Was ist Entropie-Erkennung?
Entropie-Erkennung (Entropy Detection) ist ein Verfahren, das Ransomware über die Messung der Zufälligkeit von Daten aufspürt. Verschlüsselte Daten sind statistisch nahezu zufällig. Ein plötzlicher Anstieg der Zufälligkeit von Dateien oder Backup-Blöcken deutet deshalb darauf hin, dass etwas sie verschlüsselt.
Was bedeutet Entropie in diesem Zusammenhang?
Entropie ist ein Maß für die Unvorhersehbarkeit einer Bytefolge. Text, Datenbanken und die meisten Dokumente enthalten Muster und Wiederholungen und haben deshalb eine niedrige bis mittlere Entropie. Komprimierten und verschlüsselten Daten fehlen diese Muster, ihr Wert liegt nahe am Maximum. Ein Dateiserver, dessen Dokumente über Nacht von mittlerer auf nahezu maximale Entropie springen, wurde sehr wahrscheinlich verschlüsselt.
Wie wird Entropie-Erkennung bei Backups eingesetzt?
Backup-Software sieht jede Nacht alle geänderten Blöcke und ist damit ein guter Ort, um auf Verschlüsselung zu achten. Meist werden mehrere Signale kombiniert.
| Signal | Bedeutung |
|---|---|
| Anstieg der Entropie geänderter Blöcke | Daten werden durch verschlüsselte Inhalte ersetzt |
| Ungewöhnlich großes Inkrement | Weit mehr Daten geändert als an einem normalen Tag |
| Sinkende Kompressions- oder Deduplizierungsrate | Neue Daten lassen sich nicht mehr reduzieren, wie bei verschlüsselten Daten üblich |
| Massenhafte Umbenennungen oder neue Dateiendungen | Typisch für Ransomware, die Dateien verschlüsselt |
| Lösegeldforderungen oder bekannte Dateinamen | Direkter Indikator aus der Inhaltsprüfung |
Wo liegen die Grenzen der Entropie-Erkennung?
Entropie allein kann böswillige Verschlüsselung nicht von legitimen Daten mit hoher Entropie unterscheiden. Komprimierte Archive, Bilder, Videos und absichtlich verschlüsselte Dateien sehen gleich aus. Ein System, das solche Daten neu speichert, löst ohne jeden Angriff einen Alarm aus. Manche Ransomware verschlüsselt zudem nur einen Teil jeder Datei oder arbeitet langsam, um unter den Schwellenwerten zu bleiben. Entropie-Erkennung ist deshalb ein Anlass zur Untersuchung und am stärksten, wenn mehrere Signale übereinstimmen. Sie meldet außerdem Verschlüsselung, die bereits stattgefunden hat. Sie ist also eine erkennende und keine vorbeugende Kontrolle.
Wie hilft Entropie-Erkennung bei der Wiederherstellung?
Für die Wiederherstellung zählt der Zeitpunkt. Eine Aufzeichnung, wann die Entropie auf jedem System erstmals stieg, verweist auf den letzten Wiederherstellungspunkt vor Beginn der Verschlüsselung. Das grenzt die Suche nach einem sauberen Wiederherstellungspunkt ein. Zusammen mit dem Malware-Scan von Backups und den Ergebnissen der Vorfallsuntersuchung hilft sie zu entscheiden, woraus wiederhergestellt wird. Die Aufzeichnung muss dort liegen, wo ein Angreifer sie nicht löschen kann, und die Wiederherstellungspunkte, auf die sie verweist, müssen unveränderlich sein.
Häufig gestellte Fragen
Bedeutet hohe Entropie immer Ransomware?
Nein. Komprimierte, verschlüsselte und Mediendateien haben von Natur aus eine hohe Entropie. Aussagekräftig ist eine unerwartete Veränderung.
Kann der Speicher Entropie in verschlüsselten Backups erkennen?
Nicht sinnvoll. Verschlüsselt die Backup-Software die Daten vor dem Schreiben, wirkt alles, was der Speicher erhält, zufällig. Die Erkennung muss vor dieser Verschlüsselung stattfinden.
Stoppt Entropie-Erkennung einen Angriff?
Sie löst einen Alarm aus. Ob der Angriff gestoppt wird, hängt von der Reaktion danach ab.