Schnittstelle für einen Virenscanner

[jaenicke]

Zitat von arnold mueller:

Das Antimalware Scan Interface ist neu für mich. Vielleicht kann man damit programmgesteuert Ausnahmen für die Firewall von Drittherstellern definieren.

Man kann damit, dafür ist es gedacht, vor allem Skripte vor deren Ausführung prüfen lassen. Denn wenn das Programm die selbst irgendwoher holt und nur im Speicher hat, bekommt das Antivirenprogramm gar nicht mit, dass da ein Skript ist, das gleich ausgeführt wird. Um auch solche Fälle abzusichern, bei denen nicht eine offensichtlich ausführbare Datei, wie eben auch ein Skript, auf der Festplatte liegt, wurde die Möglichkeit hinzugefügt, dass Programme selber vor der Ausführung die Daten zur Prüfung geben können.

[dummzeuch]

Theoretisch könnte damit auch gemeint sein, dass das Programm einem Virenscanner eine API zur Verfügung stellt, um die Daten, die es erzeugt/bearbeitet zu scannen. Das könnte z.B. bei einem Packer sinnvoll sein.

Aber irgendwie glaube ich nicht, dass das gemeint ist.

[hoika]

Hallo,
es geht wohl wirklich um das hier, wie bereits gedacht:

https://www.heise.de/security/meldun...g-2690817.html

[sh17]

So viel isses gar nicht und grundsätzlich schon sinnvoll

https://docs.microsoft.com/de-de/win...terface-portal

[Assarbad]

Zitat von sh17:

So viel isses gar nicht und grundsätzlich schon sinnvoll

https://docs.microsoft.com/de-de/win...terface-portal

Wenn die lieben AV-Hersteller es implementieren, dann schon. Wir machen es bei unseren Produkten bspw. (noch!) nicht.

AMSI ist prinzipiell für Fälle geeignet wie man sie früher von Email-Clients kannte. Als Abhilfe haben diese heutzutage meist eine Einstellung mit der Anhänge mal kurz die Platte berühren, woraufhin der Dateisystemfiltertreiber des AV (oft als Echtzeitschutz o.ä. bezeichnet) zuschlagen kann. Diesen Umweg spart man sich über AMSI. Allerdings ist AMSI natürlich nur mittelfristig hilfreich, da ein Hersteller auch ggf. ältere Versionen von Windows ohne AMSI unterstützen muß.

Kurzfassung: selbst wenn du es implementierst, heißt das noch lange nicht, daß am anderen Ende jemand lauscht [1].

[1] Wobei man sich bei MS in dieser Hinsicht nicht immer so sicher sein kann, da der Defender (der ja mittlerweile MSSE beinhaltet) unter Umständen jene Schnittstellen besetzt die dein AV nicht besetzt.

[franktron]

So eine Schnittstelle macht doch nur bei Dokumentenverwaltung sinn.
Bestes Beispiel WinRAR der hat eine "Virenscanner Schnittstelle" im klartext er ruft eine CLI Version des Scanners auf und prüft die Dateien damit

[Der schöne Günther]

Das macht immer dann Sinn wenn du nicht nur in deinem Sandkasten spielst sondern "von außen" neue Dateien bekommst und verarbeitest oder dem Benutzer zur Verarbeitung/zum Öffnen bereitstellst. Oder verstehe ich etwas falsch? Packprogramm, Email-Programm, Grafikprogramm - Da fällt eine Menge drunter. Finde ich.