Was ist eine Signatur?
Im Allgemeinen bezeichnet eine Signatur eine „handschriftliche oder digitale Unterschrift“. Im Kontext der Programmierung bezeichnet eine Signatur die Informationen, die zur Identifizierung einer Methode verwendet werden, beispielsweise ihren Namen, die Parametertypen, die Anzahl und Reihenfolge der Parameter sowie den Rückgabetyp (die Definitionen können je nach Programmiersprache variieren). Im Kontext der Computersicherheit bezeichnet eine Signatur hingegen charakteristische Muster bösartiger Aktivitäten wie Malware oder unbefugte Zugriffe. Dateien, in denen diese Muster zusammengefasst sind, werden als Signaturdateien bezeichnet. Die Funktion, die mithilfe von Signaturen Angriffe erkennt und blockiert, wird als Signaturfunktion bezeichnet.
Der Einsatz von Signaturen zur Abwehr von Angriffen folgt in der Regel einem Blacklist-Ansatz, bei dem eine Liste bekannter Bedrohungen geführt wird, um gefährliche Aktivitäten zu blockieren. Dies bietet den Vorteil, dass auf bekannte Angriffe zuverlässig und schnell reagiert werden kann. Allerdings hat dieser Ansatz den Nachteil, dass unbekannte Angriffe oder neue Bedrohungen, die noch nicht in der Blacklist enthalten sind, nicht abgewehrt werden können.
Um diese Einschränkung zu überwinden, empfiehlt es sich, den Blacklist-Ansatz mit einem Whitelist-Ansatz zu kombinieren. Beim Whitelisting sind nur ausdrücklich genehmigte Aktivitäten zulässig. Indem Aktivitäten auf der Whitelist zugelassen, Muster auf der Blacklist blockiert und alle übrigen Aktivitäten als überprüfungsbedürftige Grauzone behandelt werden, lässt sich eine umfassendere Abwehrstrategie umsetzen.
F5s BIG-IP nutzt sowohl Blacklist-Signaturen für Angriffsmuster als auch Whitelists für legitimen Datenverkehr und ermöglicht so die effektive Erkennung und Abwehr von Angriffen.
