ClamAV: Open-Source-Malware-Scanner im Test
20 Jahre nach der ersten Veröffentlichung des wohl bekanntesten quelloffenen Malware-Scanners legt Cisco die Version 1.0 auf. Wir haben ClamAV getestet.
- Ralf Spenneberg
Es war ein langer Weg zur großen Eins, die Cisco dem nun 20 Jahre alten ClamAV Ende des Jahres 2022 verlieh. Dabei ist die Zahl mehr ein Symbol als ein Indikator für maßgebliche Neuerungen. Die hat das Programm auch gar nicht nötig, denn die Aufgabe, für die es entwickelt wurde, erledigt es gut – und bildet dabei gleichzeitig Grundlage und Pflichtkomponente für viele modernere Securitylösungen.
Ursprünglich wurde der Malware-Scanner ClamAV (Download) für die Analyse von E-Mails auf E-Mail-Gateways entwickelt. Heute ist es ein Framework, das in beliebige Applikationen integriert werden kann. Im Unterschied zu vielen kommerziellen Produkten ist es aber nicht zur Endpoint Security, also der Absicherung eines Arbeitsplatzrechners, gedacht, denn ClamAV nutzt keine Verhaltensüberwachung. Es beobachtet laufende Prozesse und deren Ausführung also nicht. Deshalb ist ClamAV in den Augen vieler Anwender nicht mit modernen Virenscannern unter Windows vergleichbar. Für E-Mails oder das Erkennen von Phishing-URLs ist so ein Werkzeug jedoch immer noch sehr sinnvoll.
ClamAV agiert als ein signaturbasierter Scanner. Die Signaturen können unterschiedlichster Natur sein, sie können aus Hashes, URLs oder dem E-Mail-Inhalt bestehen, aber auch aus YARA-Regeln, Bytecode, Metadaten von Containern oder PE-Zertifikaten. Hash- und inhaltsbasierte Signaturen können Admins dabei auch selbst erzeugen, zum Beispiel mit dem Werkzeug Sigtool, das die einfache Generierung eigener Signaturen aus Schaddateien erlaubt. Für komplexe Prüfungen, die nicht mit einfachen Signaturen lösbar sind, eignen sich Entwickler-Bytecode-Signaturen. Sie bestehen aus ausführbarem Code, der fast beliebige Eigenschaften in einer Datei prüfen kann. Die von VirusTotal entwickelten YARA-Regeln stellen zusätzlich eine generische Möglichkeit zur Beschreibung von Malware dar.
Immer mehr Wissen. Das digitale Abo für IT und Technik.
Papierloses Büro: Wie man mit paperless-ngx die Dokumentenverwaltung optimiert
Fremdsprachen lernen: Wie man ChatGPT zum Sprechtrainer aufrüstet
Wie eine lokale KI die Fotosammlung auf dem NAS verschlagworten kann
Elektroauto Mercedes EQA 300 4Matic im Test: Fährt gut, lädt gemächlich
Custom-ROM "GrapheneOS" vorgestellt: Android ganz privat
Statt Passwörter: Wie Sie Accounts mit Passkeys schützen
Immer mehr Wissen. Das digitale Abo für IT und Technik.
Papierloses Büro: Wie man mit paperless-ngx die Dokumentenverwaltung optimiert
Fremdsprachen lernen: Wie man ChatGPT zum Sprechtrainer aufrüstet
Wie eine lokale KI die Fotosammlung auf dem NAS verschlagworten kann
Elektroauto Mercedes EQA 300 4Matic im Test: Fährt gut, lädt gemächlich
Custom-ROM "GrapheneOS" vorgestellt: Android ganz privat