Warum sich die Zero-Day-Erkennung ändern muss
Jeden Tag sind Unternehmen Cyberangriffen ausgesetzt, die noch niemand zuvor gesehen hat. Diese Zero-Day-Bedrohungen sind darauf ausgelegt, Antiviren-Signaturen, Reputations-Feeds und statische Abwehrmaßnahmen zu umgehen, indem sie sich in scheinbar harmlosen Dateien verstecken – Dokumenten, Installationsprogrammen, Skripten, Patch-Dateien und Archiven.
Die Herausforderung besteht nicht mehr nur darin, bekannte Malware zu erkennen. Es geht darum, Unbekanntes, schwer zu findendes und absichtlich zur Umgehung der Erkennung entwickeltes Malware zu erkennen , ohne dabei den Geschäftsbetrieb zu verlangsamen oder die Sicherheitsteams mit Warnmeldungen zu überfordern.
Sehen Sie sich das folgende Video zur Produktübersicht von MetaDefender an:
Laut dem „2025 Threat Landscape Report“OPSWAT stieg die Komplexität von Malware innerhalb eines Jahres um 127 %, und jede vierzehnte Datei, die ursprünglich von OSINT als sicher eingestuft worden war, erwies sich später als bösartig. Angreifer legen mehr Wert auf Tarnung, mehrstufige Ausführung und Umgehung als auf Brute-Force-Kampagnen.
Traditionelle Ansätze zwingen Unternehmen zu einem Kompromiss:
- Langsame Dateibewegung zur Durchführung einer gründlichen Überprüfung
- Oder die Geschwindigkeit beibehalten und dabei blinde Flecken für Zero-Day-Angriffe in Kauf nehmen
Dieser Kompromiss ist nicht mehr akzeptabel.
Aus diesem Grund OPSWAT MetaDefender entwickelt hat – und warum MetaDefenderSandbox nun zu einer einheitlichen Zero-Day-Erkennungsplattform am Perimeter entwickelt Sandbox .
Vorstellung von MetaDefender Aether™ 3.0.0
MetaDefender Aether™ 3.0.0 ist die einheitliche Zero-Day-Erkennungslösung der nächsten Generation OPSWAT, die die bewährten Funktionen von MetaDefender Sandbox integrierten Funktionen für Bedrohungsinformationen, Bedrohungsbewertung und Bedrohungssuche kombiniert – alles in einer einzigen adaptiven Erkennungspipeline.
Mit dieser Version wird die Sandbox Analyse-EngineMetaDefender Sandbox vollständig als Layer 2 in MetaDefender integriert, wodurch die vierstufige Architektur von Aether gestärkt und Sandboxing von einem eigenständigen Tool zu einem Teil eines selbstlernenden Erkennungssystems wird.
Dies markiert eine strategische Wende:
- Von Sandboxing in Isolation
- Zur Zero-Day-Erkennung am Perimeter, wo jede Datei, die in ein Unternehmen gelangt, überprüft werden kann, bevor sie Benutzer oder Systeme erreicht.
Die vierstufige Zero-Day-Erkennungsarchitektur
MetaDefender beantwortet vier wichtige Fragen zu jeder Datei:
- Enthält die Datei eine bekannte Bedrohung?
- Enthält es eine unbekannte oder Zero-Day-Bedrohung?
- Wie hoch ist das Risikoniveau dieser Bedrohung?
- Hat es mit einer größeren Malware-Familie oder -Kampagne zu tun?
Um diese Fragen in großem Maßstab zu beantworten, kombiniert Aether vier eng integrierte Ebenen:
Schicht 1: Reputation von Bedrohungen
Echtzeit- und Offline-Reputationsprüfungen für Dateien, URLs, IPs und Domains filtern bekannte Bedrohungen sofort heraus, indem sie globale Informationen aus Milliarden von Indikatoren nutzen.
Schicht 2: Dynamische Analyse (MetaDefender Sandbox )
Unbekannte und verdächtige Dateien werden in einer emulationsbasierten Sandbox ausgeführt, die Anti-VM- und zeitbasierte Umgehungsmaßnahmen umgeht. Laufzeitverhalten, Loader-Ketten, Skripte und Artefakte werden auch dann aufgedeckt, wenn Malware versucht, inaktiv zu bleiben.
Schicht 3: Bedrohungsbewertung
Verhaltensindikatoren, Reputationskontext und Erkennungslogik werden miteinander korreliert, um eine vertrauensbasierte Risikobewertung zu vergeben – so können SOC-Teams Prioritäten setzen, die wirklich wichtig sind.
Schicht 4: Bedrohungssuche
Die maschinell lernende Ähnlichkeitssuche verbindet unbekannte Proben mit bekannten Malware-Familien, Infrastrukturen und Kampagnen und ermöglicht so eine proaktive Suche und rückwirkende Analyse.
Dieser einheitliche Ansatz befasst sich mit der gesamten Pyramide der Schwachstellen und zwingt Angreifer dazu, ihre Tools, Verhaltensweisen und Infrastruktur ständig neu zu programmieren, um einer Entdeckung zu entgehen.
Von MetaDefender Sandbox MetaDefender : Was hat sich geändert?
MetaDefender Sandbox eine leistungsstarke dynamische Analyse-Engine. Was sich geändert hat, ist die Art und Weise, wie sie bereitgestellt wird, und der Mehrwert, den sie bietet.
Zuvor:
- Sandbox wurden oft isoliert gespeichert.
- Analysten mussten manuell zwischen den Tools wechseln.
- Aktualisierungen der Bedrohungsinformationen hinkten den Erkennungen hinterher
Mit MetaDefender :
- Sandbox speist automatisch Bedrohungsinformationen ein
- Jede Erkennung stärkt den zukünftigen Schutz.
- SOC-Teams erhalten ein einziges zuverlässiges Urteil und nicht mehrere widersprüchliche Berichte.
MetaDefender Sandbox ist weiterhin als eigenständiges Produkt für Kundenerhältlich, die eine dedizierte Sandbox benötigen. Alle Sandbox-Innovationen sind nun jedoch Teil der MetaDefender , sodass Kunden von einer kontinuierlich verbesserten Zero-Day-Erkennungs-Pipeline profitieren.
Welche Probleme löst MetaDefender ?
1. Ausweichende Malware und Zero-Days
Die Emulation auf Befehlsebene bekämpft Sandbox-bewusste Malware, die sich vor VM-basierten Tools versteckt.
2. Dateitypen, die nicht bereinigt werden können
Ausführbare Dateien, Patch-Dateien, Installationsprogramme, Skripte und regulierte Dokumente können von CDR nicht verändert werden. Aether erkennt Bedrohungen, ohne Dateien zu verändern.
3. SOC-Alarm-Müdigkeit
Bedrohungsbewertung und einheitliche Urteile reduzieren Störsignale und Fehlalarme.
4. Langsame Analyse in großem Maßstab
Aether bietet eine bis zu 20-mal schnellere Verarbeitung und unterstützt mehr als 25.000 Analysen pro Tag und Server, wodurch eine flächendeckende Überprüfung ohne Engpässe ermöglicht wird.
Die Transformation, die Unternehmen erwarten können
Nach der Implementierung von MetaDefender gehen Unternehmen wie folgt vor:
- Von reaktiver Erkennung → zu proaktiver Widerstandsfähigkeit
- Von isolierten Tools → zu einheitlicher Intelligenz
- Von langsamen Dateiwarteschlangen → zu Entscheidungen nahezu in Echtzeit
Wichtigste Ergebnisse
Erstklassige Urteile zu Dateien
Bis zu 99,9 % Zero-Day-Erkennungsrate, validiert durch groß angelegte Analysen.
Schnelle Dateiübertragungsgeschwindigkeit
Emulationsbasierte Analysen liefern Ergebnisse in Sekundenschnelle, nicht in Minuten.
Erhöhte Dateivolumenabdeckung
Alle Dateien, die in den Perimeter gelangen – E-Mail-Anhänge, Übertragungen, Uploads, Wechselmedien – können analysiert werden, ohne den Betrieb zu verlangsamen.
Wer profitiert von MetaDefender ?
SOC-Analysten
Erhalten Sie ein einziges zuverlässiges Urteil mit umfassendem Verhaltenskontext, wodurch sich der Zeitaufwand für manuelle Untersuchungen reduziert.
Bedrohungsjäger und TI-Teams
Nutzen Sie die ML-basierte Ähnlichkeitssuche, um verwandte Beispiele, Kampagnen und Infrastrukturen aufzudecken.
Sicherheitsarchitekten
Integrieren Sie die Zero-Day-Erkennung direkt in MetaDefender Core, E-Mail, MFT, ICAP, Speicher und domänenübergreifende Workflows.
CISOs
Demonstrieren Sie messbare Zero-Day-Bereitschaft und Compliance mit NIS2, NERC CIP, SWIFT CSP, IEC 62443 und CMMC.
MetaDefender Bereitstellungsoptionen
MetaDefender (Standalone)
Eine umfassende Zero-Day-Erkennungsplattform mit Sandboxing, Bedrohungsinformationen, Bewertung und Suche für SOC-Workflows.
MetaDefender für Cloud
Ein vollständig verwalteter, SaaS-basierter Sandbox- und Threat-Intelligence-Dienst für Cloud-native Umgebungen und CI/CD-Pipelines.
MetaDefender für Core
Lokale, integrierte dynamische Analyse innerhalb von MetaDefender Core– keine neue Infrastruktur erforderlich, ideal für regulierte und luftisolierte Umgebungen.
Neuerungen in Aether 3.0.0 und Threat Detection 2.0
Zu den wichtigsten Neuerungen, die kürzlich über MetaDefender bereitgestellt wurden, gehören:
- Hochzuverlässige Kennzeichnung von Zero-Day-Malware
- Tiefgehende Analyse der Windows-Installationsformate
- Sicherheitsscan für KI-/ML-Modelle
- Erkennung aktueller Zero-Day-Exploits und Phishing-Kampagnen
- Verbesserte Erkennung von Marken-Spoofing und weniger Fehlalarme
- Verbesserte Analyse verschlüsselter Dokumente
Diese Updates werden unabhängig von Infrastruktur-Upgrades bereitgestellt, sodass schneller auf neue Bedrohungen reagiert werden kann. Im Folgenden finden Sie detaillierte Informationen zu den einzelnen Updates.
- Zero-Day-Malware-Tagging – Jetzt können Sie Zero-Day-Malware mit hoher Zuverlässigkeit identifizieren und bisher unbekannte Bedrohungen aufspüren, die Reputationsprüfungen und aktuelle AV-Signaturen umgehen. Dies ermöglicht einen besseren Überblick über neue Malware-Kampagnen, bevor sie sich verbreiten. Diese Funktion erfordertCloud MetaDefender Core MetaDefender Cloud , um Dateien für das AV-Multiscanning zu übermitteln.
- Berichtsexportprofile – Ermöglicht konfigurierbare Berichtsexportprofile, mit denen Benutzer Einstellungen (z. B. Seitenbegrenzungen, Zeichenfolgenmodi) definieren und über ein Modal bestimmte Profile auswählen können, bevor Berichte generiert werden.
- Erstellung von Administratoren für Administratoren – Es wurde eine Funktion hinzugefügt, mit der Administratoren über die Registerkarte „Benutzerverwaltung“ Benutzer mit Initialpasswörtern und Gruppenzuweisungen erstellen können.
Verbesserungen
- Verbesserte Genauigkeit bei der Erkennung von Marken-Spoofing – Das Modell zur Markenerkennung wurde neu trainiert, um Fehlalarme deutlich zu reduzieren, was zu einer zuverlässigeren Identifizierung von Phishing führt.
- Vereinfachte und verbesserte OSINT-Suchen – OSINT-Suchen wurden vereinfacht und lokale Reputationsergebnisse sind nun in den OSINT-Ergebnissen als OFFLINE_REPUTATION sichtbar.
- IOC-Skip-List-Migration – Die IOC-Skip-List (Zulassungs-/Sperrliste) wurde aus der lokalen Anwendungsdatenbank in das separate Erkennungsdatenbankpaket verschoben, um häufige Aktualisierungen zu ermöglichen.
- Trends-Seite Verbesserungen der MITRE-Landschaftstabelle – Es wurden Farblegenden hinzugefügt, um die Ranglistenkategorien zu verdeutlichen, und die Tabelle wurde entsprechend der korrekten Angriffszeitachse sortiert.
- Proxy-Unterstützung für selbstsignierte Zertifikate – Dokumentation und Aktivierung der Hinzufügung von CA-Zertifikaten zu Docker-Containern, um Installationen hinter Proxys mit selbstsignierten Zertifikaten zu unterstützen.
- Endpoint veralteter API Endpoint – Veraltete API wurden entfernt.
- HärtungCore – Gehärtete Kernkomponenten mit zusätzlichen Sicherheitsvorkehrungen zur Stärkung der allgemeinen Verteidigungsposition.
- Erkennung von Batch-Dateitypen – Verbessert, um die Genauigkeit bei komplexen Nutzdaten zu erhöhen.
- Verbesserungen bei der QR-Code-Erkennung – Verbessert, um das Scannen von gerenderten Bildern in Dokumenten und E-Mails zu ermöglichen.
MetaDefender 3.0.0 – Bedrohungserkennung (v2.0) Versionshinweise
MetaDefender unterstützt unabhängige Updates der Erkennungslogik und der Bedrohungsinformationen, wodurch neue Schutzmaßnahmen schneller bereitgestellt und auf neue Bedrohungen schneller reagiert werden kann. Die folgenden Updates wurden in den letzten Monaten bereitgestellt.
- Wesentliche Verbesserungen bei der PE-Installationsprogramm-Analyse – Es wurde eine umfassende statische Extraktion und Analyse für Windows-Installationsprogramme hinzugefügt: NSIS, Inno, InstallShield, Advanced Installer, Wise, WiX, InstallAnywhere und Actual Installer. Das Programm extrahiert nun priorisierte eingebettete Dateien, analysiert Installationsskripte und bewertet benutzerdefinierte Installationsprogramme heuristisch.
- Sicherheitsscan für KI-/ML-Modelle – Einführung einer Sicherheitsanalyse für Machine-Learning-Modelle, einschließlich Multi-Serialisierungs-Parsing und tiefer statischer Inspektion, um versteckte bösartige Payloads zu erkennen, bevor sie sich auf KI-Workflows auswirken.
- Erkennung von Zero-Day-Exploits – Es wurde eine Erkennung für aktuelle LNK-Sicherheitslücken in Windows Explorer (CVE-2025-50154, CVE-2025-59214) hinzugefügt, durch die NTLM-Anmeldedaten ohne Benutzerinteraktion offengelegt werden. Außerdem wurde eine Erkennung für kritische XXE-Exploits in Apache Tika (CVE-2025-66516) eingeführt.
- Phishing-Kampagnen-Intelligence – Einführung von Indikatoren für saisonale/opportunistische Köder (Feiertage, globale Ereignisse). Verbessert die Kampagnen-Clustering und die frühzeitige Phishing-Erkennung.
Verbesserungen
- Verschlüsselte Dokumente – Verbesserte Entschlüsselung für geschützte Office- und PDF-Dokumente durch Einführung einer mehrstufigen Passwortwiederherstellung mit Fallback-Logik für durch Phishing übermittelte verschlüsselte Dateien.
- ClickFix-Variantenerkennung – Verbesserte Erkennung neuer ClickFix-Varianten, die hexadezimal codierte URLs und die Ausführung von msiexec missbrauchen.
- Genauigkeit der E-Mail- und Phishing-Analyse – Verbesserte EML-Analyse, um Bilder korrekt mit eingebetteten URLs zu verknüpfen, textbasierte Anhänge zu unterstützen und die Erkennung von Handlungsaufforderungen in mehreren Sprachen zu verbessern.
Warum eine einheitliche Zero-Day-Erkennung am Perimeter wichtig ist
Zero-Day-Angriffe warten nicht, bis Dateien die Endpunkte erreichen. Sie gelangen über E-Mails, Dateiübertragungen, Cloud-Uploads und Wechselmedien ins System.
Durch den Einsatz von MetaDefender am Perimeter können Unternehmen:
- Angriffe vor der Ausführung stoppen
- Risiko seitlicher Bewegungen reduzieren
- Stärkung aller nachgelagerten Sicherheitskontrollen
Dies ist nicht nur Sandboxing. Es handelt sich um ein kontinuierlich lernendes Zero-Day-Erkennungssystem.
MetaDefender verwandelt Sandboxing in eine einheitliche, informationsgesteuerte Zero-Day-Erkennungsplattform, die Geschwindigkeit, Skalierbarkeit und Genauigkeit ohne Kompromisse bietet.
Wir verhindern die Angriffe von morgen, von denen niemand weiß, dass es sie gibt.
