Was ist eine Sandbox?
Vereinfacht gesagt wird ein verdächtiger Anhang nicht auf dem echten System des Benutzers ausgeführt, sondern in verschiedenen externen Systemumgebungen getestet, um zu beobachten, wie sich die Datei verhält. So wird das zugrundeliegende System vor eventuellen Veränderungen geschützt.
Was ist die ATP Sandbox Engine?
Die Sandbox Engine ist ein Feature von Advanced Threat Protection, welches die E-Mails auf mögliche Malware prüft, indem es die Dateien in einer virtuellen und isolierten Testumgebung von Hornetsecurity ausführt und dabei potenziell gefährliche Auswirkungen ermittelt.
Dabei nutzt die Sandbox Engine einen Systemverbund aus gesicherten virtuellen Maschinen, die verdächtige E-Mails öffnen, enthaltende Anhänge auszuführen und auf Schadcode zu prüfen. Hierbei werden statische, verhaltensbasierte und netzwerkorientierte Analysen durchgeführt.
Auf diese Weise lassen sich unbekannte und bekannte Bedrohungen in einer sicheren und vorgelagerten Umgebung ohne Gefahr für das Zielnetz und den E-Mail-Empfänger untersuchen.
Wie funktioniert die ATP Sandbox Engine?
Die Sandbox Engine setzt die folgenden Analysemethoden ein:
| Die statische Analyse beinhaltet ein Vergleich mit bekannten Signaturen (Abgleich mit mehr als 20 Antiviren-Engines), Metadaten sowie Keywords bekannter Malware. |
| Die verhaltensbasierte Analyse kann Versuche, Virtualisierungschichten zu erkennen, Änderungen in der Registry, (System-) API-Calls, versteckte Threads, Kommandos und Dienste erkennen. |
| Bei der netzwerkbasierten Analyse werden Verbindungen zu DNS-Servern, Command and Control Servern und Websites zum Nachladen von Schadcode festgehalten. |
Stellt sich heraus, dass es sich bei dem empfangenen Anhang um Malware handelt, werden die E-Mails direkt in die Quarantäne verschoben und die E-Mails mit der Kategorie AdvThreat gekennzeichnet. Das bedeutet, dass mindestens ein Anhang der E-Mail durch die Sandbox Engine dynamisch analysiert und als bösartig bewertet wurde.
Die Ergebnisse werden in einem ATP-Report festgehalten, der sich anschließend zur IT-forensischen Analyse heranziehen lässt:
Was ist der ATP-Scan?
Bei Kunden welche den Advanced Threat Protection Service nutzen, werden die E-Mails bereits automatisch durch die Sandbox Engine analysiert.
Der manuelle ATP-Scan dient bei ATP-Kunden deshalb vor allem als zusätzliche Sicherheitsmaßnahme, zum Beispiel vor der manuellen Zustellung einer als AdvThreat kategorisierten E-Mail, und liefert zusätzlich einen ATP-Report.
Der ATP-Scan kann nur auf E-Mails mit ausführbaren Anhängen angewendet werden, zum Beispiel auf E-Mails mit .exe-Dateien. Bereits zugestellte gültige E-Mails können nur dann mit dem ATP-Scan geprüft werden, wenn Archiving oder Continuity Service aktiviert ist.
Der Start erfolgt im Control Panel unter Email Security > Email Live Tracking. Für weitere Informationen schauen Sie gerne in den folgenden Artikel aus unserem Handbuch: ATP-Scan starten
Sobald der Scan abgeschlossen ist, kann der ATP-Report in der erweiterten Funktionsansicht der E-Mail unter ATP-Scan aufgerufen werden.
Hinweis: Auch Kunden ohne gebuchtes ATP können ATP-Scans ausführen, allerdings ist die Anzahl begrenzt. Weitere ATP-Scans sind nur möglich, wenn ATP kostenpflichtig gebucht wurde.