Fonte: ARIAL Titres de chapitres: TAILLE 44, MAJUSCULE Texte important: taille 36 Texte moins important: taille 24 En-tête: Ne pas modifier le style ! Têtes de chapitres: optionnel, Mais respecter le style ! Titre: respecter la fonte et la taille (ARIAL 88) Footer: Ne pas modifier ! Format du poster: 70 cm * 100 cm Kann mein Computer krank werden? Janus: Ein Projekt zur Virenerkennung InSeon YOO Ulrich ULTES-NITSCHE COMPUTERVIREN VIRENERKENNUNG UND -BEKÄMPFUNG ERKENNUNG NEUER VIREN Computerviren sind kleine Programmteile, die sich in andere Programme hineinkopieren können. Man sagt dann, dass ein Computerprogramm durch ein Virus infiziert wird. Läuft ein infiziertes Programm im Computer ab, so wird auch das Virus gestartet und versucht normalerweise: andere Programme zu infizieren, sich über das Computernetzwerk oder per auf andere Computer zu verteilen, Schaden auf dem Computer anzurichten oder Informationen auszuspionieren. Um die Bezeichnung Virus besser zu verstehen, hilft uns folgende einfache Analogie zu biologischen Viren: Wenn wir unseren Computer mit einem Organismus, Programme mit biologischen Zellen und das Computervirus eben mit einem biologischen Virus vergleichen, dann befällt das Virus den Computer (Organismus), indem es die Programme (Zellen) befällt und durch seine Aktivität Schaden anrichtet (der Computer wird krank). Infektionen sind nur durch direkten Kontakt möglich. Soll heissen: nur wenn Computer in direkten Kontakt treten – durch den Austausch von Daten – ist es möglich, dass ein infizierter Computer (als Wirtssystem) einen anderen Computer infiziert. Wie eine Impfung, bei der unser Körper lernt, Viren anhand spezieller Muster zu erkennen und dann zu bekämpfen, funktionieren auch Anti-Viren- Programme auf Computern. Sie erkennen Viren anhand spezifischer Muster, die sie in infizierten Programmen hinterlassen und können den identifizierten Virus dann entfernen. Diese charakteristischen Muster von Viren heissen Virussignaturen. Ein Anti-Virus-Programm enthält also eine grosse Menge von Virensignaturen (eine Viren-Datenbank) und einen Programmteil, der nach Mustern in Programmen auf unserem Computer sucht, die in der Viren-Datenbank enthalten sind. Schickt uns z.B. jemand ein infiziertes Programm per und die Signatur des Virus ist in der Viren-Datenbank enthalten (unser Computer ist gegen dieses Virus geimpft), so wird das Anti-Viren-Programm die Infektion des Programms erkennen, den Virus unschädlich machen und uns warnen, dass uns ein virusinfiziertes Programm geschickt wurde. Unser Körper kann uns manchmal auch gegen Schädlinge schützen, gegen die wir nicht geimpft sind. Unser Immunsystem kann sie als nicht zu unserer Physiologie gehörig erkennen und bekämpfen. Diese Idee versuchen wir im Projekt Janus auch auf Computer anzuwenden. Wir versuchen zu erkenn, ob Daten an einer Stelle gefunden werden können, die dort eigentlich nicht hingehören. Es ist uns gelungen, Viren in infizierten Programmen zu erkennen, ohne dass das entwickelte Erkennungssystem etwas von existierenden Computerviren wüsste. Wir verwenden dazu ein untrainiertes neuronales Netz (eine bestimmte Art von Computerprogrammen zur Mustererkennung). Untrainiert bedeutet hierin, dass dieses neuronale Netz nicht gelernt hat, was Viren sind. Dennoch entsteht, wenn wir uns das neuronale Netz grafisch anschauen, ein charakteristischer blauer Punkt, wenn ein Virus ein Programm infiziert hat. Die nachfolgende Abbildung zeigt ein Beispiel: MITARBEITENDE Projektleiter: Prof. Dr. Ulrich Ultes-Nitsche Assistentin: InSeon Yoo Bei nicht infizierten Programmen entsteht dieser blaue Punkt nicht. Bevor wir versuchen, zu erklären, warum das so ist, noch ein Hinweis zu den Grenzen dieser Virenerkennungsmethode: Unsere Methode hat bisher bei Experimenten mit echten Computerviren funktioniert. Das heisst aber nicht, dass sie immer und in allen Fällen funktionieren wird. Die vorgestellte Methode funktioniert nicht bei so genannten Würmern und Makro-Viren: bei Würmern entstehen die blauen Punkte nicht, bei Dokumenten, die von Makro-Viren befallen werden können, entstehen die Punkte auch im nicht infizierten Fall. Dennoch: Wenn es mit unserer Methode zu verhindern gelingt, dass sich ein einziges neues Virus ausbreiten kann, dann hätte sich der Forschungsaufwand bereits gelohnt. Nun noch zur Erklärung des Ergebnisses: Wir vermuten (genau wissen wir es auch nicht, da wir von unserem Ergebnis zum Teil selbst überrascht waren), dass ein Virus in einem anderen Stil programmiert ist als das Programm, das es infiziert. Unser System erkennt also einfach nur, dass sich in einem Computerprogramm ein Teil befindet, der anders ist als der Rest – ganz wie wenn das Immunsystem etwas findet, das dort nicht hingehört. DAS PROBLEM NEUER VIREN Wir wissen alle, dass eine Grippeimpfung uns z.B. nicht gegen Kinderlähmung schützt. Genauso verhält es sich bei Computerviren: Ein Anti-Viren-Programm schützt unseren Computer nur gegen Viren, die es kennt (gegen die unser Computer geimpft wurde). Gegen andere Viren bietet es keinen Schutz. Speziell wenn ein neues Virus auftritt, dessen Signatur noch kein Anti-Viren- Programm kennt, kann kein Anti-Viren-Programm unseren Computer vor einer Infektion durch dieses neue Virus schützen. Es gibt sozusagen noch keinen Impfstoff gegen dieses Virus. Bei Computerviren dauert die Entwicklung eines Impfstoffes zwar nicht so lange wie bei biologischen Viren – Signaturen neuer Computerviren werden heute recht schnell gefunden und die Anti-Viren-Programme entsprechend aktualisiert –, trotzdem kann ein neues Computervirus zunächst sehr schnell sehr viel Schaden anrichten: Manche Computerviren haben weltweit Schäden in Milliarden-Franken-Höhe verursacht. Es wäre daher wünschenswert, wenn wir zumindest manche neuen Computerviren erkennen könnten, auch wenn deren Signatur noch nicht bekannt ist. Dies ist eines der Ziele des hier vorgestellten Projekts. virus data Abb. 1: Identifikation eines unbekannten Virus in einem Programm.