftware den Test nicht gestoppt hat (Bild I) Weitere Infos Hintergrundinfos zu Firewalls sicherheits-check.html Online-Sicherheits-Checks der com!-redaktion auf CD und DVD nur auf DVD