Перейти к содержанию
Николай Терещенко

Смерть классического антивируса

Recommended Posts

Dmitry Perets

Если верить аналитикам из ЛК, то овчинка не стоит выделки. Скорость проверки файлов при наличии 100 тысяч сигнатур примерно равна скорости при наличии 400 тысяч сигнатур. Разница слишком мала.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Valery Ledovskoy
Если верить аналитикам из ЛК, то овчинка не стоит выделки.

Более того, этот вариант "для проапдейченных систем" всё равно не пройдёт. Если, например, взять почтовый сервер, то заранее угадать, пропатчена у конечного пользователя почты система или нет, практически невозможно. Заставить всех пользователей почты или антивируса апдейтить свои системы тоже малореально.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Dmitry Perets
Если верить аналитикам из ЛК, то овчинка не стоит выделки.

Более того, этот вариант "для проапдейченных систем" всё равно не пройдёт. Если, например, взять почтовый сервер, то заранее угадать, пропатчена у конечного пользователя почты система или нет, практически невозможно. Заставить всех пользователей почты или антивируса апдейтить свои системы тоже малореально.

Угу, согласен... Потом отговорки в стиле "Дык что ж вы хотите, у вас же не установлен KB8366452!" вряд ли кого-то успокоят...=)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
TiX
Как известно,апдейты ОС закрывают дыры,которыми до этого (да и после,кто не апдейтывается) пользовались многие вирусы и их разновидности.Интересно,если было бы возможно те сигнатуры в базах для ускорения отключать,без которых вирусы и так не пройдут на по последнему уровню апдейтованную систему,то насколько бы в процентном отношении уменьшились размер сигнатур?И повлияло бы это на то,как realtime-защита систему загружает или нет?Ускорился бы заметно скан по требованию?

А если какойнит м-дак принесет вирус на флоппи и просто запустит Ж)

Вирус он и в африке вирус.. сам не придет так друг принесет Ж)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
nones

Мм .. если обратиться к теоретической стороне вопроса, то существуют (простейшие, да просто бинарное дерево тоже подойдет) алгоритмы сигнатурного поиска, время работы которых НЕ ЗАВИСИТ от количества сигнатур (а только от длины сигнатуры). Сигнатуры просто надо специальным образом преобразовать перед применением.

Опасность для классических AV сейчас в основном в количестве новых самплов (сигнатуры-то надо как-то и кому-то делать), в возрастающем колическте форматов, которые требуют препроцессинг ну и, конечно, в появлении технологически новых угроз.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Z
Мм .. если обратиться к теоретической стороне вопроса, то существуют (простейшие, да просто бинарное дерево тоже подойдет) алгоритмы сигнатурного поиска, время работы которых НЕ ЗАВИСИТ от количества сигнатур (а только от длины сигнатуры). Сигнатуры просто надо специальным образом преобразовать перед применением.

к сожалению это верно только для данных размещаемых в ОЗУ. но при современных ценах на память не так критично. но у цен есть другая сторона - пошли жалобы что файлы размером 64G проверяются не быстро :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
TiX

Ну значит надо сменить алгоритм Ж)

Если у каспа отсчет идет от EP+offset|offset то у доктора идет сравнение в виде маски от 0 и до конца файла (в основном). Поэтому при совпадении 3х кусков поиск 4того может занять время пока пропарсится Н кб файла.

У каждого метода свои + и минусы.

У доктора например этот алгоритм позволяет более проще применять его для Generic-Detection / Streaming scana.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
nones
nones писал(а):

Мм .. если обратиться к теоретической стороне вопроса, то существуют (простейшие, да просто бинарное дерево тоже подойдет) алгоритмы сигнатурного поиска, время работы которых НЕ ЗАВИСИТ от количества сигнатур (а только от длины сигнатуры). Сигнатуры просто надо специальным образом преобразовать перед применением.

к сожалению это верно только для данных размещаемых в ОЗУ. но при современных ценах на память не так критично. но у цен есть другая сторона - пошли жалобы что файлы размером 64G проверяются не быстро

Ну так сигнатуры можно и попреобразовывать и алгоритм выбрать посложнее .. :-) Но даже, если брать "в лоб", то, например, для 100K сигнатур по 100b надо всего 10M - сравнимо с размерами AV баз у всех AV вендоров.

За 64G файлы надо убивать.. однозначно .. :-))

Добавлено спустя 2 минуты 15 секунд:

Если у каспа отсчет идет от EP+offset|offset то у доктора идет сравнение в виде маски от 0 и до конца файла (в основном). Поэтому при совпадении 3х кусков поиск 4того может занять время пока пропарсится Н кб файла.

Не совсем понял насчем кусков - куски сигнатуры?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Z
Ну значит надо сменить алгоритм Ж)

Если у каспа отсчет идет от EP+offset|offset то у доктора идет сравнение в виде маски от 0 и до конца файла (в основном). Поэтому при совпадении 3х кусков поиск 4того может занять время пока пропарсится Н кб файла.

У каждого метода свои + и минусы.

У доктора например этот алгоритм позволяет более проще применять его для Generic-Detection / Streaming scana.

Саня, я понимаю что вы ничего не знаете, но все же - зачем же писать всякую чушь не имея никакого представления?

Добавлено спустя 2 минуты 22 секунды:

За 64G файлы надо убивать.. однозначно .. :-))

640k should be enough for everyone, так?

расскажите это владельцам файлов :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
TiX

>Саня, я понимаю что вы ничего не знаете, но все же - зачем же писать всякую чушь не имея никакого представления?

Докажи что я неправ.. вперед.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Z
>Саня, я понимаю что вы ничего не знаете, но все же - зачем же писать всякую чушь не имея никакого представления?

Докажи что я неправ.. вперед.

оно мне нада? © амплуа бени хила вам к лицу, мне нравится, продолжайте.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
TiX

Если ненадо то и неначинайте а то "пустой треп".

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Dmitry Perets
Если ненадо то и неначинайте а то "пустой треп".

Не указывай джону что делать! Он этого не любит! =)))))

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
nones
TiX писал(а):

Ну значит надо сменить алгоритм Ж)

Если у каспа отсчет идет от EP+offset|offset то у доктора идет сравнение в виде маски от 0 и до конца файла (в основном). Поэтому при совпадении 3х кусков поиск 4того может занять время пока пропарсится Н кб файла.

У каждого метода свои + и минусы.

У доктора например этот алгоритм позволяет более проще применять его для Generic-Detection / Streaming scana.

Саня, я понимаю что вы ничего не знаете, но все же - зачем же писать всякую чушь не имея никакого представления?

Было бы интересно услышать ваш вариант .. :-) В двух словах, все равно это не секрет .. :-)

640k should be enough for everyone, так?

расскажите это владельцам файлов

640K это уже слишком много .. при запущенной OS в оперативку не влазит .. :-))

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Z
TiX писал(а):

Ну значит надо сменить алгоритм Ж)

Если у каспа отсчет идет от EP+offset|offset то у доктора идет сравнение в виде маски от 0 и до конца файла (в основном). Поэтому при совпадении 3х кусков поиск 4того может занять время пока пропарсится Н кб файла.

У каждого метода свои + и минусы.

У доктора например этот алгоритм позволяет более проще применять его для Generic-Detection / Streaming scana.

Саня' date=' я понимаю что вы ничего не знаете, но все же - зачем же писать всякую чушь не имея никакого представления? [/quote']

Было бы интересно услышать ваш вариант .. :-) В двух словах, все равно это не секрет .. :-)

640k should be enough for everyone' date=' так?

расскажите это владельцам файлов [/quote']

640K это уже слишком много .. при запущенной OS в оперативку не влазит .. :-))

шутки шутками, но народ уже начал использовать такие файлы :(

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
nones
что бы наконец-то движок KAV перестал быть в 4е раза медленее Dr.Web? в КЛ есть свои математики неплохие, пусть сами придумывают только у меня не вариант, а Знание и делиться я им не намерен

Про скорость спорить не буду, т.к. таких тестов не видел.

А интересно было бы сделать такие тесты, на какой-нибудь представительной выборке зловредов ..

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Dr.Golova

> что бы наконец-то движок KAV перестал быть в 4е раза медленее Dr.Web?

Публичные тесты были, и не однократно. При первом сканировании что KAV, что DrWeb показывают примерно одинаковую производительности (что и не удивительно - движки у них почти одинаковые). При последующем сканировании выигрывет естесно KAV, потому что у доктора файловый ревизор "заморожен и не продается" :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Z
что бы наконец-то движок KAV перестал быть в 4е раза медленее Dr.Web? в КЛ есть свои математики неплохие, пусть сами придумывают только у меня не вариант, а Знание и делиться я им не намерен

Про скорость спорить не буду, т.к. таких тестов не видел.

А интересно было бы сделать такие тесты, на какой-нибудь представительной выборке зловредов ..

не важно на чем проверять, хоть на чистых файлах. главное выкинуть klif (или как его) что бы увидеть скорость движка, а не обманки

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
A.
не важно на чем проверять, хоть на чистых файлах. главное выкинуть klif (или как его) что бы увидеть скорость движка, а не обманки

бугага. жжошь, детка!

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин

Пациент (классический антивирус) мертв или еще как-то выживает?

Если смотреть на технологическую начинку антивируса, то пока еще живет, так как без сигнатур все равно никто обойтись не может. Есть надежда на облака, но они не исключают сигнатуры все равно.

Если смотреть на компонентную начинку продуктов, которые продаются, то скорее мертв. Чистые антивирус без всего уже не встречаются, как минимум есть или встроенный фаервол, или HIPS или что-нибудь еще. Хотя младшие в линейках персональных продуктов пока что пользуются большим спросом и не становятся маргинальными, несмотря на переходы на IS и TS нет.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
broker
скорее мертв

так как классический антивирус из средства борьбы с вирусами переродился в процесс обеспечения антивирусной безопасности и стал в этом процессе ядром, обеспечивая антивирусную безопасность совместно с файрволами, антиспамами, средствами контроля обновлений и другими средствами обнаружения атак 0-дня :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Black Angel

Думаю, скорее мертв. Сигнатуры это хорошо, но без дополнительных технологий хорошую защиту уже не обеспечить.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Umnik

А разве существуют классические антивирусы еще?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Илья Рабинович
А разве существуют классические антивирусы еще?

А Security Essentials?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
sergeynmsk
Думаю, скорее мертв. Сигнатуры это хорошо, но без дополнительных технологий хорошую защиту уже не обеспечить.

Ставьте Win 7 х64 и все у Вас будет в порядке, с любым антивирусом.

  • Upvote 5

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

  • Сообщения

    • Ego Dekker
    • ArktiTig
      Арктика - северная полярная область Земли, включающая окраины материков Евразии и Северной Америки, почти весь Северный Ледовитый океан с островами и прилегающие к нему части Атлантического и Тихого океанов. Название её происходит от греческого слова arctos (медведь) и связано со звёздами: Полярная звезда, находящаяся почти точно в зените над Северным полюсом, принадлежит к созвездию Малая Медведица.
    • ArktiTig
      Арктика - северная полярная область Земли, включающая окраины материков Евразии и Северной Америки, почти весь Северный Ледовитый океан с островами и прилегающие к нему части Атлантического и Тихого океанов. Название её происходит от греческого слова arctos (медведь) и связано со звёздами: Полярная звезда, находящаяся почти точно в зените над Северным полюсом, принадлежит к созвездию Малая Медведица.
    • PR55.RP55
      .xml  файлы taskschd.msc Могут быть подписаны  цифровой подписью. Думаю будет нелишним, если uVS будет это фиксировать. т.е. проверять не только подпись целевого файла, но и подпись самого файла\задачи. и писать в ИНфО .  
    • demkd
      ---------------------------------------------------------
       4.15.2
      ---------------------------------------------------------
       o Исправлена ошибка при работе с образом автозапуска.
         Для некоторых процессов команда unload не добавлялась в скрипт при нажатии кнопки "принять изменения".  o Добавлена плашка окна на таскбаре для окна удаленного рабочего стола.
         (при работе с удаленной системой) -----------------------------------------------------------
      Есть проблема с локализацией глюка в редких случаях приводящему к аварийному завершению uVS при активном флаге "Проверять весь HKCR".
      На основе дампов его найти не получается, нужна копия реестра системы с такой проблемой, если кому-то попадется такая проблема, то присылайте архив с копией реестра системы мне на почту.  
×