Wie sehen Virensignaturen aus?
Doch ganz so einfach wie im wilden Westen haben es die Sheriffs in der Welt der Cyberkriminalität nicht. Im digitalen Zeitalter treibt nicht nur ein einzelner, gut beschriebener Bandit sein Unwesen. Deshalb beziehen sich heutige Signatur-Steckbriefe sehr häufig auch nicht nur auf einen einzelnen Schädling. Vielmehr liefert die Signatur auch die Möglichkeit, eine Vielzahl von Dateien zu erkennen, in deren Codes bekannte schädliche Merkmale eingebettet sind. Das Stichwort hier lautet Heuristik.
Der Cyber-Sheriff sucht dann nicht nur nach einem 30-jährigen Mann mit Schnauzbart. Er sucht nach einem Mann zwischen 20 und 40 Jahren, mit einer Art von Gesichtsbehaarung und zahlreichen weiteren Eigenschaften. Diese spezielle Art der Virensignatur setzt damit andere Schwerpunkte als der detaillierte Wild-West-Steckbrief: Während der Steckbrief wenige, dafür aber recht konkrete Merkmale auflistet, umfasst diese weiter gefasste Virensignatur sehr viele Typisierungspunkte, die eher unscharf sind. Entsprechend setzt der Cyber-Sheriff in der Regel nicht nur einen Schurken fest, sondern findet mit einer Signatur oft Tausende von gefährlichen Dateien. Allerdings ist hier auch eine erhöhte Vorsicht geboten. Werden die Merkmale zu unscharf beschrieben, wird möglicherweise eine falsche Datei als verdächtig eingestuft – ein sogenannter Falschpositiv (engl.: false positive).
In technischer Sprache bedeutet das: Statt auf einen konkreten Schädling zugeschnittene Virensignaturen liegen der Heuristik weniger spezifische Daten zugrunde. Dazu zählt etwa die Kenntnis allgemeiner Muster, die sehr viele Schadprogramme an den Tag legen. Außerdem prüft die heuristische Methode, ob bestimmte Elemente eines Codes in der Kombination mit anderen Merkmalen womöglich Probleme verursachen. So kann ein heuristisches Verfahren bereits proaktiv einschreiten, noch bevor eine sehr spezifische Signatur vorliegt.
