Anti-Tampering Certification Test
AV-Comparatives hat die Ergebnisse des Anti-Tampering Certification Test auf seiner Website veröffentlicht, zusammen mit detaillierten Informationen über die Methodik und die Kriterien, die bei der Bewertung verwendet wurden. Jedes Jahr bietet AV-Comparatives einen Fokustest an, bei dem sich Anbieter für die Zertifizierung bewerben können. In diesem Jahr lag der Schwerpunkt auf "Defense Evasion" (Anti-Tampering). Sowohl Anbieter als auch Kunden werden ermutigt, die Ergebnisse zu prüfen und sie zu nutzen, um fundierte Entscheidungen über Cybersicherheitslösungen zu treffen.
https://www.av-comparatives.org/news/anti-tampering-certification-test/
Nachdem sie ein System innerhalb des Zielnetzwerks kompromittiert haben, müssen sich Angreifer häufig mit Endpunkt-Sicherheitsprodukten wie herkömmlichen Antivirus- oder Antivirus-Produkten der nächsten Generation sowie Endpoint Detection- und Response (EDR) Produkten auseinandersetzen. EDR-Produkte können besonders problematisch für Taktiken, Techniken und Verfahren (TTPs) wie Credential Dumping und Lateral Movement sein. Selbst wenn ein Angreifer bereits privilegierten Benutzerzugriff (z. B. lokaler Administrator) erlangt hat, können die meisten Endpunktsicherheitslösungen immer noch eine große Herausforderung darstellen. Daher versuchen Angreifer, Tools zu deaktivieren oder zu modifizieren und wichtige Funktionen von Endpunktsicherheitsprogrammen zu entfernen, um das Risiko einer Verhinderung oder Entdeckung dauerhaft zu vermeiden.
Der Anti-Tampering Certification Test von AV-Comparatives spielt eine wichtige Rolle im Kampf gegen Manipulationen und stellt sicher, dass die Verbraucher den Produkten vertrauen können und diese nicht durch bösartige Software beeinträchtigt werden. Diese Zertifizierung ermöglicht es den Herstellern, sich zu differenzieren, indem sie nachweisen, dass ihre Produkte in dem getesteten Umfang manipulationssicher sind.
Diese Beurteilung umfasst Techniken zur Deaktivierung oder Änderung von Komponenten des Nutzer- und/oder Kernelbereichs eines Produkts, indem versucht wird, Prozesse, Threads, Dienste, DLLs, Agenten, Dateisysteme, Kerneltreiber und andere Komponenten wie Aktualisierungsdienste zu manipulieren, zu deaktivieren oder zu ändern.
Methodik
In diesem Test konzentrieren wir uns darauf, ob es möglich ist, AV/EPP/EDR-Komponenten oder -Funktionen durch Manipulation zu deaktivieren oder zu verändern. Indem wir in das Produkt eindringen, versuchen wir, seine Komponenten zu deaktivieren oder zu verändern. Alle Manipulationsaktivitäten wurden im Windows-Benutzerbereich als privilegierter Benutzer mit hoher Integrität oder Systemintegrität durchgeführt. Wir haben nicht versucht, Schreibzugriff auf den Windows-Kernel zu erlangen, aber wir haben versucht, Komponenten im Kernel zu manipulieren, während wir im Benutzerbereich blieben (z. B. das Dateisystem). Wir haben keine Manipulationsaktivitäten in einem unprivilegierten Benutzerkontext (niedrige oder mittlere Integrität) durchgeführt, da wir daran interessiert waren, die Anti-Manipulationseigenschaften zu bewerten und keine Exploits zu finden. Wäre es möglich, als unprivilegierter Benutzer Schlüsselfunktionen eines AV/EPP/EDR zu deaktivieren, würde dies als Exploit betrachtet werden.
Zertifizierte Produkte
Der Anti-Tampering Certification Test von AV-Comparatives ist ein unabhängiger Test, der Produkte zertifiziert, die eine entscheidende Komponente der Sicherheit darstellen. Die Ergebnisse dieser Zertifizierung werden auf unserer Website veröffentlicht und sind für die Öffentlichkeit zugänglich. Die Zertifizierungsberichte werden nur für jene Anbieter veröffentlicht, die die Zertifizierung erhalten haben.
Von den zahlreichen getesteten Produkten haben nur vier die Bewertung erfolgreich bestanden:
- CrowdStrike Falcon Enterprise
- ESET PROTECT Entry
- Kaspersky Endpoint Security für Business
- Palo Alto Networks Cortex XDR Prevent
Nicht zertifizierte Anbieter erhielten Rückmeldungen darüber, wie ihre Produkte erfolgreich manipuliert wurden, um ihr Produkt zu verbessern. AV-Comparatives arbeitet eng mit nicht zertifizierten Anbietern zusammen, um die während der Tests festgestellten Probleme zu beheben.
