Windows Defender: Läuft bald in Sandbox-Modus für hohe Sicherheit
Damit Antiviren-Software ihre Arbeit gründlich tun kann, werden ihr grundsätzlich recht hohe Zugriffsrechte eingeräumt. Weil dies wiederum Angriffsfläche eröffnet, möchte Microsoft den eigenen Windows Defender künftig in einer isolierten Sandbox ausführen, die Angriffe quasi unmöglich macht. Das Feature kann bereits jetzt getestet werden.
IT-Sicherheit bleibt bei Microsoft auch nach Spectre und Co. ein Thema, wobei Nutzer von Windows 10 hier schon in Kürze von wichtigen Neuerungen profitieren könnten. Wie das Unternehmen in seinem Blog bekanntgab, habe man nämlich grundlegende Änderungen am Windows Defender vorgenommen, die die Sicherheit deutlich erhöhen.
Windows Defender wird künftig in isolierter Sandbox ausgeführt
Damit die weitreichenden Zugriffsrechte, die Antiviren-Software üblicherweise eingeräumt werden, nicht von Angreifern ausnutzbar sind, könne der Windows Defender künftig nämlich in einer abgeschottenen Sandbox ausgeführt werden. Sicherheitsforscher hatten im Vorfeld herausgefunden, dass über die Content Parser des Windows Defenders willkürlich Schadcode ausgeführt werden konnte. Zwar wisse man von tatsächlichen Angriffen nicht, dennoch habe man sich dem Problem gewidmet.
Der Umzug in eine Sandbox sei dabei recht komplex: Einerseits müssen Software-Komponenten, die zwangsläufig vollen Systemzugriff benötigen (z.B. die Inspektor-Werkzeuge), von den Komponenten getrennt werden, die auch in einer Sandbox funktionieren. In dieser sollen etwa Funktionen zum Scan von nicht vertrauenswürdigem Input ausgeführt werden.
Andererseits bringt eine Sandbox auch erhebliche Herausforderungen bei der Performance mit sich, insbesondere weil Antivirensoftware viele Prozesse synchron in Echtzeit ausführen muss. Deshalb musste die zeitintensive Kommunikation zwischen der Sandbox-Umgebung und den Prozessen mit privilegierten Zugriffsrechten minimiert werden. Weil beide Komponenten aber teilweise dieselben Daten benötigen, berge dies auch das Risiko von speicherintensiven Duplikaten.
Die Sandbox-Funktionalität wird nun zunächst nach und nach in den Insider-Builds verteilt, um Feedback gebührend zu berücksichtigen. Wer das Feature schon vor dem abschließenden Release testen möchte, kann ab Windows 10 Build 1703 in der Kommandozeile den Code "setx /M MP_FORCE_USE_SANDBOX 1" ausführen.
Quelle: Microsoft
Windows-10: April-Update im Praxistest mit Benchmarks - Werden Ruckler reduziert?
mehr ...
Finde es sehr gut, dass so ein Feature kommen soll und auch richtig/wichtig. An einer Sandbox führt seit ca. 2015 eigentlich nichts mehr vorbei.
Wahrscheinlich daran, das der Systemscan länger dauert und mehr Systemressourcen für die Echtzeitüberwachung benötigt werden.
Und woran Erkennt man jetzt, das der Defender auch in der Sandbox Läuft?
Schön wäre es wenn man generell mehr mit Sandboxen machen könnte.