Антивирусы.Тесты и рейтинги наиболее популярных продуктов.

Дата: Суббота, 01.08.2009, 20:00 | Сообщение # 1

Уважаемый

Сообщений: 5542

[table]

В этом разделе мы предлагаем Вам ознакомиться с результатами независимых тестов программного обеспечения по информационной безопасности, подготовленных и проведенных участниками портала Anti-Malware

[/table]

Содержание:

* История наград
* Методологии тестирования
* Подробные отчеты о тестировании
* Значение наград

[table][tr][td]

История наград - лучшие антивирусы[/td][/tr][/table]

[cut=Agnitum][/cut]

[cut=ALWIL Software][/cut]

[cut=AVG Technologies][/cut]

[cut=Avira][/cut]

[cut=BitDefender][/cut]

[cut=CA & ClamAV][/cut]

[cut=Dr.Web][/cut]

[cut=Eset][/cut]

[cut=F-Secure][/cut]

[cut=Лаборатория Касперского][/cut]

[cut=McAfee][/cut]

[cut=Microsoft][/cut]

[cut=Panda Security][/cut]

[cut=Sophos][/cut]

[cut=Symantec][/cut]

[cut=Trend Micro][/cut]

[cut=ВирусБлокАда][/cut]

[cut=Check Point][/cut]

Прикрепления: 6220477.png (163.2 Kb) · 9684587.png (71.7 Kb)

Дата: Суббота, 01.08.2009, 20:16 | Сообщение # 2

Уважаемый

Сообщений: 5542

Показать медали

[table][tr][td]

Методологии тестов антивирусов(часть 1)[/td][/tr][/table]

[cut=Методология теста проактивной антивирусной защиты (март 2009)]

Тест проводился на специально подготовленном стенде под управлением VMware GSX Server. Для каждого антивирусного продукта клонировалась «чистая» виртуальная машина с операционной системой Microsoft Windows XP SP3.

В тестировании участвовали следующие антивирусные программы*:

1. Agnitum Outpost Antivirus Pro 2009
2. Avast! Professional Edition 4.8
3. AVG Anti-Virus 8.0
4. Avira AntiVir Premium 8.2
5. BitDefender Antivirus 2009
6. Dr.Web 5.0
7. Eset Nod32 Anti-Virus 3.0
8. F-Secure Anti-Virus 2009
9. Kaspersky Anti-Virus 2009
10. Panda Antivirus 2009
11. Sophos Anti-Virus 7.6
12. Symantec Anti-Virus 2009
13. Trend Micro Internet Security 2009
14. VBA32 Antivirus 3.12

* Тестирование McAfee VirusScan Plus 2009 не завершено из-за технического сбоя.

При установке антивирусов производились все рекомендуемые программой действия (перезагрузка системы, обновление и т.д.). Все компоненты защиты активировались, если это не было предусмотрено после установки автоматически.

После подготовки тестового стенда создавались специальные условия для проверки эффективности работы эвристика. Для этого у всех антивирусов отключалась функция обновления, т.е. происходило замораживание антивирусных баз данных на дату начала теста (03.12.2008).

Через две недели после заморозки антивирусных баз (начиная с 18.12.2008) в "дикой природе" (In The Wild, далее ITW: корпоративные шлюзы, поступления в частные коллекции) начался отбор ITW-образцов вредоносных программ, который проходил ровно месяц. Новизна образцов определялась по отсутствию совпадений хешей по общей коллекции Anti-Malware.ru. Таким образом, обеспечивался отбор вредоносных программ, с высокой степенью вероятности еще неизвестных антивирусам на момент прекращения обновлений (заморозки антивирусных баз). В итоге была собрана коллекция из 5166 уникальных самплов вредоносных программ.

Важно! Разрыв в две недели между заморозкой антивирусных баз и началом сбора вредоносных программ был сделан намеренно, чтобы минимизировать возможность попадания в коллекцию образцов, известных какому-либо антивирусу.

В результате всех мероприятий моделировалась ситуация, при которой эффективность классических сигнатурных компонент защиты сводилась к нулю. В результате любое детектирование неизвестного по определению образца при простом сканировании по требованию могло осуществляться только проактивной эвристической компонентой, чего мы и хотели.

Сканирование по требования производилось с максимально возможными настройками: включение эвристики (максимальный уровень), проверка всех файлов, обнаружение всех типов вредоносных и потенциально опасных программ.

В отличие от прошлого теста по многочисленным просьбам была сделана проверка антивирусов на ложные срабатывания. Для этого одновременно с накоплением коллекции вредоносных программ составлялась и коллекция чистых файлов. Для этого с сайта download.com скачивались дистрибутивы выложенных там программ. Полученные дистрибутивы распаковывались и из них отбирались только файлы exe и dll (уникальные по md5), остальные удалялись. В итоге была составлена коллекция из 15121 чистого файла.

Для определения уровня ложных срабатываний производилось сканирование по требованию полученной коллекции чистых файлов всеми тестируемыми антивирусами с точно такими же антивирусными базами и настройками, которые ранее были использованы для сканирования коллекции вредоносных программ.

Важно! Факты обнаружения в коллекции чистых файлов каких-либо "нежелательных программ" (spyware, adware, remote admin tools и т.е.) не учитывались как ложные срабатывания, так как степень опасности таких программ, как правило, вызывает много вопросов и определяется каждым вендором индивидуально - что опасно с точки зреня одного, то безопасно для другого.

В качестве приложения к тесту после его окончания проводилось обновление всех антивирусных программ, и делалась повторная проверка коллекции (через неделю после окончания основного тестирования). В результате фиксировалась скорость реакции вирусных лабораторий вендоров и эффективность работы классических сигнатурных методов обнаружения у каждого антивируса в дополнение к эвристике.

Шаги создания тестовой среды:

1. Установка антивирусной программы на чистую машину;
2. Перезагрузка системы;
3. Проверка успешной установки и работоспособности всех модулей программы;
4. Обновление антивирусной программы;
5. Перезагрузка системы;
6. Выключение функций обновления, отключения от сети Интернет (заморозка антивирусных баз);
7. Сохранение образа виртуальной машины;
8. Отключение виртуальной машины на 6 недель;
9. Сбор тестовой коллекции вредоносных программ и чистых файлов (начало через 2 недели после п. 8).

Шаги проведения тестирования:

1. Включение виртуальной машины через 4 недели после заморозки антивирусных баз;
2. Проверка коллекции отобранных новых вредоносных программ сканером по требованию (настройки на автоматическое удаление обнаруженных объектов);
3. Подсчет оставшихся образцов вредоносных программ после проверки коллекции;
4. Проверка коллекции чистых файлов сканером по требованию (фиксирование ложных срабатываний);
5. Обновление антивируса;
6. Повторная проверка оставшихся в пункте 3 образцов.
7. Подсчет оставшихся образцов после повторной проверки коллекции.

Для каждой антивирусной программы выделялась отдельная чистая виртуальная машина – шаг 1. Для каждого антивируса создавалась своя копия коллекции вредоносных программ – шаг 9.

[/cut]

[cut=Методология теста самозащиты антивирусов (январь 2009)]

Тест проводился на специально подготовленном стенде под управлением VMware GSX Server. Для каждого антивирусного продукта клонировалась "чистая" виртуальная машина с операционной системой Microsoft Windows XP SP3.

В тестировании участвовали следующие антивирусные программы:

1. Avast! 4 Professional Edition 4.8 (build 4.8.1229)
2. Microsoft Windows Live OneCare 2.5.2900.20
3. Avira Premium Security Suite 8.1.0.245
4. BitDefender Internet Security 2009 (build 12.0.10)
5. Dr.Web Security Space 5.0.0.12171
6. ESET Smart Security 3.0.672.0
7. F-Secure Internet Security 2009 (9.00 build 148)
8. Kaspersky Internet Security 2009 (8.0.0.454)
9. McAfee Internet Security 2009
10. Norton Internet Security 2009 (16.0.0.125)
11. Outpost Security Suite Pro 2009 (6.5.2358.316.0607)
12. Panda Internet Security 2009 (build 14.00.00)
13. Sophos Anti-Virus 7.6.2
14. Trend Micro Internet Security 2009 (17.0.1224)
15. VBA32 Personal (3.12.8.1)
16. ZoneAlarm Security Suite 8.0.059.000

При установке антивирусов использовались рекомендуемые производителем настройки по умолчанию и производились все рекомендуемые программой действия (перезагрузка системы, обновление и т.д.). Все компоненты защиты активировались, если это не было предусмотрено после установки автоматически.

Тестирование самозащиты антивирусов проводилось по следующим параметрам:

1. Самозащита на уровне системы:
1. изменение разрешений на доступ к файлам;
2. изменение разрешений на доступ к ключам реестра.
2. Защита собственных файлов:
1. модификация/удаление модулей;
2. удаление антивирусных баз.
3. Защита своих ключей реестра:
1. модификация/удаление значимых ключей реестра (вручную):
* ключи автозапуска;
* ключи сервисов;
* ключи конфигурации.
4. Защита своих процессов:
1. Предотвращение завершения процессов:
* из TaskManager;
* API с уровня пользователя:
1. стандартно (TerminateProcess);
2. завершить все ветки процесса (TerminateThread);
3. завершить процесс как задачу (EndTask);
4. завершить процесс как работу (EndJob);
5. завершить процесс при помощи дебагера (DebugActiveProcess);
6. модификация указателя инструкций (EIP);
7. сообщение от рабочей станции (WinStationTerminateProcess);
8. "bruteforce" message posting;
9. удаление после перезагрузки.
* посылка сообщений (SendMessage API):
1. WM_CLOSE;
2. WM_QUIT;
3. WM_SYSCOMMAND/SC_CLOSE;
4. Комбинация пунктов 1-3;
5. PostMessage;
6. SendMessageCallback;
7. SendNotifyMessage;
8. PostThreadMessage.
* API с уровня ядра:
1. ZwTerminateProcess;
2. ZwTerminateThread.
2. Модификация процесса/кода:
* инжектирование кода (CreateRemoteThread);
* инжектирование DLL;
* изменение атрибутов защиты памяти (VirtualProtectEx);
* запись в процесс (WriteProcessMemory).
3. Выгрузка драйверов

Проверка самозащиты производилась при помощи специально подготовленных утилит, имитирующих атаки или вручную, с правами локального администратора. После каждой атаки обязательно проводилась проверка работоспособности антивируса (его отдельных модулей, активных процессов, сервисов, драйверов).

Если в ходе тестов на завершение/модификацию процессов один из них завершался (т.е. атака на него удавалась), то все остальные процессы подвергались атаке повторно.

Шаги проведения тестирования:

1. Установка антивирусной программы на чистую машину;
2. Перезагрузка системы;
3. Проверка успешной установки и работоспособности всех модулей программы;
4. Сохранение образа виртуальной машины;
5. Проверка самозащиты по одному из параметров;
6. Повторная проверка работоспособности модулей программы;
7. Откат системы к сохраненному ранее образу (пункт 4).

Для каждой антивирусной программы выделялась отдельная чистая виртуальная машина - шаг 1. После каждой проверки самозащиты антивируса по какому-либо критерию, машина откатывалась в первоначальное состояние - шаг 4.

[/cut]

[cut=Методология теста антивирусов на лечение активного заражения (октябрь 2008)]

Подготовка теста

Для проведения тестирования антивирусов на лечение активного заражения экспертной группой Anti-Malware.ru были отобраны 15 вредоносных программ по следующим критериям:

1. детектирование компонентов вредоносной программы всеми участвующими в тесте антивирусами;
2. отсутствие целенаправленного противодействия работе антивируса;
3. способность противодействовать обнаружению/удалению со стороны антивируса;
4. способность восстанавливаться в случае удаления некоторых компонент;
5. распространенность;
6. вредоносные программы отбирались таким образом, чтобы максимально полно покрыть используемые ими технологии маскировки, защиты от обнаружения/удаления.

В отборе вредоносных программ для теста отдавался приоритет наиболее сложным видам, которые больше удовлетворяют приведенным выше критериям.

Стоит отметить, что критически важным параметром для отбора вредоносных программ для теста было детектирование их компонентов со стороны всех участвовавших в тесте антивирусов.

Все используемые в тесте вредоносные программы были собраны экспертами Anti-Malware.ru во время распространения в Интернет (In The Wild).

Таким образом, для теста были отобраны следующие вредоносные программы по классификации (Лаборатории Касперского):

1. Adware. Win32.NewDotNet
2. Backdoor.Win32.Sinowal.ce
3. Email-Worm.Win32.Scano.bd
4. Rootkit.Win32.Agent.ea
5. Rootkit.Win32.Podnuha.a
6. Trojan-Dropper.Win32.Agent.vug
7. Trojan-Dropper.Win32.Mutant.e
8. Trojan-Proxy.Win32.Saturn.cu
9. Trojan-Proxy. Win32.Xorpix.dh
10. Trojan-Spy.Win32.Zbot.bsa
11. Trojan.Win32.Agent.lkz
12. Trojan.Win32.Monderb.gen
13. Trojan.Win32.Pakes.cuh
14. Trojan.Win32.Small.yc
15. Virus.Win32.Rustock.a

Каждый отобранный экземпляр вредоносной программы проверялся на работоспособность и установку на тестовой системе.Подробное описание вредоносных программ можно найти в полном отчете о тестировании в формате Excel.

Проведение

Тест проводился на специально подготовленном стенде под управлением VMware Workstation 5.5.3. Для каждого экземпляра вредоносной программы клонировалась «чистая» виртуальная машина с операционной системой Microsoft Windows XP Professional Service Pack 3.

В тестировании участвовали следующие антивирусные программы:

1. Avast! Professional Edition 4.8.1229
2. AVG Anti-Virus & Anti-Spyware 8.0.0.2
3. Avira AntiVir PE Premium 8.1.0.367
4. BitDefender Antivirus 2009 (12.0.10.1)
5. Dr.Web Anti-Virus 4.44.5.8080
6. Eset NOD32 Antivirus 3.0.669.0
7. F-Secure Anti-Virus 2009
8. Kaspersky Anti-Virus 2009 (8.0.0.357)
9. McAfee VirusScan 2008 (12.1.110)
10. Outpost Antivirus Pro 6.5.2358.316.0607
11. Panda Antivirus 2009
12. Sophos Antivirus 7.3.4
13. Norton AntiVirus 2009
14. Trend Micro Antivirus plus Antispyware 2008 (16.10.1182)
15. VBA32 Antivirus 3.12.8.6

При установке на зараженную машину учитывались рекомендуемые производителем настройки по умолчанию и производились все рекомендуемые программой действия (перезагрузка системы, обновление и т.д.).

Если вредоносный код не детектировался автоматически антивирусным монитором, то инициировалась проверка из профилей проверок в интерфейсе антивируса, по требованию каталога (или нескольких каталогов), где должны были быть расположены файлы вредоносной программы.

Шаги проведения тестирования:

1. заражение виртуальной машины с чистой ОС - активация вредоносной программы (создание снимка системы main_snapshot);
2. проверка работоспособности вируса и его успешной установки в системе;
3. перезагрузка зараженной системы;
4. еще одна проверка работоспособности вируса в системе;
5. создание снимка системы snapshot_virus, выключение виртуальной машины.
6. повторение действий 1-5 для всех вредоносных программ.
7. загрузка одного из снимков snapshot_virus и попытка установки одного тестируемого антивируса и очистки системы;
8. если удается очистить систему, фиксируем оставшиеся следы заражения системы.
9. Повторение пунктов 7-8 для всех пятнадцати снимков snapshot_virus и всех пятнадцати антивирусов (в сумме 225 повторений).

[/cut]

[cut=Методология теста антивирусов на быстродействие (август 2008)]

Введение

Данная методология теста является результатов совместной работы и интеллектуальной собственностью экспертного сообщества Anti-Malware.ru. Открытое обсуждение методологии теста проводилось на нашем форуме в течении нескольких недель до его начала, в течении которых каждый желающий мог внести свои предложения по предстоящему тесту.

В тестировании участвовали следующие антивирусные программы:

1. Avast Antivirus Professional 4.8
2. AVG Anti-Virus & Anti-Spyware 8.0.131
3. Avira Antivir Premium 8.1.00.331
4. Dr.Web 4.44
5. Eset Nod32 3.0.667.0
6. F-Secure Anti-Virus 2008 (8.00 build 103)
7. Kaspersky Anti-Virus 2009 (8.0.0.357a.b)
8. McAfee VirusScan Plus 2008 (12.1)
9. Outpost Antivirus Pro 2008 (6.0.2295.253.490.303)
10. Outpost Antivirus Pro 2009 (6.5.2358.316.0607)
11. Panda Antivirus 2008 (3.0.100)
12. Sophos Anti-Virus 7.3.3
13. Norton Antivirus 2008 (15.5.0.23)
14. Trend Micro Antivirus plus Antispyware 2008 (16.10.1079)
15. VBA32 WinNT Workstation 3.12.7( beta )

Все антивирусы тестировались со стандартными настройками по умолчанию. Исключение составляет только запуск задач обновления или сканирования по расписанию, которые отключались в целях минимизации ошибок измерения.

BitDefender Anti-Virus 2008/2009 и Microsoft Windows Live OneCare 2.0 были исключены из теста по из-за отсутствия возможности их установки на тестовый компьютер (некорректная работа инсталлятора при работе через прокси-сервер).

Описание среды тестирования

Перед началом теста производилась подготовка среды тестирования. Для этого на чистый компьютер была установлена операционная система Microsoft Windows XP Pro Eng SP3 (+Multilingual User Interface) со всеми доступными на этот момент обновлениями, а также дополнительное программное обеспечение, необходимое для теста.

Ниже представлены основные характеристики компьютера, на котором проводился тест (см. таблицу 1), и список установленного на нем программного обеспечения (см. таблицу 2).

Подробный список установленных на компьютере программ смотрите здесь.

Полный список сервисов на тестовом компьютере и их статус можно посмотреть здесь.

После установки операционной системы и всего необходимого программного обеспечении производились следующие действия:

1. Отключение "паразитных" функций операционной системы, способных повлиять на результат теста (обновление, хранитель экрана, Windows Security Notification, Windows Firewall, Windows Defender, Prefetching).
2. Запуск Windows Boot-timer с отсрочкой перезагрузки системы.
3. Создание образа “эталона” системы при помощи Acronis True Image.
4. Формирование тестовой коллекции чистых файлов различного типа и размера (системные файлы Windows, файлы установленных программ, дистрибутивы, документы, медиафайлы и архивы).

Таким образом был создан исходный образ системы, который будет использоваться в качестве исходного/эталонного.

Windows Boot-timer – специальная утилита для измерения времени старта операционный системы Windows. Программа начинает измерять время после инициализации BIOS и до полной загрузки системы (со всеми автоматически стартующими процессами).

Измерение скорости работы эталонной системы (без установки антивируса)

Для расчета замедления системы антивирусом необходимо измерить все параметры для эталонной системы. Для этого производились следующие действия:

1. Возвращение системы из образа эталона.
2. Запись времени загрузки (при помощи Windows Boot-timer).
3. Измерение времени копирования тестовой коллекции файлов (при помощи специального BAT-файла).
4. Измерение времени запуска пяти офисных программ (Microsoft Internet Explorer, Microsoft Office Word, Microsoft Outlook, Adobe Acrobat Reader, Adobe Photoshop).
5. Измерение времени скачивания файла по протоколу HTTP.
6. Возврат к пункту 1 – повторение всего набора измерений (5 циклов).

Важно! Здесь и далее измерения всех параметров быстродействия и ресурсоемкости производилось 5 раз. При этом для каждой итерации система возвращалась из образа, в данном случае из образа эталона.

Подробнее смотри Приложение 1 и Приложении 2.

Измерение скорости загрузки системы с антивирусом

Каждый антивирус устанавливался на эталонный образ системы, что создавало абсолютно одинаковые условия для всех испытуемых продуктов. После установки каждого антивируса производилась фиксация образа системы, что позволяло серьезно сэкономить время проведения теста. Алгоритм измерений этой части можно представить в таком виде:

1. Возвращение системы из образа эталона.
2. Установка антивируса и перезагрузка системы.
3. Обновление антивируса.
4. Запись настроек по умолчанию в сводную таблицу (проверка HTTP, проверка типов файлов, включенные модули и т.п.).
5. Перезагрузка системы.
6. Отключение функций автоматического обновления антивируса и отключение старта других задач по расписанию.
7. Запуск Windows Boot-timer (отсрочка перезагрузки системы).
8. Создание образа системы с установленным антивирусом при помощи Acronis True Image (далее «образ с антивирусом»).
9. Возвращение системы из вновь созданного образа (пункт 8).
10. Запись времени загрузки (при помощи Windows Boot-timer).

Измерение времени копирования тестовой коллекции файлов, скорости сканирования антивирусом и других параметров производительности

1. Возвращение системы из образа с антивирусом.
2. Измерение времени копирования тестовой коллекции файлов (при помощи специального BAT-файла).
3. Возврат к пункту 1 – повторение всего набора измерений 5 раз.
4. * Однократное измерение времени повторного сканирования коллекции файлов.
5. Возвращение системы из образа с антивирусом.
6. Измерение времени сканирования тестовой коллекции файлов.
7. Измерение времени запуска пяти офисных программ (Microsoft Internet Explorer, Microsoft Office Word, Microsoft Outlook, Adobe Acrobat Reader, Adobe Photoshop).
8. Измерение времени загрузки файла по протоколу HTTP.
9. Измерение параметров производительности при помощи программы Performance Test.
10. Возврат к пункту 5 – повторение всего набора измерений 5 раз.

Подробнее смотри Приложение 1 и Приложение 2.

Подведение итогов теста

Полученные в ходе тестирования данные нуждались в значительной обработке, которую можно разделить на несколько этапов:

1. Фильтрация и усреднение результатов пяти измерительных итераций (была выбрана функция, при которой отбрасывались два крайних результата, а от трех оставшихся вычислялось среднее значение).
2. Расчет замедлений системы с тем или иным антивирусом относительно эталона по каждому критерию.
3. Нормирование результатов в процентах относительно эталонных значений.
4. Формирование рейтингов быстродействия антивирусов для ключевых параметров.
5. Награждение лучших антивирусов в соответствии с выбранной системой наград.

Приложение 1

1. Измерение времени загрузки самой системы (Boot-time)

Время загрузки системы является одним из важных параметров ее работы. Для измерения времени загрузки системы использовалась утилита Windows Boot-timer, которая позволяет измерять время с момента завершения инициализации BIOS и до полной загрузки системы (со всеми автоматически стартующими процессами).
Для эталона и для каждого антивируса было произведено 5 попыток измерения времени загрузки системы. Результаты за вычетом граничных усреднялись.

2. Измерение скорости работы антивирусного монитора и сканера по требованию

Проверялось влияние антивирусного монитора (сканера on-access) на копирование файловой коллекции (папки с коллекцией чистых незараженных файлов) на другой логический диск. Кроме этого проверялось время, затраченное на проверку антивирусным сканером (сканером on-demand) этой же файловой коллекции.

Коллекция включала следующие файлы различного типа и размера: системные файлы Windows, файлы установленных программ, дистрибутивы, документы, медиафайлы и архивы. Всего 4000 файлов ста тридцати типов (по расширению), суммарный размер коллекции 2,3 Гб. Более подробные характеристики файлов см. в Приложении 2.

В ходе измерений было сделано следующее

1. Копирование тестовой коллекции файлов, измерение времени (всего 5 циклов). Откат системы после каждого прогона.
2. Проверка тестовой коллекции файлов сканером по требованию (всего 5 циклов). Откат системы после каждого прогона.
3. * Повторная проверка тестовой коллекции сканером для определения эффективности работы технологий оптимизации проверки, использующихся в антивирусных продуктах (факультативно). Для этого повторное сканирование производится после обычной перезагрузки системы, когда первое сканирование файлов уже произведено.

3. Измерение скорости загрузки файлов по протоколу HTTP и старта типовых офисных приложений

Для измерения влияния антивирусного монитора на работу с ресурсами сети Интернет производились измерения скорости загрузка файла формата ZIP (размер файла 208 376 Кб) на тестовый компьютер по протоколу HTTP с другого (вспомогательного) компьютера в локальной сети. При этом в целях минимизации постороннего трафика от локальной сети отключались любые другие устройства, а также внешний канал выхода в Интернет.

Для измерения влияния антивирусов на работу с офисными приложениями производилось измерение времени старта типовых приложений (Microsoft Internet Explorer, Microsoft Office Word, Microsoft Outlook, Adobe Acrobat Reader, Adobe Photoshop) при помощи специальной утилиты AppTimer.

Так же, как и в случае других измерений, измерения на эталонной системе и с каждым антивирусом производилось 5 раз, а время загрузки, за исключением граничных значений, усреднялось.

4. Измерение влияния антивирусов на потребление системных ресурсов в состоянии покоя

Для полноты картины проводилось измерение объема потребляемой оперативной памяти в состоянии покоя и при сканировании по требованию тестовой коллекции при помощи утилиты Process Explorer. Кроме этого измерялся уровень использования процессора в состоянии покоя и во время сканирования по требованию.

Приложение 2

[/cut]

[cut=Методология теста самозащиты антивирусов (август 2007)]

В тестировании участвовали следующие антивирусные программы:

1. Avast! Professional Edition 4.7
2. Avira Premium Security Suite 7.0
3. BitDefender Internet Security 10
4. DrWeb 4.44 Beta
5. Eset Smart Security 3.0
6. F-Secure Internet Security 2007
7. Kaspersky Internet Security 7.0
8. McAfee Internet Security 2007
9. Microsoft Windows Live OneCare 1.6
10. Panda Internet Security 2007
11. Sophos Anti-Virus 6.5
12. Symantec Internet Security 2007
13. Trend Micro PC-Cillin 2007
14. VBA32 Antivirus 3.11
15. ZoneAlarm Internet Security 7.0

Тестирование самозащиты антивирусов проводилось по следующим параметрам:

1. Самозащита на уровне системы:
1. переписывание хуков;
2. изменение разрешений на доступ к файлам;
3. изменение разрешений на доступ к ключам реестра.
2. Защита собственных файлов:
1. модификация/удаление модулей;
2. удаление антивирусных баз.
3. Защита своих ключей реестра:
1. модификация/удаление значимых ключей реестра (вручную):
* ключи автозапуска;
* ключи сервисов;
* ключи конфигурации.
4. Защита своих процессов:
1. Предотвращение завершения процессов:
* из TaskManager;
* API с уровня пользователя:
1. стандартно (TerminateProcess);
2. завершить все ветки процесса (TerminateThread);
3. завершить процесс как задачу (EndTask);
4. завершить процесс как работу (EndJob);
5. завершить процесс при помощи дебагера (DebugActiveProcess);
6. модификация указателя инструкций (EIP);
7. сообщение от рабочей станции (WinStationTerminateProcess);
8. "bruteforce" message posting;
9. удаление после перезагрузки.
* посылка сообщений:
1. WM_CLOSE;
2. WM_QUIT;
3. WM_SYSCOMMAND/SC_CLOSE.
* API с уровня ядра:
1. ZwTerminateProcess;
2. ZwTerminateThread.
2. Модификация процесса/кода:
* инжектирование кода (CreateRemoteThread);
* инжектирование DLL;
* изменение атрибутов защиты памяти (VirtualProtectEx);
* запись в процесс (WriteProcessMemory).
3. Выгрузка драйверов

Шаги проведения тестирования:

[/cut]

Прикрепления: 0458038.png (89.6 Kb) · 5549592.png (171.3 Kb) · 5001588.png (80.2 Kb) · 4410402.png (75.6 Kb) · 3549368.png (68.4 Kb)

Дата: Суббота, 01.08.2009, 21:04 | Сообщение # 3

Уважаемый

Сообщений: 5542

Показать медали

[table][tr][td]

Методологии тестов антивирусов(часть2)[/td][/tr][/table]

[cut=Методология теста антивирусов на лечение активного заражения (сентябрь 2007)]

Подготовка теста

Для проведения тестирования антивирусов на лечение активного заражения экспертной группой Anti-Malware.ru были отобраны 17 вредоносных программ по следующим критериям:

1. детектирование родительского файла всеми участвующими в тесте антивирусами;
2. способность маскировать свое присутствие;
3. способность противодействовать обнаружению со стороны антивируса;
4. способность восстанавливаться в случае удаления некоторых компонент;
5. распространенность и известность.

В отборе вредоносных программ для теста отдавался приоритет наиболее сложным семплам, которые больше удовлетворяют приведенным выше критериям.

Стоит отметить, что критически важным параметром для отбора вредоносных программ для теста было детектирование их со стороны всех участвовавших в тесте антивирусов.

Все используемые в тесте вредоносные программы были собраные экспертами Anti-Malware.ru во время распространения в Интернет (In The Wild).

1. Adware.Win32. Look2me.ab
2. Adware. Win32.NewDotNet
3. AdWare.Win32.Virtumonde.bq
4. Backdoor.Win32.Haxdoor.ix
5. Backdoor.Win32.PcClient.ca
6. Email-Worm.Win32.Scano.ac
7. Trojan-Clicker.Win32.Costrat.l
8. Trojan-Downloader.Win32.Agent.brr
9. Trojan-Downloader.Win32.Agent.brk
10. Trojan-Proxy.Win32.Agent.lb
11. Trojan-Proxy.Win32.Wopla.ag
12. Trojan-Proxy. Win32.Xorpix.ba
13. Trojan-Spy.Win32.Bancos.aam
14. Trojan-Spy.Win32.Goldun.ls
15. Virus.Win32.Gpcode.af
16. Rootkit.Win32.Agent.ea
17. SpamTool.Win32.Agent.u

Каждый отобранный экземпляр вредоносной программы проверялся на работоспособность и установку на тестовой системе.

Проведение

Тест проводился на специально подготовленном стенде под управлением VMware GSX Server. Для каждого экземпляра вредоносной программы клонировалась «чистая» виртуальная машина с операционной системой Microsoft Windows XP SP2 и всеми установленными патчами на момент проведения теста.

В тестировании участвовали следующие антивирусные программы:

1. Avast! Professional Edition 4.7.1029
2. AVG Anti-Virus 7.5.476
3. Avira AntiVir PE Premium 7.0
4. BitDefender Antivirus 10
5. Dr.Web Anti-Virus 4.33.3
6. Dr.Web Anti-Virus 4.44.0.8030 beta
7. Eset NOD32 Antivirus 2.70.39
8. F-Secure Anti-Virus 2007 7.02.395
9. Kaspersky Anti-Virus 7.0.0.125
10. McAfee VirusScan 2007
11. Panda Antivirus 2008
12. Sophos Anti-Virus 6.5.7 R2
13. Symantec Norton AntiVirus 2007
14. Trend Micro Internet Security 2007
15. VBA32 Antivirus 3.12.2.2

Если вредоносный код не детектировался автоматически антивирусным монитором, то инициировалась проверка по требованию каталога (или нескольких каталогов), где должны были быть расположены файлы вредоносной программы.

Шаги проведения тестирования:

1. заражение (активация) вредоносной программой виртуальной машины;
2. проверка роботоспособности вируса и его успешной установки в системе;
3. многократная перезагрузка зараженной системы;
4. попытка установки тестируемого антивируса и очистки системы;
5. если удается очистить систему, фиксируем оставшиеся следы заражения системы.

Для каждого отобранного семпла вредоносной программы выделялась своя чистая виртуальная машина – шаг 1. После попытки установки какого-либо антивируса и лечении заражения, машина откатывалась в первоначальное состояние – шаг 3.

[/cut]

[cut=Методология теста проактивной антивирусной защиты (декабрь 2007)]

В тестировании участвовали следующие антивирусные программы:

1. Agnitum Outpost Security Suite 2008
2. Avast! Professional Edition 4.7
3. AVG Anti-Virus Professional Edition 7.5
4. Avira AntiVir Personal Edition Premium 7.0
5. BitDefender Antivirus 2008
6. Dr.Web 4.44
7. Eset Nod32 Anti-Virus 3.0
8. F-Secure Anti-Virus 2008
9. Kaspersky Anti-Virus 7.0
10. McAfee VirusScan Plus 2008
11. Panda Antivirus 2008
12. Sophos Anti-Virus 7.0
13. Symantec Anti-Virus 2008
14. Trend Micro Antivirus plus Antispyware 2008
15. VBA32 Antivirus 3.12

В "дикой природе" (In The Wild, далее ITW: корпоративные шлюзы, поступления в частные коллекции), отбирались ITW-образцы вредоносных программ, поступившие в источники через две недели после заморозки антивирусных баз. Новизна образцов определялась по отсутствию совпадений хешей по общей коллекции Anti-Malware.ru, которая собиралась в течение шести месяцев до начала теста. Таким образом, обеспечивался отбор вредоносных программ, с высокой степенью вероятности еще неизвестных антивирусам на момент прекращения обновлений (заморозки антивирусных баз).

В качестве приложения к тесту после его окончания проводилось обновление всех антивирусных программ, и делалась повторная проверка коллекции (через неделю после окончания основного тестирования). В результате фиксировалась эффективность работы классических сигнатурных методов каждого антивируса в дополнение к эвристике.

Шаги создания тестовой среды:

1. Установка антивирусной программы на чистую машину;
2. Перезагрузка системы;
3. Проверка успешной установки и работоспособности всех модулей программы;
4. Обновление антивирусной программы;
5. Перезагрузка системы;
6. Выключение функций обновления, отключения от сети Интернет (заморозка баз);
7. Сохранение образа виртуальной машины;
8. Отключение виртуальной машины на 6 недель;
9. Сбор тестовой коллекции вредоносных программ.

Шаги проведения тестирования:

1. Включение виртуальной машины;
2. Проверка коллекции отобранных новых вредоносных программ сканером по требованию (настройки на автоматическое удаление обнаруженных объектов);
3. Подсчет оставшихся образцов после проверки коллекции;
4. Обновление антивируса;
5. Повторная проверка оставшихся в пункте 3 образцов.
6. Подсчет оставшихся образцов после повторной проверки коллекции.

[/cut]

[cut=Методология теста антивирусов на обнаружение полиморфных вирусов (декабрь 2007)]

Подготовка теста

Для проведения данного тестирования антивирусов экспертной группой Anti-Malware.ru были отобраны вредоносные программы удовлетворяющие следующим критериям:

1. использование техники полиморфизма для затруднения своего обнаружение антивирусами;
2. новизна (появление/распространение в 2007 году);
3. распространение в Интернет, ITW-образцы (In The Wild).

Исходя из имеющейся функциональности, отобранные вредоносные программы были разделены на 11 семейств (в скобках указаны названия входящих в них образцов по классификации некоторых вендоров):

1. Allaple.1 (Symantec: W32.Rahack.H, W32.Rahack.W; DrWeb: Trojan.Starman; Kaspersky Lab: Net-Worm.Win32.Allaple.a, Net-Worm.Win32.Allaple.d);

2. Allaple.2 (Symantec: W32.Rahack.W; DrWeb: Trojan.Starman; Kaspersky Lab: Net-Worm.Win32.Allaple.b);

3. Allaple.3 (Symantec: W32.Rahack.H; DrWeb: Trojan.Starman; Kaspersky Lab: Net-Worm.Win32.Allaple.d, Net-Worm.Win32.Allaple.e);

4. Allaple.4 (Symantec: W32.Rahack.H, W32.Rahack.W; DrWeb: Trojan.Starman; Kaspersky Lab: Net-Worm.Win32.Allaple.e, Net-Worm.Win32.Allaple.d);

5. Alman.1 (Symantec: W32.Almanahe.A!inf, W32.Almanahe.B!inf, W32.Fubalka.B …; DrWeb: Win32.Alman.2, Win32.Alman.3; Kaspersky Lab: Virus.Win32.Alman.a);

6. Alman.2 (Symantec: W32.Almanahe.B!inf, W32.HLLW.Oror.B@mm, W32.Bustoy, W32.SillyDC …; DrWeb: Win32.Alman; Kaspersky Lab: Virus.Win32.Alman.b);

7. Twido.1 (Avira: W32/Tvido; DrWeb: Win32.Dwee.2887, Win32.Dwee.3029; Kaspersky Lab: Virus.Win32.Tvido.a);

8. Twido.2 (Avira: W32/Tvido.B; DrWeb: Win32.Dwee.2; Kaspersky Lab: Virus.Win32.Tvido.b);

9. Virut.2 (Symantec: W32.Virut.B, W32.Virut!gen, W32.Ifbo.A, W32.Virut.H …; DrWeb: Win32.Virut.5; Kaspersky Lab: Virus.Win32.Virut.n, Backdoor.Win32.VanBot.bh, Backdoor.Win32.VanBot.ax …);

10. Virut.3 (Symantec: W32.Virut.B, W32.Virut!gen, W32.Virut.R, Downloader …; DrWeb: Win32.Virut.5, Trojan.MulDrop.5684, Trojan.DownLoader.24029, Trojan.Fakealert.257 …; Kaspersky Lab: Virus.Win32.Virut.n, Virus.Win32.Virut.m, Virus.Win32.Virut.q, Trojan.Win32.Agent.bnj, Trojan.Win32.Agent.qt …);

11. Virut.4 (Symantec: W32.Virut.U, Trojan Horse, W32.Virut.R, W32.Virut!gen, Downloader …; DrWeb: Win32.Virut.5; Kaspersky Lab: Virus.Win32.Virut.q, Trojan-Downloader.Win32.VB.awj, Trojan-PSW.Win32.OnLineGames.yn …).

Начальный набор тестовых образцов формировался из числа распространяемых в сети, а также от всех антивирусных вендоров, изъявивших желание содействовать в проведении данного теста.

Важно! Первоначальный отбор, анализ и группировка самплов является главной частью подготовки теста, занявшей большее количество времени.

Чтобы точно убедиться в правильности разработанных алгоритмов обнаружения полиморфных вирусов необходимо иметь как можно больше модификаций отобранных полиморфных вирусов. Поэтому для получения тестовой коллекции производилось размножение начального набора тестовых образцов по следующей схеме:

1. Клонировалась чистая виртуальная машина под управлением Microsoft Windows XP SP2.
2. Производилось заражение системы при помощи одного из вредоносных образцов из начального набора.
3. Фиксировались изменений файловой системы (список зараженных файлов) при помощи специальной утилиты.
4. Вновь полученные вредоносные объекты копировались с виртуальной машины.
5. Производился откат к начальному состоянию (пункт 1) и заражение производилось заново.

В итоге была получена коллекция из 30 тыс. экземпляров вредоносных программ (от 500 до 8000 в каждом семействе), которая и была использована для тестирования возможностей антивирусов по обнаружению полиморфных вирусов.

Проведение теста

В тестировании участвовали следующие антивирусные программы:

1. Agnitum Outpost Seciruty Suite Pro 2008 (VirusBuster)
2. Avast Professional Edition 4.7
3. AVG Anti-Virus Professional Edition 7.5
4. Avira Antivir Personal Edition Classic 7.06
5. BitDefender Anti-Virus 2008
6. DrWeb 4.44
7. Eset Nod32 Antivirus 3.0
8. F-Secure Anti-Virus 2008
9. Kaspersky Anti-Virus 7.0
10. McAfee VirusScan 2008
11. Microsoft Windows Live OneCare 2.0 Pre-Release
12. Panda Antivirus 2008
13. Sophos Anti-Virus 7.0
14. Symantec Anti-Virus 2008
15. Trend Micro Antivirus plus Antispyware 2008
16. VBA32 Workstation 3.12.2

При установке антивирусов производились все рекомендуемые программой действия (перезагрузка системы, обновление и т.д.). Настройки антивирусов не изменялись и оставались установленными по умолчанию. Исключение составляют случаи, когда в настройках сканирования необходимо было активировать опцию "проверка всех файлов".

Шаги проведения тестирования:

1. Включение виртуальной машины;
2. Проверка коллекции отобранных вредоносных программ сканером по требованию (настройки на автоматическое удаление/карантин обнаруженных объектов);
3. Подсчет оставшихся образцов после проверки коллекции.

Для каждой антивирусной программы выделялась отдельная чистая виртуальная машина - шаг 1. Для каждого антивируса создавалась своя копия коллекции вредоносных программ - шаг 2.

[/cut]

[cut=Методология теста антивирусов и антируткитов на обнаружение и удаление современных руткитов (декабрь 2007)]

Подготовка теста

Существует два вида руткитов: User Mode (руткиты режима пользователя) и Kernel Mode (руткиты режима ядра). Наибольшую сложность для обнаружения, а значит и интерес для теста, представляют руткиты режима ядра, поскольку их возможности ничем не ограничены, тогда как руткиты режима пользователя ограничены в привилегиях в системе и их возможности сильно ограничены. У современных антивирусов и антируткитов не должно быть особых проблем в обнаружении и удалении скрытых файлов, процессов и т.д. руткитов, работающих в user mode.

Руткиты Kernel Mode используют следующие основные способы маскировки:

* Маскировка перехватом системных функций путем подмены адреса функций в таблице системных сервисов (KiST). Такие перехваты наиболее широко используются в различных вредоносных программах с руткит-маскировкой, поэтому легко обнаруживаемы и нейтрализуемы.
* Маскировку модификацией машинного кода ядра, т.н. сплайсинг. Перехваты подобного типа сложнее обнаружить и нейтрализовать. Количество вредоносных программ, использующих такой тип перехватов постепенно увеличивается.
* Маскировка перехватом прерывания Int 2Eh и sysenter.
* Использование драйвер-фильтр. Руткиты подобного типа основаны на установке своего драйвера, который подключается к драйверу файловой системы как драйвер-фильтр, что позволяет перехватывать пакеты запросов IRP.
* DKOM или манипуляция с различными структурами ядра.

Исходя из выше перечисленных выше способов маскировки, для тестирования набиралась образцы руткитов. Главным критерием при оставлении выборки был принцип охвата всех возможных методом маскировки в системе.

Таким образом, для проведения тестирования антивирусов/антируткитов экспертной группой Anti-Malware.ru были отобраны 6 вредоносных программ с руткит-маскировкой и 4 концептуальных руткита.

При отборе вредоносных программ дополнительно рассматривались следующие критерии:

1. Образцы должны маскироваться от средств обнаружения (антивирус/антируткит) одним или несколькими описанными выше способами.
2. Каждый образец должен использовать различные способы маскировки.
3. В сумме все образцы должны максимально полно отражать существующие технологии маскировки.
4. Используемые вредоносные программы были собраны во время распространения в Интернет, т.е. являются ITW-образцами (In The Wild).
5. Используемые руткиты не должны иметь функционал целенаправленной борьбы с антивирусами/антируткитами, таких как удаление файлов, завершение процессов и т.п.

Исходя из этого, для тестирования были отобраны следующие вредоносные программы:

1. Trojan-Spy.Win32.Goldun.hn
2. Trojan-Proxy.Win32.Wopla.ag
3. SpamTool.Win32.Mailbot.bd
4. Monitor.Win32.EliteKeylogger.21
5. Rootkit.Win32.Agent.ea
6. Rootkit.Win32.Podnuha.a

А также концептов руткитов:

1. Unreal A (v1.0.1.0)
2. RkDemo v1.2
3. FuTo
4. HideToolz

Как видно, основной упор при составлении коллекции был сделан на вредоносные программы. В добавление к ним было решено добавить несколько концептуальных руткитов, которые дополняют общую картину способов маскировки и позволяют проверить наличие проактивного детекта (обнаружение руткитов на основании анализа системных событий/аномалий, т.е. без наличия специальных сигнатур).

Для участия в тесте отбирались наиболее популярные антивирусы, в которых заявлен функционал по обнаружению руткитов. Среди специальных утилит (антируткитов) были выбраны только те, которые имеют функционал автоматического обнаружения скрытых файлов.

Список отобранных для теста вредоносных программ до оглашения результатов держался в тайне и не сообщался никому из вредставителей вендоров, чьи антивирусы и антируткиты принимали в нем участие.

Проведение теста

Тест проводился на специально подготовленном стенде под управлением VMware Workstation версии 5.5.3. Для каждого экземпляра вредоносной программы клонировалась «чистая» виртуальная машина с операционной системой Microsoft Windows XP SP2 со всеми обновлениями на момент проведения теста.

В тестировании участвовали следующие антивирусы:

1. BitDefender Antivirus 2008
2. Dr.Web 4.44
3. F-Secure Anti-Virus 2008
4. Kaspersky Anti-Virus 7.0
5. McAfee VirusScan Plus 200
6. Eset Nod32 Anti-Virus 3.0
7. Symantec Anti-Virus 2008
8. Trend Micro Antivirus plus Antispyware 2008

А также следующие антируткиты:

1. AVG Anti-Rootkit 1.1
2. Avira Rootkit Detection 1.00.01.1
3. GMER 1.0.13
4. McAfee Rootkit Detective 1.1
5. Panda AntiRootkit version 1.0
6. Rootkit Unhooker 3.7
7. Sophos Anti-Rootkit 1.3
8. TrendMicro RootkitBuster 1.6

При отборе антируткитов для тестирования учитывалось наличие функционала не только для обнаружения присутствия руткита в системе, но и его обезвреживания (удаление/переименование файлов, удаление/переименование ключей/разделов реестра).

Руткит считался обнаруженным, если защитная программа находила его файлы, ключи реестра, процессы или следы присутствия в системе (перехваты функций API). Руткит считался обезвреженным в случае, если его активность в системе была полностью пресечена защитной программой.

Шаги проведения тестирования на вредоносных программах:

1. Заражение (активация) вредоносной программой виртуальной машины;
2. Проверка работоспособности вредоносной программы и его успешной установки в системе;
3. Многократная перезагрузка зараженной системы;
4. Установка (запуск) тестируемой антивируса/антируткита и очистка системы;
5. Проверка активности руткита после лечения системы антивирусом/антируткитом.

Для каждого отобранного образца вредоносной программы выделялась своя чистая виртуальная машина – шаг 1. После запуска (установки) какой-либо антируткит-программы и лечения заражения, машина откатывалась в первоначальное состояние – шаг 3.

Шаги проведение тестирования с концептами:

1. Установка антивируса или антируткита и перезагрузка системы.
2. Запуск концепта, выбор объекта для маскировки если нужно. В случае если антивирус или антируткит оснащен HIPS-модулем, то выбиралось разрешающее действие для установки руткита в систему или произведению необходимых для маскировки действий.
3. Сканирование системы предмет обнаружения руткитов.
4. Фиксирование результата работы (только обнаружения скрытого процесса и/или файла).

Для каждого антивируса или антируткита выделялась своя чистая виртуальная машина – шаг 1. После установки какого-либо концепта и сканирования, машина откатывалась в первоначальное состояние.

[/cut]
[cut=Методология теста антируткитов на детектирование и лечение вредоносных программ (декабрь 2007)]

Выбор вредоносных программ для теста антируткитов

Для проведения данного тестирования антируткитов экспертной группой Anti-Malware.ru были отобраны 9 вредоносных программ по следующим критериям:

1. Вредоносная программа должна скрывать свое присутствии в системе по руткит-технологии.
2. Отобранные образцы должны использовать различные способы своего скрытия.
3. Все образцы должны максимально полно отображать существующие технологии скрытия, используемые вирусописателями.
4. Используемые вредоносные программы были собраны во время распространения в Интернет, ITW-образцы (In The Wild).

Все используемые в тесте образцы являются достаточно распространенными ITW-образцами ( http://z-oleg.com/secur/virstat/index.php ), многократно были обнаружены в ходе очистки ПК ( http://virusinfo.info/forumdisplay.php?f=46 ) и неизбежно вызывали проблемы у пользователей со своим обнаружением и удалением.

Таким образом, для теста были отобраны следующие вредоносные программы по классификации Лаборатории Касперского (альтернативные названия по классификации других вендоров можно посмотреть в полном отчете о тесте):

1. Backdoor.Win32.Haxdoor.fd
2. Backdoor.Win32.Padodor.ax
3. Monitor.Win32.EliteKeylogger.21
4. Monitor.Win32.SpyLantern.530
5. Trojan-Clicker.Win32.Costrat.af
6. Trojan-Proxy.Win32.Agent.lb
7. Trojan-Spy.Win32.Goldun.np
8. Trojan.Win32.DNSChanger.ih
9. Worm.Win32.Feebs.gt

Список отобранных для теста вредоносные программ до оглашения результатов держался в тайне и не сообщался никому из вредставителей вендоров, чьи антируткиты принимали в нем участие.

Проведение теста антируткитов

В тестировании участвовали следующие антируткит-программы:

1. Antivir Rootkit 1.0.1.12 Beta3
2. AVG Antirootkit 1.1.0.29 Beta
3. AVZ 4.23 *
4. BitDefender Antirootkit Beta2
5. F-Secure BlackLight 2.2.1055 Beta
6. Gmer 1.0.12.12027
7. McAfee Rootkit Detective 1.0.0.41 Beta
8. Rootkit Unhooker 3.20.130.388
9. Sophos Anti-Rootkit 1.2.2
10. Trend Micro RootkitBuster 1.6.0.1055 Beta
11. UnHackMe 4.0

* AVZ не является полноценной антируткит-программой и представляет собой утилиту для комплексного исследования системы.

Требование, предъявляемое к антируткитам – наличие функционала не только обнаружения присутствия руткита в системе, но и его обезвреживания (удаление/переименование файлов, удаление/переименование ключей/разделов реестра).

Шаги проведения тестирования:

1. Заражение (активация) вредоносной программой виртуальной машины;
2. Проверка работоспособности вируса и его успешной установки в системе;
3. Многократная перезагрузка зараженной системы;
4. Установка (запуск) тестируемой антируткит-программы и очистка системы;
5. Фиксирование оставшихся файлов и ключей автозапуска.

Для каждого отобранного семпла вредоносной программы выделялась своя чистая виртуальная машина – шаг 1. После запуска (установки) какой-либо антируткит-программы и лечения заражения, машина откатывалась в первоначальное состояние – шаг 3.

[/cut]

[cut=Методология теста антивирусов на лечение активного заражения (февраль 2007)]

Выбор вредоносных программ для теста

Для проведения тестирования антивирусов на лечение активного заражения экспертной группой Anti-Malware.ru были отобраны 10 вредоносных программ по следующим критериям:

1. детектирование родительского файла всеми участвующими в тесте антивирусами;
2. способность маскировать свое присутствие;
3. способность мешать установке и противодействовать работе антивируса;
4. способность восстанавливаться в случае удаления некоторых компонент;
5. распространенность и известность.

Все используемые в тесте вредоносные программы были собраные во время распространения в Интернет (In The Wild).

1. Adware.Win32.Look2me
2. Adware.Win32.NewDotNet
3. Backdoor.Win32.Haxdoor
4. Trojan-Proxy.Win32.Xorpix
5. Email-Worm.Win32.Scano
6. Email-Worm.Win32.Bagle
7. Trojan-PSW.Win32.LdPinch
8. Worm.Win32.Feebs
9. Trojan-Clicker.Win32.Costrat
10. Trojan-Spy.Win32.Goldun

Список отобранных для теста вредоносные программ до оглашения результатов держался в тайне и не сообщался никому из вредставителей вендоров, чьи антивирусы принимали в нем участие.

Проведение теста антивирусов на лечение активного заражения

В тестировании участвовали следующие антивирусные программы:

1. Avast! Professional Edition 4.7
2. AVG Anti-Virus PE 7.5
3. Avira AntiVir СE 7.0
4. AVZ 4.21
5. BitDefender Antivirus 10
6. Dr.Web Anti-Virus 4.33
7. Eset NOD32 Antivirus 2.7
8. F-Secure Anti-Virus 2007
9. Kaspersky Anti-Virus 6.0
10. McAfee VirusScan 2007
11. Panda Antivirus 2007
12. Sophos Anti-Virus 6.0
13. Symantec Norton AntiVirus 2007
14. Trend Micro PC-Cillin 2007
15. VBA32 Antivirus 3.11

Шаги проведения тестирования:

[/cut]

[cut=Методология проведения теста антивирусов на поддержку упаковщиков (февраль 2007)]

Подготовка теста

Сколько всего в мире существует универсальных упаковщиков? По нашим скромным подсчетам – более 100 видов, а по некоторым данным их число приближается к 200. Владея таким арсеналом специального программного обеспечения, вирусописатели создают новые модификации одного и того же вируса, не прилагая практически никаких усилий.

Как только появился новый вирус, его можно обработать упаковщиком или протектором (это по времени занимает секунды), проверить работоспособность и отправить в свободное плаванье. В итоге в Интернет будет уже две модификации одного и того же вируса.

При этом многие антивирусные компании зачастую хитрят. В антивирусные базы вносятся сигнатуры вирусов и их модификаций (в том числе и упакованных), но непосредственно поддержка упаковщиков в антивирусе отсутствует. Это приводит к тому, что при появлении по-новому упакованного вируса таким вендорам приходится вносить в антивирусные базы новые сигнатуры, в то время как при наличии поддержки упаковщика, новая модификация вируса стала бы детектироваться автоматически.

Конечно, не все антивирусные компании поступают подобным образом, но ситуация осложняется тем, что упаковщики и протекторы постоянно обновляются и за их новыми версиями необходимо следить так же, как и за появлением новых вирусов.

После продолжительных консультаций с антивирусными вендорами и различными независимыми экспертами из всего многообразия упаковщиков для теста мы выбрали 21 тип, основываясь на данных:

1. Популярности упаковщиков у вирусописателей;
2. Нашем собственном анализе упаковщиков и возможности их использования для скрытия вредоносного кода.

Для проведения теста были взяты самые последние версии упаковщиков, которые на тот момент были публично доступны в сети Интернет.

Проведение теста

Тестирование антивирусов на поддержку упаковщиков производится экспертами Anti-Malware.ru на регулярной основе. Мы внимательно следим за появлением в Интернет новых версий различных упаковщиков, проводим анализ популярности применения различных версий и их модификаций.

Помимо этого проект Anti-Malware.ru плотно сотрудничает с различными антивирусными компаниями, которые предоставляют нам информацию по применению разработчиками вирусов различных упаковщиков.

На основе полученных данных мы готовим список упаковщиков. За неделю до начала теста, мы фиксируем версии упаковщиков, которые будут участвовать в тестировании. Эта информация доступна для разработчиков антивирусов.

В это же время отбираются экземпляры вирусов 5-10 штук, среди которых обязательно присутствуют различные типы вредоносного кода (вирусы, черви, трояны, шпионские программы, кейлогеры и т.п.). Основное требование к этим экземплярам – они не упакованы и в данном виде успешно детектируются всем антивирусами, участвующими в тесте. Информация по взятым экземплярам вредоносного кода не доступна разработчикам антивирусов, до окончания теста.

Этапы тестирования:

1. Производится запаковка выбранных экземпляров вирусов упаковщиками, т.е. получаем Х модификаций каждого вируса, где Х – это число упаковщиков, участвующих в тестировании.
2. Далее каждый экземпляр проверяется на работоспособность – т.е. полное выполнение своей функциональности после упаковки.
3. Происходит непосредственно сам тест на детектирование упакованных вирусов последними версиями антивирусов с актуальными базами данных.

Шаги 1 и 2 выполняются в течение недели до тестирования, но после того, как официально были зафиксированы версии упаковщиков. Если после упаковки вируса каким-либо из пакеров не получается добиться его работоспособности, тогда данная модификация вируса исключается из тестирования.

Как уже писалось выше, тестирование проводится актуальными версиями антивирусного программного обеспечения с актуальными обновлениями.

Частота проведения тестов определяется проектной командой Anti-Malware.ru, и зависит от появления новых версий упаковщиков, изменения популярности различных упаковщиков и на основе анализа данных антивирусных производителей. Тест проводится не реже четырех раз в год.

Пакеры, детектируемые всеми участниками теста, в следующем тестировании не учавствуют, если не изменялась их версия (алгоритмы, методы и т.д.).

[/cut]

Дата: Суббота, 01.08.2009, 21:09 | Сообщение # 4

Уважаемый

Сообщений: 5542

Показать медали

[table][tr][td]

Отчеты[/td][/tr][/table]

[table][tr][td]

Тесты антивирусов[/td][/tr][/table]

Тест проактивной антивирусной защиты

Результаты этого теста дают возможность ответить на вопросы: "Насколько эффективна эвристика? В каком антивирусе этот компонент защиты работает лучше?"

В этом тесте мы будем сравнивать только эвристические компоненты антивирусной защиты (эвристики + generic-детект, т.е. расширенные сигнатуры), не принимая по внимание анализ системных событий (поведенческие блокираторы, HIPS).

В качестве приложения к тесту производилось финальное измерение уровня детектирования на собранной коллекции на обновленных антивирусах через неделю после завершения основного теста. В результате фиксировалось качество обнаружения новых вирусов, а также эффективность работы классических сигнатурных методов каждого антивируса в дополнение к эвристике.
[cut]

На проактивных методах антивирусной защиты, которые позволяют антивирусу противостоять еще неизвестным видам и модификациям вредоносных программ, продолжают фокусироваться серьезные усилия всей антивирусной индустрии. Данное направление развития является наиболее перспективным на рынке, и почти каждый производитель пытается подчеркнуть, что именно его проактивная защита лучшая.

Сразу оговоримся, что проактивные технологии – довольно обширное понятие, включающее в себя множество направлений и составляющих, охватить их все в рамках одного теста не представляется возможным. В этом тесте мы будем сравнивать только эвристические компоненты антивирусной защиты (эвристики + generic-детект, т.е. расширенные сигнатуры), не принимая во внимание анализ системных событий (поведенческие блокираторы, HIPS).

Основные результаты тестирования (детектирование - ложные срабатывания)

[table][tr][td]

[/td][td]Kaspersky Anti-Virus 2009 (61% - 0.01%)
Eset Nod32 Anti-Virus 3.0 (61% - 0.02%)
BitDefender Antivirus 2009 (60% - 0.04%)[/td][/tr][tr][td]

[/td][td]Avira AntiVir Premium 8.2 (71% - 0.13%)
Dr.Web 5.0 (61% - 0.2%)
AVG Anti-Virus 8.0 (58% - 0.02%)
Avast! Professional Edition 4.8 (53% - 0.03%)
Norton Anti-Virus 2009 (52% - 0%)
VBA32 Antivirus 3.12 (45% - 0.07%)
F-Secure Anti-Virus 2009 (44% - 0.03%)[/td][/tr][tr][td]

[/td][td]Panda Antivirus 2009 (38% - 0.02%)
Trend Micro Internet Security 2009 (37% - 0.04%)
Agnitum Outpost Anti-Virus Pro 2009 (33% - 0.07%)[/td][/tr][tr][td]

Тест
провален

[/td][td]Sophos Anti-Virus 7.0 (61% - 2.24%)
[/td][/tr][/table]

Введение

В тестировании эффективности проактивной антивирусной защиты принимали участие 14 наиболее популярных антивирусных программ, среди которых:

Тест антивирусов проводился под операционной системой Windows XP SP3 в период с 3 декабря 2008 года по 18 января 2009 года четко в соответствии с определенной методологией, по которой создавались специальные условия для проверки эффективности работы эвристиков (для этого у всех антивирусов отключалась функция обновления, т.е. происходило замораживание антивирусных баз данных на дату начала теста).

Для проведения теста во время заморозки антивирусных баз была собрана коллекция из 5166 уникальных самплов новейших вредоносных программ и коллекция из 15121 чистого файла.

Измерение эффективности проактивной антивирусной защиты

На рисунке 1 и в таблице 1 представлены результаты обнаружения неизвестных вредоносных программ различными антивирусами и их уровень ложных срабатываний, как обратная сторона любой проактивной технологии.

Рисунок 1: Результаты теста эффективности эвристиков

Таблица 1: Результаты теста эффективности эвристиков

Абсолютным лидером по эффективности эвристического компонента защиты является Avira AntiVir Premium, чей уровень детектирования неизвестных вредоносных программ оказался очень высоким – 71%. Однако повышенный уровень ложных срабатываний позволил этому продукты получить только лишь награду Silver Proactive Protection Award.

Такая же участь постигла антивирус DrWeb, чья новая версия 5.0 показала очень высокий результат детектирования в 61% ровно, но повышенный уровень ложных срабатываний позволил ему получить только награду Silver Proactive Protection Award.

Главный разочарованием теста стал Sophos Anti-Virus, показавший впечатляющий уровень проактивного детектирования более 61% ценой чудовищного количества ложных срабатываний 2.24%. Увы, но такой результат перечеркивает все шансы этого антивируса не только на золото, но и вообще на какую-либо награду.

Лучшие результаты по балансу проактивного детектирования и ложных срабатываний показала тройка Kaspersky Anti-Virus, Eset Nod32 Anti-Virus и BitDefender Antivirus. Их результаты оказались проактически идентичны - уровень эвристического детектирования 60% и уровень ложных срабатываний 0.01-0.04%. Согласно используемой схеме награждения эти антивирусы получили награду Gold Proactive Protection Award.

Высокую эффективность эвристического компонента защиты показала большая группа антивирусов, получившая награду Silver Proactive Protection Award. В нее помимо уже перечисленных выше продуктов вошли AVG Anti-Virus, Avast! Professional Edition, Norton Anti-Virus, VBA32 Antivirus и F-Secure Anti-Virus. Нужно отметить, что Norton Anti-Virus оказался единственным из тестируемых антивирусов показавшим нулевой уровень ложных срабатываний!

Еще 3 продукта: Panda Antivirus, Trend Micro Internet Security и Agnitum Outpost Anti-Virus Pro, показали удовлетворительный результат и получили награду Bronze Proactive Protection Award.

Изменение эффективности эвристики в ходе теста

Так как в соответствии с методологией в тесте использовалась месячная коллекция новых вредоносных программ (собранная с 18 декабря 2008 года по 18 января 2009 года), стало возможным проверить, как изменяется эффективность работы различных эвристиков во времени. Для этого коллекция была разбита по времени поступления образцов на 4 равные части, по неделе на каждую.

Таким образом, на рисунке 2 и в таблице 2 представлены данные по эффективности работы эвристиков на недельных коллекциях.

Рисунок 2: Результаты теста эффективности эвристиков (разбивка по неделям)

Таблица 2: Результаты теста эффективности эвристиков (разбивка по неделям)

Как видно из таблицы 2, практически у всех антивирусов резко падает эффективность уже на 2-й и 3-й недельной коллекции. Исключение здесь составляют разве что аутсайдеры теста, у которых уровень обнаружения всегда одинаково низок.

Сигнатуры или эвристика?

В качестве приложения к тесту производилось финальное измерение уровня детектирования на собранной коллекции на обновленных антивирусах через неделю после завершения основного теста (25 января 2009). В результате фиксировалась эффективность работы классических сигнатурных методов каждого антивируса в дополнение к эвристике. Это позволило увидеть, какую роль в обеспечении общего уровня детектирования антивирусов играет той или иной компонент (см. рисунок 3).

Рисунок 3: Влияние различных компонент антивирусной защиты на общий уровень обнаружения вредоносных программ

Диагональная линия на рисунке 3 означает уровень 100% детектирования новых вредоносных программ. Приблизиться к нему можно при помощи эффективной работы различных компонент антивирусных защиты или их сбалансированной работы.

Антивирусы, попавшие в темно-оранжевую (80-100%) и светло-оранжевую (60-80%) зоны, показали отличный и хороший уровень обнаружения новых вирусов (возрастом от 1 до 5 недель, см. методологию).

Большинство из них: Avira Antivir Premium, Sophos Anti-Virus, Dr.Web, Kaspersky, Eset Nod32, BitDefender Antivirus, AVG Anti-Virus, Avast Professional Edition и Norton Anti-Virus - сделали это в основном за счет вклада проактивного компонента.

Антивирусы F-Secure Anti-Virus и Panda Antivirus добились того же в основном за счет сигнатурного компонента.

Самым сбалансированным в этом отношении оказался антивирус VBA32 Anti-Virus, в котором оба компонента отработали одинаково эффективно (попали в левый нижний квадрат на рисунке 3, а общий уровень обнаружения вредоносных программ оказался отличным).

Слабыми по общему обнаружению новых вредоносных программ оказались Trend Micro Internet Security и Agnitum Outpost Anti-Virus Pro, которые оказались совершенно неэффективными против новых угроз.

Таблица 3: Качество обнаружения новых вирусов

Рисунок 4: Качество обнаружения новых вирусов, вклад различных компонентов

Как и годом ранее лучшими по обнаружению новых вредоносных программ оказались Kaspersky Anti-Virus (99.7%), F-Secure Anti-Virus (99.6%), Avira AntiVir Premium (98%), BitDefender Antivirus (97.8%), AVG Anti-Virus (96.6%) и Avast Professional Edition (95.1%).

Анализ изменений в сравнении с предыдущими тестами

Мы решили проанализировать результаты всех наших тестов на эффективность проактивной антивирусной защиты за 2007-2009 годы. Для этого к результатам этого теста были добавлены результаты декабрьского теста за 2007 год.

Рисунок 5: Динамика изменения эффективность эвристиков

Как видно на рисунке 5 эффективность эвристических компонентов в большинстве антивирусов заметно улучшилась. Многие вендоры сделали существенные шаги по улучшению и смогли добиться очень высоких результатов. По сравнению с прошлым годом сегодня мы имеем целую плеяду вендоров с развитыми эвристическими технологиями, а это значит, что качество защиты пользователей в целом должно заметно улучшиться.

Рисунок 6: Динамика изменения качества обнаружения новых вирусов (общий детект)

Что касается общего уровня детектирования новых вредоносных программ, то здесь ситуация более стабильная. Хотя многие вендоры стараются улучшать свои показатели, состав лидеров остается неизменным.

Это связано в первую очередь с тем, что для улучшения этого показателя недостаточно лишь одной технологии, что демонстрирует относительный провал некоторые лидеров по эвристическому детект. Нужна также высокая скорость реакции вирусных лабораторий, а это пока удается очень не многим.

Василий Бердников, эксперт Anti-Malware.ru так комментирует результаты теста:

«Как видно из результатов теста, многие антивирусы имеют отличный эвристический детект (около 60%) вкупе с низким процентом ложных срабатываний (до 0.1%). Эвристик является хорошим средством для повышения общей эффективности защиты, но как видно из результатов теста у некоторых продуктов его использование сопровождается высоким уровнем ложных срабатываний. В этом плане каждый вендор сам выбирает баланс между эвристическим детектом и уровнем ложных срабатываний. Некоторые идут на сознательное увеличение уровня ложных срабатываний в угоду высоким результатам в детекте. Важно еще то, что современные эвристические технологии, как показывают результаты теста, пока не могут служить панацеей от заражения и не позволяют эффективно защищать пользователя от новейших видов угроз».

Комментарии партнеров Anti-Malware.ru

Денис Назаров, Руководитель группы эвристического детектирования "Лаборатории Касперского":

«В прошлом году окончательно стало понятно, что сигнатурные методы распознавания неэффективны для борьбы с современными угрозами. По статистике «Лаборатории Касперского» подавляющее число детектирований новых вредоносных программ на компьютерах пользователей производится динамическими и эвристическими модулями защиты. Эти методы защиты позволяют сосредоточиться именно на вредоносных действиях вирусов и троянских программ для их детектирования и не отвлекаться на вторичные признаки той или иной программы».

«В 2008 году «Лаборатория Касперского» активно занималась развитием именно проактивных методов детектирования, одним из которых и является эвристический модуль. И результаты данного теста в очередной раз подтверждают, что мы движемся в правильном направлении. Приятно видеть, что тесты Anti-Malware.ru развиваются, и что в данном тесте появилась безусловно важная для пользователей часть о ложных срабатываниях. Детектирование легальных программ как вредоносных является в наши дни серьёзным недостатком антивирусного решения. И именно такие тесты заставляют вендоров уделять проблеме особое внимание и способствуют глобальному оздоровлению индустрии в целом. Будем надеяться, что у нас и дальше получится удерживать ту высокую планку, которую мы для себя задали и в проактивном детектировании, и в минимизации ложных срабатываний. Также хочется верить, что вы и дальше будете улучшать методологию тестирования и добавите динамическое тестирование как логичное расширение тестов эвристического детектирования».

Кирилл Керценбаум, Технический Консультант представительства Symantec в России и СНГ:

«Проведение теста эвристических способностей антивирусов является полезным с точки зрения оценки, насколько эффективно продукт может противостоять новейшим образцам вредоносного ПО. Ведь ни для кого не секрет, что как бы часто не обновлялись антивирусные базы, новые образцы вирусов появляются во много раз чаще. Компания Symantec постоянно ведет большое количество разработок в части технологий эвристического и поведенческого анализа для повышения уровня детектирования, результаты данного теста являются лучшей тому демонстрацией. Однако данные разработки ведутся, в первую очередь, в ключе исключения возможных ложных срабатываний, что является даже более важным, чем высокий уровень детектирования. Показанный продуктами Norton 2009 высокий уровень эвристического определения вредоносного ПО при самом низком уровне ложных срабатываний – это хорошее тому подтверждение».

Сергей Уласень, начальник отдела разработки антивирусного ядра компании «ВирусБлокАда»:

«Как и в предыдущем тестировании, комплекс VBA32 попал в категорию самых сбалансированных антивирусов, в которых сигнатурное и эвристическое детектирование отработали на хорошем уровне. При этом количество ложных срабатываний оказалось невелико. Эвристический анализатор, разрабатываемый нашими специалистами, давно зарекомендовал себя как надежное средство проактивной защиты наших пользователей, а алгоритмы поведенческой эвристики, используемые нами, отвечают современным требованиям, выставляемым к антивирусной индустрии».

[/cut]

Прикрепления: 0871852.png (19.9 Kb) · 4714569.png (12.6 Kb) · 2308393.png (13.7 Kb) · 9600640.png (13.2 Kb) · 5172626.png (95.8 Kb) · 9933994.png (16.4 Kb) · 8462395.png (143.9 Kb) · 7288037.png (14.7 Kb) · 6255253.png (18.8 Kb) · 0443820.png (131.8 Kb)

Дата: Суббота, 01.08.2009, 21:45 | Сообщение # 5

Уважаемый

Сообщений: 5542

Показать медали

Тест самозащиты антивирусов

В данном тесте изучались возможности самозащиты антивирусов от возможных атак под операционной системой Windows XP SP2 на следующих уровнях:

1. Изменение разрешений на доступ к файлам и ключам реестра.
2. Модификация/удаление модулей.
3. Удаление антивирусных баз.
4. Модификация/удаление значимых ключей реестра.
5. Завершение процессов.
6. Модификация процессов/кода.
7. Выгрузка драйверов.

[cut]

Используя различные методы, в том числе социальную инженерию, можно без труда добиться от интернет-пользователя запуска неизвестной программы или перехода по ссылке на зараженный веб-сайт. В случае заражения, не редко случается, что вредоносная программа нарушает функционирование антивирусного продукта, с целью не дать возможность антивирусу получить обновление сигнатур и возможность себя обнаружить. Пользователь если и догадается о причинах "смерти" своего антивируса, то остается абсолютно беззащитным.

В таких условиях современные антивирусные продукты должны уметь надежно себя защищать, т.е. обладать самозащитой. Это позволит им выстоять в случае наиболее сложных атак, когда вредоносные программы пытаются различными методами нарушить их работу, и далее удалить инфекцию штатными средствами, например, после очередного обновления антивирусных баз или после обращения в техническую поддержку.

В данном тесте изучались возможности самозащиты антивирусных продуктов от возможных атак под операционной системой Windows XP SP3 с правами локального администратора на следующих уровнях:

Результаты тестирования

[table][tr][td]

[/td][td]Dr.Web Security Space 5.0 (100%)[/td][/tr][tr][td]

[/td][td]Outpost Security Suite Pro 2009 (96%)
Kaspersky Internet Security 2009 (93%)
Norton Internet Security 2009 (89%)
Avast! 4 Professional Edition 4.8 (87%)
VBA32 Personal 3.12 (80%)[/td][/tr][tr][td]

[/td][td]ZoneAlarm Security Suite 8.0 (78%)
Panda Internet Security 2009 (62%)
[/td][/tr][tr][td]

[/td][td]F-Secure Internet Security 2009 (58%)
McAfee Internet Security 2009 (55%)
Microsoft Windows Live OneCare 2.5 (54%)
Trend Micro Internet Security 2009 (51%)
Avira Premium Security Suite 8.1 (50%)
ESET Smart Security 3.0 (49%)
BitDefender Internet Security 2009 (49%)[/td][/tr][tr][td]Тест
провален
[/td][td]Sophos Anti-Virus 7.6 (33%)[/td][/tr][/table]

Введение

В тестировании принимали участие 16 наиболее популярных антивирусных программ, среди которых:

* Avast! 4 Professional Edition 4.8 (build 4.8.1229)
* Microsoft Windows Live OneCare 2.5.2900.20
* Avira Premium Security Suite 8.1.0.245
* BitDefender Internet Security 2009 (build 12.0.10)
* Dr.Web Security Space 5.0.0.12171
* ESET Smart Security 3.0.672.0
* F-Secure Internet Security 2009 (9.00 build 148)
* Kaspersky Internet Security 2009 (8.0.0.454)
* McAfee Internet Security 2009
* Norton Internet Security 2009 (16.0.0.125)
* Outpost Security Suite Pro 2009 (6.5.2358.316.0607)
* Panda Internet Security 2009 (build 14.00.00)
* Sophos Anti-Virus 7.6.2
* Trend Micro Internet Security 2009 (17.0.1224)
* VBA32 Personal (3.12.8.1)
* ZoneAlarm Security Suite 8.0.059.000

Тест самозащиты антивирусов проводился под операционной системой Windows XP SP3 с правами администратора по следующим группам атак:

Проверка самозащиты антивирусов по каждому из 38 параметров проводилась четко в соответствии с определенной методологией тестирования.

Итоговые результаты теста самозащиты антивирусов

Таблица 1: Итоговые результаты теста самозащиты антивирусов и полученные награды

Как видно из таблицы 1, абсолютным лидером в самозащите является новейший Dr.Web Security Space 5.0, получивший самую высокую для данного теста награду Platinum Self-Protection Award. Этот антивирус отразил все 100% моделируемых атак, набрав 38 баллов.
Очень высокие результаты в самозащите продемонстрировала пятерка Outpost Security Suite Pro 2009, Kaspersky Internet Security, Norton Internet Security, Avast! 4 Professional Edition и VBA32 Personal, которые с результатами от 96 до 80% получили награду Gold Self-Protection Award. Если Kaspersky Internet Security золотая награда присуждается уже второй раз, то для Norton Internet Security, Avast! 4 Professional Edition и VBA32 Personal это значимый шаг вперед (ранее у них в активе не было такой высокой награды).

Стоит отметить, что молодой продукт компании Agnitum - Outpost Security Suite Pro, ранее не участвующий в подобных тестах у нас, сразу же отлично показал себя, завоевав золотую награду и опередив многих именитых конкурентов.

Очень достойные результаты показали также ZoneAlarm Security Suite и Panda Internet Security, получившие награду Silver Self-Protection Award.

Еще 7 продуктов: F-Secure Internet Security, McAfee Internet Security, Microsoft Windows Live OneCare, Trend Micro Internet Security, Avira Premium Security Suite, ESET Smart Security и BitDefender Internet Security показали удовлетворительный результат и получили награду Bronze Self-Protection Award.

Анализ изменений в сравнении с предыдущими тестами

Мы решили проанализировать динамику улучшения самозащиты антивирусных программ за 2007-2008 годы. Для этого к результатам этого теста были добавлены результаты теста от августа 2007 год.

Таким образом, можно проследить изменения в самозащите для каждого протестированного продукта (за исключением Outpost Security Suite Pro, который не участвовал в предыдущих тестах) - см. рисунок 1.

Рисунок 1: Динамика изменения уровня самозащиты антивирусных программ

Как видно из графика, практически все вендоры за прошедшие полтора года улучшили самозащиту своих продуктов. Исключение составили только Kaspersky Internet Security и F-Secure Internet Security, чья самозащита незначительно снизилась. Однако уровень самозащиты Kaspersky Internet Security попрежнему выше, чем у многих конкурентов.

Динамика результатов теста позывает, что наибольшая работа по улучшению этого компонента защиты была проделана компаниями «Доктор Веб», Agnitum (Outpost), Avast, Symantec, «ВирусБлокАда» и Check Point (ZoneAlarm) – отличная работа!

Несмотря на общий прогресс в самозащите, результаты многих антивирусных продуктов могли бы быть еще выше, если бы производители подходили к этому вопросу более серьезно. Практически типична ситуация, когда у тестируемых продуктов отсутствовала защиты у отдельных компонентов, за что согласно методологии они сразу же получали (+/-) и теряли 0.5 балла.

Подробные результаты теста самозащиты антивирусов

В таблице 2 представлен расчет количества баллов для каждого антивирусного продукта по числу отраженных и пропущенных его самозащитой атак в ходе теста.

Таблица 2: Количество успешно отраженных и пропущенных атак, суммарный расчет баллов

1. Самозащита продукта сработала полностью успешно.
2. Самозащита от этого вида атаки частично отсутствует, но основной функционал при этом сохранился (автоматически восстановился).
3. Самозащита от этого вида атаки полностью отсутствует или есть, но основной функционал выведен из строя.

В качестве дополнения представим отдельные результаты тестирования самозащиты антивирусов по отдельным группам атак.

Таблица 3: Итоговые результаты тестирования (системный уровень)

Таблица 4: Итоговые результаты тестирования (завершение процессов)

Таблица 5: Итоговые результаты тестирования (модификация процессов)

Таблица 6: Итоговые результаты тестирования (защита драйверов)

Если говорить в целом, то как видно из таблиц 3-6, по большинству категорий атак результаты антивирусов стали более ровными. Исключение составляет только системный уровень, пожалуй наиболее важный, где провалилась большая половина продуктов.

Подводя итоги теста, можно констатировать, что восемь антивирусных продуктов, получивших награды от серебряной и выше имеют приличную самозащиту. Из них действительно надежно противостоять атакам могут только Dr.Web Security Space, Outpost Security Suite Pro, Kaspersky Internet Security, Norton Internet Security, Avast! 4 Professional Edition и VBA32 Personal.

Чтобы ознакомиться с подробными результатами теста самозащиты конкретного антивируса и убедиться в правильности итоговых расчетов, рекомендуем Вам скачать результаты этого теста в формате Microsoft Excel или PDF.

Василий Бердников, эксперт Anti-Malware.ru так комментирует результаты теста:

«Как показывает практика, значительный процент вредоносных программ содержит в себе функционал борьбы с антивирусными программами: завершение процессов, блокировка/удаление компонентов и ключей реестра. В большинстве случаев атака идет целенаправленно – вредоносное приложение имеет список имен процессов, файлов/расширений файлов, которые следует завершить/удалить/заблокировать открытие. Чтобы пользователь не остался один на один с активным заражением, антивирусные программы должно уметь себя защищать. Но стоит также отметить, что наибольшая эффективность самозащиты проявляется вкупе с проактивными механизмами защиты. Очевидно, что самозащита сводится к защите от атак из пользовательского режима, но никак не сможет противостоять изощренным атакам из режима ядра – именно для блокировки возможности такой атаки и необходимы проактивные технологии (например, HIPS). Поэтому становится все больше вредоносных программ, использующий драйвер для борьбы с антивирусным софтом, или же открытие тома для прямой модификации (порчи) файлов и ключей антивируса».

Комментарии партнеров Anti-Malware.ru

Кирилл Керценбаум, Технический Консультант представительства Symantec в России и СНГ:

«Результаты данного теста свидетельствуют о том, что продукты Norton по-прежнему обладают одним из лучших в отрасли уровнем защиты всех компонент системы. Без этого немыслима работа современного комплекса защиты для ПК: каким бы высоким уровнем детекта не обладал антивирусный продукт, стоит вредоносной программе его выключить и дальше на ПК можно выполнять практически любые действия. Стоит также напомнить, что технологии защиты Symantec Tamper Protection и SymProtect, используемые как в персональных продуктах Norton, так и в корпоративных продуктах Symantec, являются давно зарекомендовавшими себя технологиями защиты и развиваются очень давно. Также очень показателен тот факт, что значительная работа по увеличению производительности продуктов, проведенная в комплексах защиты Norton 2009, никак не сказалась на уровне защиты компонент системы, а только улучшила его».

Сергей Уласень, начальник отдела разработки антивирусного ядра компании «ВирусБлокАда»:

«Тенденции в развитии вредоносного ПО указывают на то, что самозащита программ антивирусной безопасности является важным аспектом защищенности пользователей. Мы уделяем данному вопросу повышенное внимание, о чем говорит получение серебряной награды в прошлом тестировании и золотой в данном. Также в начале февраля ожидается выпуск версии 3.12.8.11, в которой будет значительно улучшен механизм защиты процесса от завершения и модификации, а в текущей версии 3.12.9 alpha уже реализована не только защита от модификации реестра и файловой системы, но и защита от восстановления перехвата».

Николай Терещенко, технический директор компании «Алатус»:

«2009 год в антивирусной отрасли начинается с позитивных новостей. Сравнение показателей антивирусов августа 2007 и января 2009 демонстрируют нам положительную динамику совершенствования средств самозащиты. Должен отметить, что данный функционал имеет очень большое значение, т.к. антивирус должен иметь адекватную защиту не только от неквалифицированных действий самого пользователя, но и защиту от вредоносного программного обеспечения, пытающегося деактивировать антивирус при заражении рабочей станции. Хочется отметить квалификацию разработчиков Dr.Web, которые учли все недочеты антивируса и смогли довести самозащиту новых версий своих продуктов до 100%».

Алексей Белкин, руководитель отдела аналитики и постановки задач компании Agnitum, комментирует:

«Проведенное Anti-Malware.ru тестирование самозащиты комплексных продуктов безопасности производит впечатление одного из лучших подобных обзоров. К сожалению, в тесте участвовала не совсем последняя версия Outpost, выпущенная в самом конце 2008 года, но второе место продукта в тесте даже для предыдущей версии в результатах этого тестирования показывает, какое внимание мы уделяем борьбе с новыми высокотехнологичными угрозами».

«В целом проведенное тестирование очень показательно. Лидерами теста оказались продукты именно тех компаний, которые активно внедряют инновационные методы противостояния современным способам обхода защиты. В конечном итоге от этого тестирования выиграют пользователи, которые выберут более совершенные и надежные версии продуктов».

[/cut]

Прикрепления: 1525674.png (308.9 Kb) · 5225370.gif (9.9 Kb) · 4669481.png (369.4 Kb) · 7656565.png (197.4 Kb) · 7979985.png (202.6 Kb) · 9123172.png (200.1 Kb) · 1102952.png (197.7 Kb)

Дата: Суббота, 01.08.2009, 22:09 | Сообщение # 6

Уважаемый

Сообщений: 5542

Показать медали

Тест антивирусов на лечение активного заражения

В данном тесте изучались способности популярных антивирусных программ в лечении активного заражения, когда вредоносная программа уже была ранее запущена и установлена на компьютере и более того, может препятствовать детектированию и удалению со стороны различных антивирусных продуктов.

[cut]

Посмотрите внимательно на результаты любого теста антивирусных продуктов на качество защиты. Как правило, в них вы не увидите цифры 100%. Иногда самые лучшие антивирусы не в состоянии обнаружить ту или иную вредоносную программу в момент, когда она поступает на компьютер пользователя. И удивляться тут нечему – ведь рост количества вирусов и скорость их распространения в последние годы напоминают снежную лавину.

Однако не стоит поддаваться панике – современные антивирусные программы обладают массой инструментов для борьбы с вредоносным ПО даже в том случае, если программа все же сумела внедриться на ваш компьютер. При этом надо учитывать, что свое присутствие в системе вредоносные программы искусно скрывают, что еще более усложняет задачу.

Уже не в первый раз портал Anti-Malware.ru проверяет антивирусы на способность бороться с вредоносным ПО именно в такой ситуации – когда программа сумела проникнуть в вашу систему и начала действовать, скрывая следы своей активности. Сможет ли антивирус обнаружить и корректно обезвредить вредоносную программу в такой ситуации, не нарушив работоспособность операционной системы? Данный тест продемонстрирует, как справляются с этой непростой задачей популярные антивирусные продукты.

[table][tr][td]

[/td][td]Dr.Web Anti-Virus 4.44 (100%)[/td][/tr][tr][td]

[/td][td]Kaspersky Anti-Virus 2009 (80%)
Avast! Professional Edition 4.8 (80%)
[/td][/tr][tr][td]

[/td][td]Agnitum Outpost Antivirus Pro 6.5 (53%)
Norton AntiVirus 2009 (53%)
Panda Antivirus 2009 (40%)
[/td][/tr][tr][td]Тест
провален
[/td][td]BitDefender Antivirus 2009 (33%)
Trend Micro Antivirus plus Antispyware 2008 (33%)
McAfee VirusScan 2008 (33%)
F-Secure Anti-Virus 2009 (33%)
AVG Anti-Virus & Anti-Spyware 8.0 (33%)
Avira AntiVir PE Premium 8.1 (20%)
Sophos Anti-Virus 7.3 (33%)
Eset NOD32 Antivirus 3.0 (0%)
VBA32 Antivirus 3.12 (0%)[/td][/tr][/table]

Введение

В тесте принимали участие антивирусные продукты 15 производителей, среди которых:

Тест проводился на следующих вредоносных программах (названия указаны по классификации «Лаборатории Касперского»), которые были выбраны в соответствии с определенными требованиями:

Проверка возможности лечения активного заражения антивирусными программами проводилась четко в соответствии с определенной методологией.

Сравнение антивирусов по возможности лечения

Таблица 1: Результаты лечения активного заражения различными антивирусами (начало)

Таблица 2: Результаты лечения активного заражения различными антивирусами (продолжение)

Таблица 3: Результаты лечения активного заражения различными антивирусами (окончание)

Напомним, что в соответствии с используемой схемой анализа результатов и награждения, (+) означает, что антивирус успешно устранил активное заражение системы, при этом работоспособность системы была восстановлена (или не нарушена). (-) означает, что антивирус не смог устранить активное заражение или при лечении была серьезно нарушена работоспособность системы.

Как видно из таблиц 1-3 самым сложным для удаления оказался вирус Virus.Win32.Rustock.a, который покорился лишь Антивирусу Dr.Web и Антивирусу Касперского.

Далее по сложности для удаления следуют три троянских программы – Trojan-Proxy.Win32.Saturn.cu, Trojan.Win32.Pakes.cuh и Trojan.Win32.Small.yc, а также два руткита – Rootkit.Win32.Agent.ea и Rootkit.Win32.Podnuha.a. Их смогли удалить всего три антивируса, причем оба руткита поддались только Антивирусу Dr.Web и Avast.

Не менее сложным для удаления оказался червь Email-Worm.Win32.Scano.bd, который смогли корректно удалить лишь три антивирусных продукта - Антивирус Dr.Web, Антивирус Касперского и Norton AntiVirus. Интересно, что данное семейство червей участвовало еще в нашем первом подобном тесте и за полтора года ситуация ничуть не улучшилась.

Троянская программа-шпион Backdoor.Win32.Sinowal.ce, модифицирующая главную загрузочную запись (MBR) жесткого диска, покорилась четырем антивирусам, среди которых Avast, Антивирус Dr.Web, Антивирус Касперского и McAfee.

Итоговые результаты теста и награды

Таблица 4: Итоговые результаты теста и награды

В итоге только 6 из 15 протестированных антивирусов показали достойные результаты по лечению активного заражения.

Итак, лучшим оказался Антивирус Dr.Web, который корректно вылечил систему во всех 15 случаях. Это первый антивирус, который смог получить награду Platinum Malware Treatment Award. Отличные результаты показали Антивирус Касперского и Avast!, заслужившие награду Gold Malware Treatment Award.

Антивирусы Outpost Antivirus Pro, Norton AntiVirus и Panda Antivirus также показали хорошие результаты и заслуженно получили награду Bronze Malware Treatment Award. Увы, результаты тестирования других антивирусов неудовлетворительны, и их нельзя считать эффективными для лечения зараженного компьютера.

Отдельно необходимо отметить неожиданно высокие результаты антивируса Avast!, который до этого отнюдь не блистал в лечении сложных заражений, а также удачный дебют программы Outpost Antivirus Pro.

Чтобы ознакомиться с подробными результатами теста и убедиться в правильности итоговых расчетов, вы можете скачать результаты теста в формате Microsoft Excel или PDF.

Анализ изменений в сравнении с предыдущими тестами

Мы решили проанализировать результаты всех наших тестов на лечение активного заражения за 2007-2008 годы. Для этого к результатам этого теста были добавлены результаты февральского и сентябрьского тестов за 2007 год.
Таким образом, можно проследить изменения в эффективности лечения сложных случаев заражения для каждого протестированного продукта (за исключением Outpost Antivirus, который не участвовал в предыдущих тестах) - см. рисунок 1.

Рисунок 1: Динамика изменения возможностей антивирусов по лечению активного заражения

Рисунок 2: Динамика изменения возможностей антивирусов по лечению активного заражения

Как видно из рисунков 1-2, устойчивую положительную динамику от теста к тесту демонстрируют лишь Avast, Антивирус Касперского и Антивирус DrWeb. Результаты других антивирусов или балансируют на неудовлетворительном уровне или, что хуже для пользователей, снижаются.

Василий Бердников, эксперт Anti-Malware.ru и координатор данного теста, так комментирует его результаты:

«Количество вредоносных программ, которые используют активную защиту от обнаружения и удаления, постоянно увеличивается. Это связано с тем, что для вирусописателей очень важно, чтобы их детища были незаметными для пользователя и как можно долго функционировали на заражённой системе, выполняя в это время свои вредоносные функции. Если проследить последние тенденции развития таких вредоносных программ, то налицо постепенный отказ вирусописателей от маскировки malware-файлов на диске и переход к блокировке попыток чтения или получения оригинального содержимого файла вредоносной программы антивирусами».

«Если ранее маскировка от антивирусов и пользователя в основном достигалась подменой адресов функций в таблице системных сервисов, то теперь более распространены сложные для обнаружения перехваты функций, которые основаны на модификации машинного кода функций. Также зачастую используется перехват IRP-обработчиков драйвера диска или файловой системы. Разработчики антивирусов должны повышать приоритет задач, направленных на противодействие новым типам вредоносных программ, которые находятся в системе в активном состоянии, иначе велик риск серьезного технологического отставания в своем развитии».

Комментарии партнеров Anti-Malware.ru

Александр Гостев, руководитель группы глобальных исследований и аналитики «Лаборатории Касперского»:

«Способность антивирусной программы лечить зараженные компьютеры была основой и смыслом самого понятия "антивирус" еще в начале 90-х годов прошлого века, с момента зарождения индустрии ИБ. Актуальность и важность этого фактора с годами только возрастала. Современный антивирус должен быть не только средством профилактики, инструментом предотвращения заражения, но и удобным и эффективным орудием устранения активного заражения, на случай, если защитные технологии все-таки оказались бессильны. Зачастую, производители антивирусных программ не уделяют достаточного внимания вопросу функционирования антивируса на зараженном компьютере – установке антивируса и лечению зараженных файлов, что в случае заражения оборачивается для пользователя единственным выходом - форматированием жесткого диска».

«Проведенный Anti-Malware тест, в котором были использованы наиболее технологически сложные вредоносные программы 2008 года, наглядно демонстрирует разницу в подходах к пониманию антивирусной защиты у разных вендоров. Недостаточно иметь детектирование неактивного вредоносного кода - известные инциденты с такими вредоносными программами как Rustock и Sinowal выявили ущербность подобного подхода. Мы рады видеть, что продукт ЛК оказался в числе безусловных лидеров данного теста. Это означает, что мы не только верно ощущаем баланс между проактивными технологиями, сигнатурным детектированием и способностью лечить зараженный компьютер, с учетом которого создается современный антивирус, но и поддерживаем развитие всех составляющих антивирусного продукта на высочайшем уровне».

Сергей Уласень, начальник отдела разработки антивирусного ядра компании «ВирусБлокАда»:

«В качестве одного из возможных путей развития антивирусного ПО нами был выбран путь классического антивируса. Вследствие этого, основной упор делался на качество детектирования и количество поддерживаемых форматов данных. Антируткит-технологии в антивирусе VBA32 начали развиваться сравнительно недавно. Так уже сейчас активно разрабатывается утилита VBA32 AntiRootkit, которая пока в основном используется службой технической поддержки компании для оказания помощи пользователям в борьбе с malware. Также хочется отметить, что т.н. антируткит-технологии развиваются и как часть антивирусного ядра, работу которых пользователи смогут увидеть в следующих версиях антивируса».

Николай Терещенко, технический директор компании «Алатус»:

«Если взглянуть на результаты данного теста, то можно сильно разочароваться в антивирусах, т.к. большинство из них не могут справиться с активным заражением, причем некоторые, просто не умеют этого делать, вызывая в итоге падение системы. Однако сравнивая результаты тестов Anti-Malware.ru на активное заражение между собой, можно заметить, что способности антивирусов к лечению сложных заражений практически не развиваются. Исключение составляют только несколько вендоров. Всем производителям, не прошедшим тестирование, я бы рекомендовал обратить пристальное внимание на необходимость корректной реализации функционала по лечению активного заражения».

Михаил Орешин, директор по региональному развитию компании «Поликом Про»:

«Результаты тестов выглядят удручающими: большинство продуктов не в состоянии противостоять активному заражению. Но активное заражение – это все-таки экстремальный случай, встречающийся не столь часто. На мой взгляд, важней понять, как ведет себя продукт, если он пропустил код, и каким образом потом, когда пришло обновление, пытается исправить положение. Будут результаты такого теста аналогичны проведенному или нет – можно только догадываться. Домашним пользователям можно посоветовать посмотреть на эту табличку и сделать выводы. А корпоративным Заказчикам я бы порекомендовал задуматься о скорейшем внедрении технологии NAC (Network Access Control). Это, конечно, не панацея от всех бед, но результат от контроля доступа в сеть и принудительного соблюдения политик безопасности можно будет оценить достаточно оперативно».

Другие комментарии

Алексей Белкин, руководитель отдела постановки задач компании Agnitum:

«Мы благодарны лаборатории Anti-Malware.ru за объективно проведенный на высоком уровне тест антивирусов на лечение активного заражения. Outpost Antivirus Pro показал достойный результат, и, если бы не досадная ошибка при удалении троянца, продукт мог бы, по нашим оценкам, занять ведущую строчку в рейтинге. Мы поняли причины неполадки и уже принимаем меры к ее устранению. К сожалению, формат данного отдельного теста не предусматривает использование проактивной защиты Outpost, однако хотим напомнить, что при активном превентивном механизме вероятность заражения любым из использованных в тесте «вирусов» стремилась бы к нулю».

[/cut]

Прикрепления: 0400197.png (229.7 Kb) · 7920476.png (217.4 Kb) · 1953341.png (208.1 Kb) · 8227102.png (232.8 Kb) · 2976438.gif (10.2 Kb) · 0336901.gif (15.3 Kb)

Дата: Суббота, 01.08.2009, 22:30 | Сообщение # 7

Уважаемый

Сообщений: 5542

Показать медали

Тест антивирусов на быстродействие

Наряду с качеством защиты одними из самых важных качеств антивируса с точки зрения большинства пользователей являются его быстродействие и ресурсоемкость. Результаты данного теста дают ясное представление о скорости работы и потребленении системных ресурсов антивирусными программами.
[cut]

Наряду с качеством защиты одними из самых важных параметров антивируса с точки зрения большинства домашних пользователей являются его быстродействие и ресурсоемкость.

И если качество защиты оценить самостоятельно довольно трудно, то замедление загрузки Windows и других программ, «тормоза» при копировании файлов и загрузке веб-страниц вы заметите с первых же минут работы. Предел мечтаний обычного пользователя – не только надежный, но и практически незаметный антивирус!

Какая же антивирусная программа оказывает наименьшее влияние на осуществление пользователем типовых операций и потребляет минимальное количество системных ресурсов? Наш новый тест Anti-Malware.ru поможет ответить на этот вопрос.

В процессе тестирования мы измерили и сравнили параметры, которые оказывают непосредственное влияние на восприятие пользователем скорости работы антивируса, а именно:

1. Время загрузки операционной системы.
2. Размер потребляемой антивирусом памяти и уровень загрузки процессора.
3. Скорость копирования файлов (оценка быстродействия антивирусного монитора).
4. Скорость сканирования (оценка быстродействия антивирусного сканера).
5. Скорость запуска пяти распространенных офисных программ.
6. Скорость загрузки файла из Интернет.

Полученные результаты дают ясное представление о быстродействии протестированных антивирусных программ. Сопоставив эти данные с результатами других тестов Anti-Malware.ru, любой пользователь сможет сделать осознанный выбор в пользу того или иного антивирусного решения.

Введение

В тестировании участвовали следующие антивирусные программы:

BitDefender Anti-Virus 2008/2009 и Microsoft Windows Live OneCare 2.0 были исключены из тестирования ввиду отсутствия возможности их установки на тестовый компьютер (некорректная работа инсталлятора при работе через прокси-сервер).

Тест проводился на машине конфигурации АMD Athlon 64 / 1800 МГц 3000+ / 1024 Мб под управлением ОС Windows XP SP3 в период с 20 июля по 10 августа 2008 года. Подробное описание тестовой платформы, установленного ПО и используемых для теста специальных утилит смотрите в описании методологии.

Для сохранения образов системы в состоянии до установки антивирусов и после установки каждого антивируса использовалась программа Acronis True Image, предоставленная Aflex Software, представителем компаний Acronis, Parallels и ASPLinux в России и СНГ.

Для исключения ошибок все измерения в данном тесте проводились последовательно пять раз, с возвратом в первоначальное состояние после каждого измерения. Полученные результаты усреднялись за вычетом граничных значений (максимального и минимального). Подробное описание всех этапов тестирования представлено в методологии.

Влияние антивирусов на время загрузки операционной системы

Использование антивирусной программы, как правило, увеличивает время загрузки операционной системы. Это является нежелательным эффектом для пользователя, поэтому чем меньше влияет антивирус на загрузку ОС, тем лучше. Результаты измерения этого параметра представлены в таблице 1, а также на рисунках 1 и 2.

Таблица 1: Влияние антивируса на время загрузки операционной системы

Рисунок 1: Время загрузки операционной системы

На рисунке 2 время загрузки операционной системы пересчитано в проценты относительно эталонной системы (до установки антивируса).

Рисунок 2: Замедление загрузки операционной системы относительно эталона

Как видно из рисунков 1 и 2, установка любого антивируса существенным образом сказывается на скорости загрузки операционной системы. Если без антивируса тестовый компьютер загружается около 30 секунд, то самые лучшие по этому показателю антивирусы - Avira, VirusBlokAda, Eset и Avast - увеличивают это время на 30-40%. Худшие же по этому показателю антивирусы, такие как Norton и Dr.Web увеличивают время загрузки более чем на 250%.

В соответствии с выработанными для теста критериями награждения самые лучшие антивирусы по минимальному влиянию на скорость загрузки операционной системы удостоены специальных наград (см. таблицу 2).

Таблица 2: Лучшие антивирусы по степени влияния на скорость загрузки операционной системы

Награды Platinum Performance Award: System Startup не удостоился ни один антивирус, так как все тестируемые продукты увеличивают время загрузки операционной системы более чем на 20% относительно эталона.

Антивирусы Avira, VirusBlokAda, Eset и Avast показали минимальное влияние на скорость загрузки операционной системы и удостоены высокой награды Gold Performance Award: System Startup.

Чуть хуже показала себя в тесте следующую группа антивирусов - Trend Micro, Panda Antivirus, Outpost 2009 и Антивирус Касперского, удостоенных награды Silver Performance: Award System Startup. Результаты F-Secure, Sophos и McAfee были признаны удовлетворительными, им присуждена награда Bronze Performance Award: System Startup.

Сравнение ресурсоемкости антивирусов

Известно, что чем меньше оперативной памяти необходимо для нормальной работы программы, тем лучше. В ходе теста удалось выяснить, что использование антивирусами оперативной памяти в состоянии покоя может отличаться на десятки мегабайт. Результаты измерений доступной оперативной памяти в системе с установленным антивирусом представлены на рисунке 3.

Рисунок 3: Доступная оперативная память в состоянии покоя

Таким образом, минимальное количество оперативной памяти потребляют антивирусы Avast, Avira и Антивирус Касперского. В состоянии покоя им достаточно от 10 до 30 Мб. Самое большое количество оперативной памяти в состоянии покоя потребляют антивирусы McAfee, Dr.Web, Norton и Trend Micro.

Интересный факт: Outpost 2009, Dr.Web, Norton и Panda более активно, чем другие, используют System Cache. Подробные данные потребления оперативной памяти и ресурсов процессора приведены в подробном отчете о тестировании.

Cравнение скорости работы антивирусов в режиме реального времени

Для оценки быстродействия антивируса важное значение имеет измерение скорости работы антивирусного монитора (on-access сканер). Известно, что при запуске, копировании, изменении или записи на жесткий диск файлы обязательно подвергаются проверке антивирусным монитором. Понятно, что «вмешательство» антивируса во все без исключения файловые операции может заметно замедлять работу системы.

В таблице 3 и на рисунках 4-5 представлено время копировании тестовой коллекции файлов на компьютере с различными антивирусами и задержки относительно системы без антивируса.

Состав тестовой коллекции и процедура измерения времени копирования файлов описаны в методологии тестирования.

Таблица 3: Влияние антивирусов на скорость копирования файлов

Рисунок 4: Время копирования коллекции чистых файлов

На рисунке 5 время копирования тестовой коллекции файлов пересчитано в проценты замедления относительно 6 минут 30 секунд (время копирования той же коллекции на эталонной системе, то есть до установки антивируса).

Рисунок 5: Замедление копирования коллекции чистых файлов

В соответствии с выработанной для теста схемой награждения, лучшие антивирусы по скорости работы антивирусного монитора удостоены специальных наград (см. таблицу 4).

Таблица 4: Самые быстрые антивирусные мониторы (on-access сканеры)

По итогам тестирования непревзойденной скоростью обладает антивирусный монитор Sophos (замедление копирования тестовой коллекции менее чем на 5% по сравнению с эталоном). Этот антивирус получает награду Platinum Performance: Award On-Access Scanning. Eset и Avira (замедление менее 10%) также получают очень высокую оценку и награду Gold Performance Award: On-Access Scanning.

Очень хорошую скорость проверки в режиме реального времени показали антивирусы Panda, Trend Micro, Dr.Web, Антивирус Касперского, Avast, Norton и Outpost 2009, получившие награду Silver Performance Award: On-Access Scanning. Эти продукты замедляют копирование тестовой коллекции на 10-17%. Антивирус AVG (показатель 22%) получил награду Bronze Performance Award: On-Access Scanning.

Стоит отметить существенное улучшение антивирусного монитора Outpost 2009 по сравнению с предыдущей версией. Как видно из таблицы 3, замедление скорости копирования относительно эталона у этого продукта уменьшилось более чем в 2 раза.

Сравнение скорости работы антивирусных сканеров по требованию

По аналогии с тестированием антивирусных мониторов, описанным выше, измерялось также время, затраченное антивирусами на выполнение задачи по сканированию файловой коллекции. В этом случае эталонное время отсутствовало и антивирусы сравнивались только между собой.

В таблице 5 и на рисунке 6 представлено время сканирования коллекции файлов тестируемыми антивирусами.

Таблица 5: Время сканирования файловой коллекции

Рисунок 6: Время сканирования коллекции чистых файлов

Как видно из рисунка 6, скорость сканирования одной и той же коллекции файлов тем или иным антивирусом может отличаться более чем в 4 раза. Время сканирования для лучших по этому показателю программ составило от 1,5 до 2 минут, в то время как время худших приближается к 7 минутам.

В соответствии с выработанными для теста критериями награждения лучшие антивирусы по скорости работы антивирусного сканера удостоены специальных наград (см. таблицу 6). Стоит пояснить, что ранжирование результатов происходило относительно самого лучшего времени, показанного антивирусом Panda.

Таблица 6: Самые быстрые антивирусные сканеры по требованию (on-demand сканеры)

Высочайшую скорость сканирования показал антивирус Panda – единственный продукт, удостоенный награды Platinum Performance Award: On-Demand Scanning.

Очень высокую скорость показали антивирусы Avira, Eset и Norton, которые получили награду Gold Performance Award: On-Demand Scanning. Их отставание от лидера не превышает 30 секунд.

Хорошую скорость показали также антивирусы Trend Micro и Avast, а также Sophos, Антивирус Касперского, F-Secure и Outpost 2009, получившие награды Silver Performance Award: On-Demand Scanning и Bronze Performance Award: On-Demand Scanning соответственно. Их отставание от лучшего результата составило от 37 до 107 секунд.

В качестве дополнения к тесту проводилось повторное сканирование тестовой коллекции файлов. Это позволило определить, какие из антивирусов используют алгоритмы оптимизации повторных проверок (например, за счет пропуска ранее проверенных файлов).

В результате оказалось, что только у трех тестируемых антивирусов существенно уменьшилось время сканирования – это Антивирус Касперского, Outpost 2009 и VirusBlokAda (см. рисунок 7). Этот факт свидетельствует, что во многих случаях время сканирования файлов на компьютере с этими антивирусами может быть меньше за счет используемой в них оптимизации.

Рисунок 7: Время повторного сканирования коллекции чистых файлов

Дополнительно было измерено среднее потребление оперативной памяти и ресурсов процессора во время запуска задачи сканирования по требованию. Эти данные приведены в подробном отчете о тестировании.

Сравнение скорости антивирусов при работе с офисными программами

Еще одной важной характеристикой скорости работы антивируса является его влияние на работу прикладных программ, с которыми часто работает пользователь. В качестве таких программ мы выбрали пять: Internet Explorer 7.0, Microsoft Office Word 2003, Microsoft Outlook 2003, Adobe Acrobat Reader 8.1 и Adobe Photoshop C3 Extended 10.0. Все эти программы широко используются, а некоторые из них являются довольно ресурсоемкими, поэтому влияние антивируса на их работу может быть довольно заметным.

В соответствии с методологией теста было измерено время запуска каждой программы в системе с уставленными антивирусными продуктами, результаты в секундах приведены в таблице 7.

Таблица 7: Время запуска офисных программ в системе с установленным антивирусом (секунды)

На рисунках 8-12 представлены результаты замедления запуска офисных приложений относительно системы без антивируса. Из графиков видно, что время запуска выбранных нами программ часто увеличивается в несколько раз.

Рисунки 8-12: Время запуска офисных программ в системе с установленным антивирусом

Для определения лучших антивирусов по скорости работы с офисными программами была использована десятибалльная система, в которой каждый антивирус получал определенный балл за влияние на запуск каждой указанной офисной программы. При этом за десять баллов принималось время запуска офисной программы в эталонной системе, а за ноль баллов – худший показанный в тесте результат. Таким образом, максимально возможный балл равен пятидесяти (нулевая задержка запуска всех пяти программ).

Суммы баллов и полученные антивирусами награды за эту часть теста представлены в таблице 8. Полный расчет баллов и критерии присуждения наград можно посмотреть в подробном отчете о тестировании и описании схемы награждения.

Таблица 8: Самые быстрые антивирусы для работы с офисными программами

Практически нулевой уровень замедления при запуске офисных программ продемонстрировал антивирус Avira. Он стал единственным продуктом, удостоенным награды Platinum Performance Award: Office Software.

Незначительное замедление запуска офисных программ продемонстрировали антивирусы Eset, VirusBlokAda и Panda – они получили награду Gold Performance Award: Office Software.

Хорошие результаты показали Dr.Web, Avast, AVG, Outpost 2009, Norton, F-Secure и Антивирус Касперского, получившие награды Silver Performance Award: Office Software и Bronze Performance Award: Office Software соответственно. Их влияние на запуск офисных программ не является серьезным.

Сравнение влияния антивирусов на скорость загрузки файлов из Интернет

Антивирусные программы обязательно проверяют данные, загружаемые из Интернет. Это может заметно снизить скорость их передачи из сети, что нежелательно для пользователя. Мы проверили скорость загрузки из Интернет файла размером 200 Мб в системе с установленным антивирусом. Результаты представлены в таблице 9 и на рисунке 13.

Таблица 9: Замедление загрузки файла по протоколу HTTP относительно эталона

Рисунок 13: Время загрузки тестового файла по протоколу HTTP

Как видно из рисунка 13, только три антивируса (Avira, Eset и Kaspersky) как-то влияют на скорость загрузки файла по протоколу HTTP. Связано это с тем, что только у этих трех антивирусов есть проверка HTTP-трафика до сохранения данных на жестком диске. При этом лучший по скорости HTTP-сканер оказался у Антивируса Касперского. Влияние других антивирусов на время загрузки файла крайне незначительно.

Обращаем ваше внимание, что в этом отчете о результатах тестирования опущено много интересных цифр и деталей, которые могут представлять интерес для специалистов антивирусной отрасли. Oзнакомиться с полным отчетом о тестировании.

Комментарии партнеров Anti-Malware.ru

Сергей Уласень, начальник отдела разработки антивирусного ядра ОДО "ВирусБлокАда":

«Один из основополагающих принципов разработки нашего антивируса звучит так: «Программа не должна мешать пользователю в выполнении его повседневных задач». Золотые награды в разделах работы антивируса с офисными приложениями и загрузки операционной системы доказывают, что мы движемся в верном направлении и добиваемся поставленных целей. Также отметим, что версия Vba32 Workstation 3.12.7 beta, принимавшая участие в тестировании, уже вышла в релиз и доступна нашим пользователям как версия 3.12.8».

Кирилл Керценбаум, Технический Консультант представительства Symantec в России и СНГ:

«Результаты теста, проведенного тестовой лабораторией Anti-Malware.Ru еще раз показали высокий уровень сбалансированности технологий продуктов Symantec. Основной задачей, которая ставилась перед разработчиками продуктов Norton 2008, была интеграция новейших технологий защиты от вредоносного ПО без заметного ущерба для производительности ПК в условиях, когда вирусов и других угроз становится все больше, при этом они становятся все сложнее и совершеннее. С выпуска 2008 серии Norton прошел почти год и все это время разработчики продолжали заниматься решением задачи, чтобы несмотря на все эти сложности, продукты Symantec продолжали быть самыми быстрыми и самыми надежными; с этой задачей они справились великолепно и уверен, что продукты Norton 2009, которые, к сожалению, не смогли принять участие в данном тесте, так как их официальный выпуск состоится чуть позже, в следующем тесте непременно займут большинство призовых мест. Если в этом есть сомнение, то с середины сентября 2008 года любой желающий сможет убедиться в этом самостоятельно, попробовав один из новых продуктов по безопасности линейки Norton 2009».

Александр Печников, директор по маркетингу компании «ДиалогНаука»:

«Одно из основных применений антивируса - это его работа в качестве резидентного модуля, т.е. в режиме сканирования файлов "по доступу" ("on-access"). Именно в этих «боевых» условиях особенно критично быстродействие - так как счет идет буквально на доли секунд. Действительно, пользователь компьютера не должен совсем замечать работу антивируса, - когда открывает какой-то файл для редактирования или сохраняет копию на диске, запускает какую-то программу на исполнение или проводит обзор веб-сайтов в Интернете. Чем быстрее антивирус выполняет проверку этих "текущих" файлов, тем лучше. Наоборот, когда речь идет о сканировании "по вызову" (on-demand), то оно может применяться, к примеру, в ночное время или выходные дни - когда антивирусу выдается задание по проверке всех файлов на некоторых или всех дисках компьютера. В этих условиях не столь критично быстродействие антивируса, так как проверка может занимать много часов и даже целые сутки».

Другие комментарии

Алексей Белкин, руководитель отдела постановки задач компании Agnitum:

«По результатам последнего тестирования антивирусов на быстродействие Outpost Antivirus Pro 2009 продемонстрировал стабильно высокую скорость сканирования и загрузки операционной системы, несмотря на очевидные сложности с преодолением «скоростного барьера», связанные с совмещением в едином модуле сразу двух механизмов защиты – антивирусного и антишпионского. Высокая скорость работы и невысокая нагрузка на системные ресурсы были и остаются одними из важнейших приоритетов при разработке новых версий продуктов Agnitum. Особое внимание производительности было уделено именно в продуктовой линейке Outpost 2009. Стоит подчеркнуть, что несомненная важность этих критериев для пользователей не является для Agnitum стимулом уменьшать глубину сканирования или ослаблять настройки антивируса по умолчанию, что делает антивирусную защиту ПК под управлением Outpost 2009 полноценной сразу после установки продукта. Отметим, что благодаря усовершенствованной технологии SmartScan, которая не была использована в тестах, при последующих проверках диска на вирусы учитываются также и результаты предыдущих проверок, что позволит в реальных условиях получить впечатляющую производительность. Таким образом, значительно сокращается время сканирования и снижается загрузка процессора. В целом, мы довольны динамикой развития нашего продукта, наглядно продемонстрированной лабораторией Anti-Malware.ru, и призываем пользователей Windows бесплатно попробовать еще один антивирусный продукт от российского разработчика».

[/cut]

Прикрепления: 2057334.png (421.9 Kb) · 2317992.png (130.8 Kb) · 2993089.png (135.2 Kb) · 6253181.png (142.6 Kb) · 2504498.png (169.8 Kb) · 2620603.png (79.9 Kb) · 9205980.png (210.8 Kb) · 0141886.png (179.8 Kb) · 3360740.png (196.4 Kb) · 4203748.png (89.5 Kb)

Дата: Суббота, 01.08.2009, 22:39 | Сообщение # 8

Уважаемый

Сообщений: 5542

Показать медали

Тест антивирусов на обнаружение полиморфных вирусов

Для обнаружения полиморфных вирусов, как правило, используются специально разрабатываемые для каждого полиморфного вируса алгоритмы обнаружения. Цель данного теста – проверить качество работы специальных алгоритмов по обнаружению современных полиморфных вирусов.
[cut]

Полиморфные вредоносные программы (далее вирусы), использующие технику полиморфизма для затруднения своего обнаружение, всегда являлись наиболее сложными для обнаружения антивирусами.

Полиморфизм вируса заключается в формировании кода вируса "на лету" - уже во время исполнения, при этом сама процедура, формирующая код также может быть непостоянной и видоизменяться при каждом новом заражении. Таким образом, можно говорить, что полиморфные вирусы имеют способность полностью менять себя при каждом новом заражении, образуя многообразие образцов одного и того же вируса. (Подробнее о полиморфизме можно прочитать здесь).

При проверке находящихся на компьютере файлов классическим способом производится поиск соответствий определенной сигнатуре (вирусному следу). Если изменить код вируса, на который была сделана сигнатура, то обнаружить его данной сигнатурой уже будет невозможно.

Подобные изменения полиморфный вирус делает в любой своей части.
Для обнаружения полиморфных вирусов, как правило, используются специально разрабатываемые для каждого полиморфного вируса алгоритмы обнаружения. Цель данного теста – проверить качество работы специальных алгоритмов по обнаружению современных полиморфных вирусов.

Кроме этого качество обнаружения полиморфных вирусов, как наиболее сложных, может косвенно свидетельствовать об уровне профессионализма антивирусных специалистов. Им необходимо не только тщательно проанализировать сложнейшие образцы вирусов, но и выработать надежные процедуры и методы по их 100% обнаружению.

Результаты тестирования

[table][tr][td]

[/td][td]Avira Antivir Personal Edition Classic 7.06
(31 из 33 баллов)
F-Secure Anti-Virus 2008 (31 из 33 баллов)
Kaspersky Anti-Virus 7.0 (31 из 33 баллов)[/td][/tr][tr][td]

[/td][td]Avast
Professional Edition 4.7 (25 из 33 баллов)
AVG Anti-Virus Professional Edition 7.5
(22 из 33 баллов)
DrWeb 4.44 (21 из 33 баллов)
Eset Nod32 Antivirus 3.0 (20 из 33 баллов)[/td][/tr][tr][td]

[/td][td]Microsoft Windows Live OneCare 2.0 Pre-Release
(19 из 33 баллов)
Trend Micro Antivirus plus Antispyware 2008
(18 из 33 баллов)
Symantec Anti-Virus 2008 (17 из 33 баллов)
BitDefender Anti-Virus 2008 (16 из 33 баллов)
Agnitum Outpost Security Suite Pro 2008
(15 из 33 баллов)
Sophos Anti-Virus 7.0 (14 из 33 баллов)
Panda Antivirus 2008 (14 из 33 баллов)
VBA32 Workstation 3.12.6 (14 из 33 баллов)[/td][/tr][tr][td]Тест
провален
[/td][td]McAfee VirusScan 2008 (11 из 33 баллов)[/td][/tr][/table]

Введение
В тестировании участвовали следующие антивирусные программы:

1. Agnitum Outpost Security Suite Pro 2008
2. Avast Professional Edition 4.7
3. AVG Anti-Virus Professional Edition 7.5
4. Avira Antivir Personal Edition Classic 7.06
5. BitDefender Anti-Virus 2008
6. DrWeb 4.44
7. Eset Nod32 Antivirus 3.0
8. F-Secure Anti-Virus 2008
9. Kaspersky Anti-Virus 7.0
10. McAfee VirusScan 2008
11. Microsoft Windows Live OneCare 2.0 Pre-Release
12. Panda Antivirus 2008
13. Sophos Anti-Virus 7.0
14. Symantec Anti-Virus 2008
15. Trend Micro Antivirus plus Antispyware 2008
16. VBA32 Workstation 3.12.6

Тест проведен на 11 семействах полиморфных вирусов, каждое из которых имеет свои функциональные особенности. Начальный набор образцов и итоговая тестовая коллекция сформированы в строгом соответствии с определенными требованиями.

Сформированные для теста семейства полиморфных вирусов:

1. Allaple.1, Allaple.2, Allaple.3, Allaple.4
2. Alman.1, Alman.2
3. Twido.1, Twido.2
4. Virut.2, Virut.3, Virut.4

Тест проводился на машине под операционной системой Windows XP SP2 в период с 15 января по 20 февраля 2007 года в полном соответствии с методологией.

Результаты теста антивирусов на обнаружение полиморфных вирусов

В таблицах 1-2 представлены результаты обнаружения различных семейств полиморфных вирусов антивирусными программами.
Таблица 1: Уровень обнаружения различных семейств полиморфных вирусов (начало)

$IMAGE1$

Таблица 2: Уровень обнаружения различных семейств полиморфных вирусов (окончание)

Рисунок 1: Качество защиты от вирусов семейства Allaple

100% защиты от вирусов семейства Allaple могут обеспечить только Avira и Trend Micro

Рисунок 2: Качество защиты от вирусов семейства Alman

100% защиты от вирусов семейства Alman могут обеспечить Avira, Kaspersky, Eset, Avast, DrWeb, F-Secure и Microsoft.

Рисунок 3: Качество защиты от вирусов семейства Twido

100% защиты от вирусов семейства Twido могут обеспечить Avira, Avast и Microsoft.

Рисунок 4: Качество защиты от вирусов семейства Virut

100% защиты от вирусов семейства Virut могут обеспечить Kaspersky и F-Secure.

Как видно, у многих антивирусов существуют большие проблемы с качеством обнаружения полиморфных вирусов семейств Twido.2, Twido.1 и Virut.4. На первых двух семействах провалилось 11 из 15 протестированных антивирусов.

Наиболее легкими для обнаружения оказались семейства Alman.2, Allaple.1 и Allaple.2, на которых все протестированные антивирусы показали уровень детектирования выше 90%.

Награждение победителей

Согласно используемой [cut=схеме награждения]

Анализ результатов теста антивирусов на обнаружение современных полиморфных вирусов и награды

Система оценок уровня обнаружения по каждому семейству полиморфных вирусов

3 балла - обнаружено 100% самплов в семействе, алгоритм обнаружения разработан и протестирован качественно;

2 балла - обнаружено от 99 до 100% самплов в семействе, алгоритм обнаружения разработан не совсем точно или не было проведено необходимое тестирование;

1 балл - обнаружено от 90 до 99% самплов в семействе, алгоритм обнаружения разработан с ошибками, не было проведено необходимое тестирование;

0 баллов - обнаружено менее 90% самплов в семействе, алгоритм обнаружения данного семейства разработан плохо или вовсе отсутствует;

При подведении итогов теста вычислялось общее количество набранных каждым антивирусом баллов на всех 11 семействах полиморфных вирусов, а также итоговый процент от максимально возможного (33 баллов). Лучшие антивирусы получают награды при выполнении условий, описанных ниже.

[table][tr][td][/td][td]Награда Platinum Anti-Polymorphic Protection Award присваивается, если антивирус по результатам теста набрал более 32 баллов (95% от максимального количества).[/td][/tr][tr][td][/td][td]Награда Gold Anti-Polymorphic Protection Award присваивается, если антивирус по результатам теста набрал более 26 баллов (80% от максимального количества).[/td][/tr][tr][td][/td][td]Награда Silver Anti-Polymorphic Protection Award присваивается, если антивирус по результатам теста набрал более 20 баллов (60% от максимального количества).[/td][/tr][tr][td][/td][td]Награда Bronze Anti-Polymorphic Protection Award присваивается, если антивирус по результатам теста набрал более 13 баллов (40% от максимального количества).[/td][/tr][/table]

Если антивируса набрал менее 13 баллов, т.е. менее 40% от максимально возможного количества, то он считается провалившим тест.

[/cut]

, для подведения итогов и награждения победителей представленные в таблицах 1-2 результаты по качеству обнаружения необходимо пересчитывать в баллы. При этом 3 балла начисляется, если антивирус обнаружил 100% образцов в семействе. Это означает, что алгоритм обнаружения качественно разработан и протестирован.

2 балла начисляются, если антивирус обнаружил от 99 до 100% образцов в семействе. В этом случае можно считать, что алгоритм обнаружения разработан не совсем правильно или не было проведено необходимое тестирование.

1 балл начисляется, если обнаружено от 90 до 99% образцов в семействе, что говорит о наличие ошибок в алгоритме обнаружения или отсутствие необходимого тестирования.

И, наконец, если было обнаружено менее 90% образцов в семействе, то алгоритм обнаружения данного семейства считался разработанным плохо и антивирусу баллов не начислялось.

В таблице 3 представлены итоговые результаты всех участвовавших в тесте продуктов и присужденные им награды.

Таблица 3: Лучшие антивирусы по результатам теста

Как видно, лучшими по обнаружению полиморфных вирусов оказались антивирусы Avira Antivir Personal Edition, F-Secure Anti-Virus и Kaspersky Anti-Virus, пропустившие всего несколько из 30 тыс. самплов. Эти три антивируса получили высшую награду Gold Anti-Polymorphic Protection Award.
Антивирусы Avast Professional Edition, AVG Anti-Virus Professional Edition, DrWeb и Eset Nod32 Antivirus также показали хорошие результаты, хотя каждый из них за исключением Avast провалил проверку на одном семействе полиморфных вирусов. Все эти продукты получили награду Silver Anti-Polymorphic Protection Award.

Удовлетворительные результаты показали антивирусные продукты Microsoft Windows Live OneCare, Trend Micro Antivirus, Symantec Anti-Virus, BitDefender Anti-Virus, Agnitum Outpost Seciruty Suite, Sophos Anti-Virus, Panda Antivirus и VBA32 Workstation. Все эти антивирусы получили награду Bronze Anti-Polymorphic Protection Award. Особенно стоит отметить антивирус от Microsoft, который показал очень высокое качество детектирование на некоторых семействах, но не смог подняться выше из-за слабого обнаружения вирусов семейств Virut 1-3.

Антивирус McAfee VirusScan, к сожалению, провалил тест, не набрав даже минимальный проходной балл.

[/cut]

Прикрепления: 7238416.png (454.6 Kb) · 4423652.gif (11.6 Kb) · 8111976.gif (9.1 Kb) · 5134183.gif (9.2 Kb) · 5473775.gif (11.8 Kb) · 4191501.png (281.0 Kb)

Дата: Суббота, 01.08.2009, 23:01 | Сообщение # 9

Уважаемый

Сообщений: 5542

Показать медали

Тест антивирусов и антируткитов на обнаружение и удаление современных руткитов

Цель данного теста – проверить способность наиболее популярных антируткитов обнаружить и удалить активно распространяемые в сети вредоносные программы (ITW-образцы), использующие руткит-технологии, а также проверить возможности проактивного обнаружения скрывающих свое присутсвие в системе программ на концептуальных руткитах.
[cut]

В последнее время все большей популярностью у вирусописателей пользуются руткит-технологии. Причина этого очевидна – возможность скрытия вредоносной программы и ее компонентов от пользователя ПК и антивирусных программ. В Интернете свободно можно найти исходные тексты готовых руткитов, что неизбежно ведет к широкому применению этой технологии в различных троянских или шпионских программах (spyware/adware, keyloggers и т.д.).

Руткит (от англ. root kit, то есть «набор root'а») - это программа для скрытия следов присутствия злоумышленника или вредоносной программы в системе. Использование руткит-технологий позволяет вредоносной программе скрыть следы своей деятельности на компьютере жертвы путём маскировки файлов, процессов а также самого присутствия в системе.

Для обнаружения и удаления подобных вредоносных программ существует множество специализированных программных продуктов – антируткитов. Кроме того, о наличии в своих продуктах функционала по обнаружению активных руткитов заявляют многие антивирусные производители.

Цель данного теста – проверить способность наиболее популярных антивирусов и антируткитов обнаруживать и удалять широко распространенные в сети вредоносные программы (ITW-образцы), использующие руткит-технологии. Дополнительно в тесте была проверена возможность проактивного обнаружения скрывающих свое присутствие в системе программ. Эта проверка проводилась на концептуальных демо-руткитах, демонстрирующих различные возможности по сокрытию в системе.

Тестирование на распространенных ITW-образцах вредоносных программ дает представление о том, насколько хорошо рассматриваемые решения справляются с уже известными руткитами, тестирование на концептах показывает их возможности по обнаружению новых неизвестных руткитов.

Результаты тестирования

[table][tr][td]

[/td][td]Rootkit Unhooker 3.7 (7.5 из 8 баллов)
GMER 1.0 (7 из 8 баллов)
Kaspersky Anti-Virus 7.0 (6.5 из 8 баллов)
Avira Rootkit Detection 1.0 (6.5 из 8 баллов)[/td][tr][tr][td]

[/td][td]AVG Anti-Rootkit 1.1 (5.5 из 8 баллов)
Panda AntiRootkit 1.08 (5.5 из 8 баллов)
Sophos Anti-Rootkit 1.3.1 (5.5 из 8 баллов)
Dr.Web 4.44 (5 из 8 баллов)
Trend Micro RootkitBuster 1.6 (5 из 8 баллов)[/td][tr][tr][td]

[/td][td]Symantec Anti-Virus 2008 (4.5 из 8 баллов)
F-Secure Anti-Virus 2008 (4 из 8 баллов)
McAfee Rootkit Detective 1.1 (3.5 из 8 баллов)[/td][tr][tr][td]Тест
провален
[/td][td]BitDefender Antivirus 2008 (3 из 8 баллов)
McAfee VirusScan Plus 2008 (1.5 из 8 баллов)
Eset Nod32 Anti-Virus 3.0 (1 из 8 баллов)
Trend Micro Antivirus plus Antispyware 2008 (1 из 8 баллов)[/td][tr][/table]

В тесте принимали участие 8 антивирусов и 8 специализированных продуктов-антируткитов, отобранных в соответствии с методологией.

Тестируемые антивирусы:

Тестируемые антируткиты:

1. AVG Anti-Rootkit 1.1
2. Avira Rootkit Detection 1.00.01.1
3. GMER 1.0.13
4. McAfee Rootkit Detective 1.1
5. Panda AntiRootkit 1.0
6. RkU 3.7
7. Sophos Anti-Rootkit 1.3
8. Trend Micro RootkitBuster 1.6

Тест проведен на шести вредоносных программах, каждая из которых использует свой метод маскировки в системе, и четырех концептуальных руткитах. Набор самплов сформирован в строгом соответствии с определенными требованиями, главным из которых был охват всех используемых методов маскировки в системе.

Отобранные для теста вредоносные программы:

1. Trojan-Spy.Win32.Goldun.hn
2. Trojan-Proxy.Win32.Wopla.ag
3. SpamTool.Win32.Mailbot.bd
4. Monitor.Win32.EliteKeylogger.21
5. Rootkit.Win32.Agent.ea
6. Rootkit.Win32.Podnuha.a

Отобранные для теста концептуальные руткиты:

1. Unreal A (v1.0.1.0)
2. RkDemo v1.2
3. FuTo
4. HideToolz

Тест проводился на машине под операционной системой Windows XP SP2 в период с 15 октября по 10 декабря 2007 года в строгом соответствии с определенной методологией, по которой антивирусы и антируткиты были испытаны на обнаружение установленных в системе вредоносных программ с руткит-маскировкой, а также концептуальных руткитов.

Тестирование возможностей обнаружения вредоносных программ, использующих руткит-технологии

В таблицах 1-2 представлены результаты обнаружения вредоносных программ, использующих руткит-технологии, различными антивирусами и специализированными антируткитами.

Напомним, что согласно используемой схеме награждения, 1 балл (или +/+) начислялся если руткит был успешно обнаружен в системе (файл, процесс или перехват функций) и удален.

0.5 балла (или +/-) – если руткит был успешно обнаружен в системе, но удалить его оказалось невозможно.

И, наконец, если руткит не был обнаружен в системе (поставлен минус), то баллов не начислялось вовсе.

Таблица 1: Результаты теста антивирусов/антируткитов на обнаружение вредоносных программ, использующих руткит-технологии (начало)

Таблица 2: Результаты теста антивирусов/антируткитов на обнаружение вредоносных программ, использующих руткит-технологии (окончание)

Таким образом, лучшими из антивирусов по обнаружению вредосносных программ, использующих руткит-технологии, являются Dr.Web, Kaspersky Anti-Virus и Symantec Anti-Virus, набравшие от 4 до 5 баллов из 6 возможных.

Среди специализированных антируткитов высокую эффективность показали почти все продукты, кроме McAfee Rootkit Detective. Особенно стоит отметить Rootkit Unhooker и GMER, чей результат 5.5 баллов позволил им стать лучшими в нашем тесте по обнаружению вредоносных программ, использующих руткит-технологии.

Тестирование возможностей проактивного обнаружения руткитов

В таблице 3 представлены результаты проактивного обнаружения антивирусами и антируткитами концептуальных руткитов. Так как концепты не представляют реальной угрозы для пользователей, то оценивалась только возможность их обнаружения (0.5 балла за каждый обнаруженный).

Таблица 3: Результаты теста антивирусов/антируткитов на обнаружение концептуальных руткитов

По результатам тестирования на отобранных экземплярах концептуальных руткитов видно, что из антивирусных продуктов проактивное обнаружение активных руткитов (на основании анализа системных событий) реализовано только в Kaspersky Anti-Virus и F-Secure Anti-Virus.

Что касается специализированных программ, то все они в той или иной степени имеют возможности для проактивного обнаружения активных руткитов. Лучшими в этой части теста признаны Kaspersky Anti-Virus и Rootkit Unhooker, обнаружившие все представленные концепты руткитов.

Награждение победителей

В таблице 4 представлены итоговые результаты всех участвовавших в тесте продуктов и присужденные им награды.

Таблица 4: Лучшие антивирусы/антируткиты по результатам теста

Итак, по результатам тестирования специализированные средства для борьбы с руткитами оказались в целом более эффективны, чем антивирусные продукты. Из антивирусных продуктов хорошие результаты показали только Kaspersky Anti-Virus, Dr.Web, Symantec Anti-Virus и F-Secure Anti-Virus (см. таблицу 5).
Из антивирусов высшую награду Gold Anti-Rootkit Protection Award завоевал только Kaspersky Anti-Virus, набравший 6.5 баллов из 8 возможных. Антивирус Dr.Web стал вторым, завоевав награду Silver Anti-Rootkit Protection Award.

Symantec Anti-Virus и F-Secure Anti-Virus были удостоены награды Bronze Anti-Rootkit Protection Award, а остальные продукты (BitDefender Antivirus, McAfee VirusScan Plus, Eset Nod32 Anti-Virus и Trend Micro Antivirus plus Antispyware), к сожалению, провалили тест.

Таблица 5: Лучшие антивирусы по результатам теста

Что касается специализированных антируткит-продуктов, то победителем среди них, как и в целом по результатам теста, оказался Rootkit Unhooker, набравший 7.5 баллов из 8 возможных и получивший награду Gold Anti-Rootkit Protection Award (см.таблицу 6). Такой же награды удостоен также GMER (набравший всего на 0,5 балла меньше лидера) и Avira Rootkit Detection (6,5 баллов из 8).

Обладателями награды Silver Anti-Rootkit Protection Award стали целых четыре антируткита: AVG Anti-Rootkit, Panda AntiRootkit, Sophos Anti-Rootkit и Trend Micro RootkitBuster. При этом первые три – AVG, Panda и Sophos – набрали по 5.5. баллов, а продукт TrendMicro – 5 из 8 возможных.

И, наконец, McAfee Rootkit Detective, набравший 3,5 балла, заслужил награду Bronze Anti-Rootkit Protection Award.

Таким образом, все тестируемые специализированные антируткиты неплохо показали себя в тесте и оправдали свое назначение. Провалившах тест антируткитов не оказалось.

Таблица 6: Лучшие антируткиты по результатам теста

Чтобы ознакомиться подробными результатами данного теста и убедиться в правильности итоговых расчетов, рекомендуем Вам скачать результаты этого теста в формате Microsoft Excel или PDF.

[/cut]

Прикрепления: 5409741.png (364.8 Kb) · 0423106.png (255.4 Kb) · 8267182.png (274.8 Kb) · 4919881.png (291.8 Kb) · 1560101.png (120.5 Kb) · 4121186.png (114.2 Kb)

Дата: Суббота, 01.08.2009, 23:08 | Сообщение # 10

Уважаемый

Сообщений: 5542

Показать медали

Тест антивирусов на поддержку упаковщиков

Уже известный, но упакованный по-другому вирус становится невидимым для антивируса, если тот не поддерживает конкретный пакер, который использовал злоумышленник. Данный тест позволяет определить, какие антивирусные программы предоставляют своим пользователям наиболее адекватную защиту от модификаций вирусов, получаемых при использовании вирусописателями различных упаковщиков.
[cut]

Данный тест позволяет определить, какие антивирусные программы предоставляют своим пользователям наиболее адекватную защиту от модификаций вирусов, получаемых при использовании вирусописателями различных упаковщиков.
Уже известный, но упакованный по-другому вирус становится невидимым для антивируса, если тот не поддерживает конкретный пакер, который использовал злоумышленник.

Также целью теста является привлечения внимания интернет-общественности к серьезной проблеме, связанной с использованием упаковщиков и протекторов вирусописателями.

Для того, что бы Вам был понятен смысл данного теста и его результатов, настоятельно рекомендуем ознакомиться с некоторыми понятиями и принципами работы антивирусов и упаковывающего программного обеспечения. Ссылки на соответствующие материалы приведены ниже:

Отличие работы упаковщиков (протекторов, крипторов) от архиваторов

На сегодняшний день в сети Интернет достаточно много различных утилит, которые позволяют сжимать, шифровать и защищать различные файлы. Конечно, данные программы разрабатывались из благих намерений, но, к сожалению, их успешно применяют и разработчики вирусов, для того, что бы скрыть вредоносный код от анализа и детектирования.

Итак, существуют следующие типы программ:

1. Архиваторы (Archivers);
2. Упаковщики (Packers);
3. Протекторы (Protectors, Crypters).

Архиваторы

Самые распространенные утилиты среди пользователей. Представители – ZIP, RAR, CAB и другие. Для архивирования и разархивирования на компьютере должна стоять специальная программа - архиватор. Причем, при доступе к любому файлу в архиве (чтение, запуск и т.п.) сначала этот файл распаковывается архиватором на жесткий диск (во временный каталог), а потом происходит доступ к нему.

В данном случае антивирусный сканер реального времени, даже если он не умеет проверять (лечить) архивы, нас защитит от заражения, т.к. на этапе записи файла архиватором во временный каталог антивирус его проверит.

Кстати, даже самораспаковывающиеся (Self Extractors) архивы (когда нет необходимости в установленном архиваторе для распаковки) вначале так же распаковывают файлы на жесткий диск во временный каталог.
Пакеры

Менее распространенные программы среди обычных пользователей. Представители – UPX, ASPack и другие. Данные программы работают только с определенными типами файлов, чаще всего это только исполняемые файлы и DLL файлы. Для упаковки, как и в первом случае, необходима установленная программа, а вот для запуска упакованного исполняемого файла такая программа не нужна.

Рисунок 1: Общая схема упаковки

Более того, распаковка и исполнение файла происходит, минуя операции с жестким диском, как это было в случае с архиваторами.

В итоге получается, что если антивирус не знает формата упаковщика, тогда нам совершенно не поможет наша защита (сканер реального времени) – вредоносный код в запакованном виде загрузится в память компьютера, а там он уже будет распакован и выполнен. Причем антивирус нам об этом ничего не скажет.
Протекторы

Сильно распространены в среде разработчиков программного обеспечения и применяются для защиты программного обеспечения. Схема их работы схожа со схемой работы упаковщиков, за исключением того, что программа не просто ужимается, но дополнительно шифруется. Дополнительно к этому, загрузчик протектора (см. рисунок 1) оснащен достаточно большим количеством защит против взлома, и анализа кода исходной программы.

Итоговые результаты теста

* F-Secure Anti-Virus 2006 использует лицензированный движок от Лаборатории Касперского.
** Тест проводился с использованием следующих упаковщиков последних версий: ACProtect, ASPack, ASProtect, Dropper, EXECryptor, ExeStealth, FSG, MEW, Morphine, NsPack, Obsidium, ORiEN, Packman, PECompact2, PESpin, Petite, Private exe Protector, UPX, WinUpack, yoda's Cryptor, yoda's Protector.

В тесте принимали участие антивирусные продукты 17 производителей, среди которых: Avast!, Avira, Computer Associates, Eset, F-Secure, Grisoft, McAfee, Panda Software, Sophos, Symantec, Trend Micro, ВирусБлокАда, Доктор Веб, Лаборатория Касперского и Украинский Антивирусный Центр.

Тест проводился на следующих вредоносных программах, которые были выбраны в соответствии с выбранной методологией:

* Backdoor.Win32.BO_Installer
* Email-Worm.Win32.Bagle
* Email-Worm.Win32.Menger
* Email-Worm.Win32.Naked
* Email-Worm.Win32.Swen
* Worm.Win32.AimVen
* Trojan-PSW.Win32.Avisa
* Trojan-Clicker.Win32.Getfound

Данные вредоносные программы модифицировались с использованием 21 типа упаковщиков (последних на момент проведения теста версий), также выбранных в соответствии с выбранной методологией, среди них:

1. ACProtect 1.32
2. ASPack 2.12
3. ASProtect 2.1 buid 2.19
4. Dropper 2.0
5. EXECryptor 2.3.9.0
6. ExeStealth 2.76
7. FSG 2.0
8. MEW 11 SE 1.2
9. Morphine 2.7
10. NsPack 3.7
11. Obsidium 1.2.5.0
12. ORiEN 2.12
13. Packman 1.0
14. PECompact2 2.78a
15. PESpin 1.304
16. Petite 2.3
17. Private exe Protector 1.9
18. UPX 2.01w
19. WinUpack 0.39 final
20. yoda's Cryptor 1.3
21. yoda's Protector 1.0b

Таблица 1: Суммарный процент поддержки упаковщиков по результатам теста

* F-Secure Anti-Virus 2006 использует лицензированный движок от Лаборатории Касперского.

В итоге всего 5 из 17 протестированных антивирусов показали достойные результаты по поддержке упаковщиков, среди них: F-Secure, Kaspersky, BitDefender, Dr.Web и Eset. Остальные антивирусы, увы, выглядят очень бледно.

С учетом того, что F-Secure Anti-Virus работает на антивирусном движке Лаборатории Касперского, можно говорить, что награду "Gold Packers Support" заработал только один движок (результаты теста Kaspersky Anti-Virus и F-Secure Anti-Virus - 81%, абсолютно одинаковы, что хорошо видно из подробных результатов теста).

Высокие результаты показали BitDefender, Dr.Web – 76%, что совсем немного меньше 80% позволивших бы им получить "Gold Packers Support", а сейчас – заслуженная награда "Silver Packers Support".

Немного позади от них с 57% поддерживаемых упаковщиков идет Eset NOD32, который и замыкает 5-ку награжденных, получив награду "Bronze Packers Support".

Чтобы ознакомиться подробными результатами данного теста, данными по детектированию конкретных упакованных вирусов и убедиться в правильности итоговых расчетов, рекомендуем Вам скачать результаты этого теста в формате PDF или Microsoft Excel.

[/cut]

Прикрепления: 0255906.gif (5.6 Kb) · 4975046.png (237.3 Kb) · 9729168.png (255.8 Kb)

Дата: Суббота, 01.08.2009, 23:14 | Сообщение # 11

Уважаемый

Сообщений: 5542

Показать медали

[table][tr][td]

Значение наград в тестах антивирусов

[/td][/tr][/table]

[cut=Анализ результатов теста проактивной антивирусной защиты и награды(март 2008)]

[table][tr][td]

[/td][td]Награда Platinum Proactive Protection Award присваивается, если антивирус обнаружил свыше 80% неизвестных вредоносных программ при нулевом уровне ложных срабатываний.[/td][/tr][tr][td]

[/td][td]Награда Gold Proactive Protection Award присваивается, если антивирус обнаружил свыше 60% неизвестных вредоносных программ при уровне ложных срабатываний до 0.1% (1/1000).[/td][/tr][tr][td]

[/td][td]Награда Silver Proactive Protection Award присваивается, если антивирус обнаружил свыше 40% неизвестных вредоносных программ при уровне ложных срабатываний до 0.5% (5/1000).[/td][/tr][tr][td]

[/td][td]Награда Bronze Proactive Protection Award присваивается, если антивирус обнаружил свыше 20% неизвестных вредоносных программ при уровне ложных срабатываний до 1% (1/100).[/td][/tr][/table]

Если антивирус обнаружил менее 20% неизвестных вредоносных программ или количество ложных срабатываний составило более 1%, то он считается провалившим тест, а его эвристическая компонента слабой или фактически отсутствующей.

[/cut]

[cut=Анализ результатов теста антивирусов на обнаружение современных полиморфных вирусов и награды]

Система оценок уровня обнаружения по каждому семейству полиморфных вирусов

3 балла - обнаружено 100% самплов в семействе, алгоритм обнаружения разработан и протестирован качественно;

[table][tr][td]

[/td][td]Награда Platinum Anti-Polymorphic Protection Award присваивается, если антивирус по результатам теста набрал более 32 баллов (95% от максимального количества).[/td][/tr][tr][td]

[/td][td]Награда Gold Anti-Polymorphic Protection Award присваивается, если антивирус по результатам теста набрал более 26 баллов (80% от максимального количества).
[/td][/tr][tr][td]

[/td][td]Награда Silver Anti-Polymorphic Protection Award присваивается, если антивирус по результатам теста набрал более 20 баллов (60% от максимального количества).[/td][/tr][tr][td]

[/td][td]Награда Bronze Anti-Polymorphic Protection Award присваивается, если антивирус по результатам теста набрал более 13 баллов (40% от максимального количества).[/td][/tr][/table]

Если антивирус набрал менее 13 баллов, т.е. менее 40% от максимально возможного количества, то он считается провалившим тест.

[/cut]

[cut=Анализ результатов теста антивирусов и антируткитов на обнаружение и удаление современных руткитов]

Система оценок по каждому параметру:

"+/+" или 1 балл - руткит был успешно обнаружен в системе (файл, процесс или перехват функций) и удален.

"+/-" или 0.5 балла - если руткит был успешно обаружен в системе, но удалить его оказалось невозможно.

"-" или 0 баллов - руткит не был обнаружен в системе.

При подведении итогов теста набранные баллы суммируются. Лучшие по сумме баллов антивирусы и антируткиты получают награды при выполнении определенных условий:

[table][tr][td]

[/td][td]Награда Platinum Anti-Rootkit Award присваивается, если тестируемый продукт набрал свыше 95% от максимально возможного количества баллов.[/td][/tr][tr][td]

[/td][td]Награда Gold Anti-Rootkit Award присваивается, если тестируемый продукт набрал свыше 80% от максимально возможного количества баллов.[/td][/tr][tr][td]

[/td][td]Награда Silver Anti-Rootkit Award присваивается, если тестируемый продукт набрал свыше 60% от максимально возможного количества баллов.[/td][/tr][tr][td]

[/td][td]Награда Bronze Anti-Rootkit Award присваивается, если тестируемый продукт набрал свыше 40% от максимально возможного количества баллов.[/td][/tr][/table]

Если антивирус или антируткит набрал меньше 40% от максимально возможного количества баллов, то он считается провалившим тест.

[/cut]

[cut=Анализ результатов теста проактивной антивирусной защиты и награды]

[table][tr][td]

[/td][td]Награда Platinum Proactive Protection Award присваивается, если антивирус обнаружил свыше 80% неизвестных вредоносных программ.[/td][/tr][tr][td]

[/td][td] Награда Gold Proactive Protection Award присваивается, если антивирус обнаружил от 60% до 80% неизвестных вредоносных программ.[/td][/tr][tr][td]

[/td][td]Награда Silver Proactive Protection Award присваивается, если антивирус обнаружил от 40 до 60% неизвестных вредоносных программ.
[/td][/tr][tr][td]

[/td][td]Награда Bronze Proactive Protection Award присваивается, если антивирус обнаружил от 20 до 40% неизвестных вредоносных программ.[/td][/tr][/table]

Если антивирус обнаружил менее 20% неизвестных вредоносных программ, то он считается провалившим тест, а его эвристическая компонента слабой или фактически отсутствующей.

[/cut]

[cut=Анализ результатов теста антивирусов на лечение активного заражения]

По каждому отобранному экземпляру вредоносной программы антивирусам выставлялись оценки:

"+" или "Pass" - антивирус успешно устранил активное заражение, работоспособность системы восстановлена (не нарушена).

"-" или "Fail" - антивирус не смог устранить активное заражение или была серьезно нарушена работоспособность системы.

При подведении итогов теста вычисляется итоговое количество вылеченных заражений и процент от максимально возможного. Лучшие антивирусы получают награды при выполнении определенных условий:

[table][tr][td]

[/td][td]Награда Platinum Malware Treatment Award присваивается, если антивирус успешно устранил активное заражение системы в 95% случаях и выше.[/td][/tr][tr][td]

[/td][td] Награда Gold Malware Treatment Award присваивается, если антивирус успешно устранил активное заражение системы в 80% случаях и выше.[/td][/tr][tr][td]

[/td][td]Награда Silver Malware Treatment Award присваивается, если антивирус успешно устранил активное заражение системы от 60 до 80% случаев.
[/td][/tr][tr][td]

[/td][td]Награда Bronze Malware Treatment Award присваивается, если антивирус успешно устранил активное заражение системы от 40 до 60% случаев.[/td][/tr][/table]

Если антивирус устранил активное заражение системы менее чем в 40% случаев, то он считается провалившим тест.

[/cut]

[cut=Анализ результатов теста самозащиты и награды]

Система оценок по каждому параметру:

"+" или 1 балл - Самозащита продукта сработала полностью успешно.

"+/-" или 0.5 балла - Самозащита от этого вида атаки частично отсутствует, но основной функционал при этом сохранился (автоматически восстановился).

"-" или 0 баллов - Самозащита от этого вида атаки полностью отсутствует, основной функционал выведен из строя.

При подведении итогов теста самозащиты вычисляется итоговый процент набранных каждым антивирусом баллов от максимально возможного. Лучшие антивирусы получают награды при выполнении определенных условий:

[table][tr][td]

[/td][td]Награда Platinum Self-Protection Award присваивается, если самозащита антивируса предотвратила свыше 98% атак.[/td][/tr][tr][td]

[/td][td] Награда Gold Self-Protection Award присваивается, если самозащита антивируса предотвратила свыше 80% атак.[/td][/tr][tr][td]

[/td][td]Награда Silver Self-Protection Award присваивается, если самозащита антивируса предотвратила свыше 60% атак.
[/td][/tr][tr][td]

[/td][td]Награда Bronze Self-Protection Award присваивается, если самозащита антивируса предотвратила от 40 до 60% атак.[/td][/tr][/table]

Если самозащита антивируса предотвратила менее 40% моделируемых атак, то он считается провалившим тест.

[/cut]

[cut=Анализ результатов теста антивирусов на поддержку упаковщиков и награды]

По результатам теста на поддержку упаковщиков производится награждение лучших антивирусов, которые получают соответствующую награду при выполнении определенных условий:

[table][tr][td]

[/td][td]Награда Gold Packers Support присваивается, если антивирус поддерживает 80% и более упаковщиков.[/td][/tr][tr][td]

[/td][td] Награда Silver Packers Support присваивается, если антивирус поддерживает от 60% до 79% упаковщиков.[/td][/tr][tr][td]

[/td][td]Награда Bronze Packers Support присваивается, если антивирус поддерживает от 40% до 59% упаковщиков.
[/td][/tr][/table]

Если уровень поддержки выбранных упаковщиков в каком-либо антивирусе оказывается ниже 40%, то считается, что этот антивирус провалил тест.

[/cut]

Так называемые парадоксы автора, шокирующие читателя,
находятся часто не в книге автора, а в голове читателя.

Art

Дата: Среда, 05.08.2009, 19:23 | Сообщение # 12

Наблюдатель

Сообщений: 8669

Показать медали

Ужас сколько всего.
Похоже что бесплатные антивирусы хромают?
Еще плохо что опенсорсный ClamAV мало представлен.

Не молчи на меня.
Правила форума
К чему приводят споры с модератором

STATIK

Дата: Пятница, 25.09.2009, 16:58 | Сообщение # 13

Посетитель

Сообщений: 95

Показать медали

Так у кого какой стоит? У меня стоит AVG, вроде неплохой для веб защиты smile

А так не знаю...

Дата: Пятница, 25.09.2009, 22:01 | Сообщение # 14

Уважаемый

Сообщений: 5542

Показать медали

Quote (STATIK)

Так у кого какой стоит?

Вот тут http://www.rubezhnoe.org.ua/forum/11-165-1
...но что-то мало желающих ответы писать

Так называемые парадоксы автора, шокирующие читателя,
находятся часто не в книге автора, а в голове читателя.

Art

Дата: Пятница, 25.09.2009, 22:27 | Сообщение # 15

Наблюдатель

Сообщений: 8669

Показать медали

Повысил ссылку сюда на страницу нода, пусть народ просвещается cool

Не молчи на меня.
Правила форума
К чему приводят споры с модератором

Дата: Суббота, 17.10.2009, 14:27 | Сообщение # 16

Уважаемый

Сообщений: 5542

Показать медали

Антивирус ESET NOD32 вновь получил высшую оценку AV-Comparatives

Австрийская лаборатория Андреаса Клименти AV-Comparatives (av-comparatives.org) традиционно проводит несколько сравнительных тестирований антивирусных средств, в том числе ретроспективные тесты (Retrospective/ProActive Test), позволяющие оценить способность продуктов различных производителей противостоять неизвестным угрозам с помощью технологий проактивной защиты, исследования общего уровня детектирования вредоносного ПО – «по запросу» (On-demand comparative), а также сравнительные исследования производительности антивирусных программ (Performance test).

Компания ESET, международный разработчик антивирусного ПО и решений в области компьютерной безопасности, сообщает, что Антивирус ESET NOD32 получил высший статус Advanced+ по результатам сравнительного тестирования, проведенного австрийской лабораторией AV-Comparatives.

В конце августа 2009 г. AV-Comparatives провела очередное сравнительное тестирование антивирусных решений на определение угроз «по-запросу» (On-demand comparative test). В тестировании приняли участие 16 продуктов ведущих мировых производителей средств антивирусной защиты.

В первой части тестирования исследовалась эффективность антивирусного ПО при выявлении вирусов из собственной коллекции AV-Comparatives. Антивирус ESET NOD32 показал высокий уровень детектирования всех видов вредоносного ПО, в том числе троянских программ, червей, макро-вирусов. ESET NOD32 обнаружил 97,2% угроз из 1,6 миллионов образцов вредоносных программ, в то время как Антивирус Касперского детектировал 94,7% угроз, Microsoft Live OneCare – 90,0%.

Вторая часть тестирования была направлена на выявление количества ложных срабатываний антивирусных продуктов. По этому показателю Антивирус ESET NOD32 превзошел решения Symantec, Sophos, McAfee и др. Минимальное количество срабатываний ESET NOD32 при сканировании чистых файлов свидетельствует о том, что разработчикам антивируса ESET NOD32 удается сохранять оптимальные настройки эвристического сканера, при котором продукт не становится излишне «подозрительным».

В ходе теста Антивирус ESET NOD32 показал высокую скорость сканирования - 9,2 мб/с (для сравнения, скорость сканирования Антивируса Касперского составила 8,7 мб/с, McAfee – 7,5 мб/с, Microsoft - 6,6 мб/с).

По результатам тестирования AV-Comparatives программные продукты ESET, Symantec, Avast удостоились высшей награды - Advanced+. («Продвинутый+»). Антивирусные решения других производителей показали более низкие результаты по уровню детектирования вредоносного ПО (менее 97%), либо по количеству ложных срабатываний (более 16). Статус Advanced (Продвинутый) был присужден антивирусным решениям «Лаборатории Касперского», Avira, McAfee и пр, а статус Standart (Обычный) получило антивирусное ПО Microsoft Live OneCare.

Так называемые парадоксы автора, шокирующие читателя,
находятся часто не в книге автора, а в голове читателя.

Art

Дата: Суббота, 17.10.2009, 15:33 | Сообщение # 17

Наблюдатель

Сообщений: 8669

Показать медали

NOD32 как всегда на высоте, хотя отставание минимальное. Хотя я щас не имею возможности сравнить прожорливость антивирусов, раньше касп просто ложил мою слабую систему в то время как работа НОДа была почти незаметна.

Не молчи на меня.
Правила форума
К чему приводят споры с модератором

Дата: Пятница, 06.11.2009, 21:21 | Сообщение # 18

Уважаемый

Сообщений: 5542

Показать медали

Названы лучшие антивирусы

Тестирование антивирусов на противостояние новейшим угрозам определило продукты, способные защитить рядового пользователя интернета. Результаты теста обнародовал портал Anti-Malware.ru.

По результатам теста лучшим оказался DefenseWall HIPS, сумевший предотвратить заражение в 100% случаев (платиновая награда). Очень высокие результаты показали три антивирусных продукта: Kaspersky Internet Security, Comodo Internet Security и Trend Micro Internet Security, которые смогли предотвратить заражение более чем в 80% случаев. Им досталось «золото».

Хорошую эффективность защиты продемонстрировали Sophos Anti-Virus, Safe'n'Sec Personal, Avira Premium Security Suite, Norton Internet Security и Avast Antivirus Professional (серебряная награда).

Бронзовая награда досталась антивирусам Eset Smart Security, AVG Internet Security, Microsoft Security Essential и G-DATA Internet Security, преодолевшим барьер в 40%, сообщает CNEWs.ru.

Так называемые парадоксы автора, шокирующие читателя,
находятся часто не в книге автора, а в голове читателя.

dmin798

Дата: Среда, 03.03.2010, 11:53 | Сообщение # 19

Наблюдатель

Сообщений: 1

Показать медали

у меня НОд32 не жалуюсь

juzfunk

Дата: Пятница, 11.11.2011, 15:42 | Сообщение # 20

Наблюдатель

Сообщений: 1

Показать медали

Нашёл вот такое описание нового антивируса:
[cut]Антивирус eScan, не так давно появившийся на российском рынке, - это представитель нового, более функционального поколения антивирусных решений.

Не секрет, что пользователи часто жалуются на качество антивирусной защиты – во многих случаях антивирусные продукты пропускают вредоносные программы, либо высокий уровень детектирования достигается за счет увеличения нагрузки на компьютер или значительного количества ложных срабатываний. Это закономерно – ведь обычные антивирусы обнаруживают зараженные файлы тогда, когда они уже проникли на компьютер. Традиционные принципы антивирусной защиты уязвимы, их можно обойти и в результате скрыть заражение и совершить какие-либо деструктивные действия. Кроме того, при обычной антивирусной проверке выполняются достаточно ресурсоемкие операции обращения к файловой системе, что оказывает сильное влияние на быстродействие.

Принципиально другой подход к защите реализован в антивирусных продуктах eScan, разрабатываемых известным вендором мирового уровня компанией MicroWorld Technologies. eScan проверяет входящий трафик ещё на уровне пакетов данных, передаваемых по сети. Такая возможность воплощена в передовой технологии MicroWorld Winsock Layer (MWL), работающей во всех решениях eScan. MWL нейтрализует угрозы до того, как они передаются приложениям на Вашем компьютере и даже ещё до того, как вредоносная программа будет собрана из нескольких полученных по сети пакетов. На языке технических специалистов это называется детектированием вирусов на уровне сокетов операционной системы Microsoft Windows (Winsock).

Благодаря защите на сетевом уровне антивирусы еСкан обеспечивают высочайший уровень безопасности. Кроме того, MWL – это очень быстрая и малоресурсоёмкая технология, и по этой причине продукты eScan отличаются хорошей производительностью и практически не замедляют работу компьютера.

В обширной линейке антивирусного программного обеспечения eScan Вы найдете решение, подходящее именно для Вас. Среди продуктов eScan есть антивирусы для домашних пользователей, малого, среднего и крупного бизнеса.

Разработчики позаботились о том, чтобы решения еСкан корпоративного класса отвечали всем требованиям, предъявляемым бизнесом. Корпоративные продукты eScan имеют удобную веб-консоль управления, включают множество функций, позволяющих контролировать использование компьютеров в офисе, и могут продуктивно работать даже на маломощном унаследованном парке оборудования.

Домашние пользователи eScan AntiVirus и eScan Internet Security Suite могут наслаждаться геймерским режимом и красивым современным интерфейсом, оформленном в стиле MacOS.

Новинки eScan не заставляют себя долго ждать – линейка eScan постоянно пополняется новыми продуктами.

Откройте для себя безопасный мир, защищенный инновационными технологиями eScan![/cut]

гость2011

Дата: Пятница, 11.11.2011, 19:28 | Сообщение # 21

Бывалый

Сообщений: 491

Показать медали

Quote (juzfunk)

Нашёл вот такое описание нового антивируса:

По нему инфы в инете полно. Мое мнение - не стоит связываться с ним.
Хотя у каждого своя защита под свои задачи.

		Среда, 22.01.2025
	Рубежное .com Социальный ресурс города