Специфика Symantec Antivirus Corporate Edition 10

[SpasitelofMoney 0]

На компьютер:

P4 2,4B; I845PE, 1G, 80G Seagate Barracuda IV, Geforce 6600 256mb,...

Windows XP SP2 Pro свежеустановленный + все апдейты от Microsoft

поставил

Symantec Antivirus Corporate Edition 10.0.2.2010 Client Unmanaged English

(был установлен новейший патч с Symantec от 17 января 2006)

Liveupdate 2.7.34.0

Scan Engine - 51.3.0.11

Virus Definition File: 21.01.2006 rev.6

Никаких настроек не менял. Все по дефолту.

По ссылке

http://www.kpnemo.ru/news/2005/09/20/1569_virusov/1.html

скачал с rapid share

http://rapidshare.de/files/5310996/4test.rar.html

архив завирусованных файлов 4test.rar (2,95mb)

Утверждается там же что там 1569 вирусов.

Далее отключил в SAV real-time сканирование

Декомпресировал rar файл до уровня zip архивов.

Запустил проверку на вирусы полученной папки с zip архивами.

Получил следующие результаты:

3190 сканированных файлов

1594 найденных вирусов

03:28 время сканирования

В случае если декомпресиировал и сами зипы до одной большой папки с вирусованными com/exe файлами - антивирус проверял ее черезвычайно долго - не стал ждать

Замечание: real-time проверка отключалась чтобы избежать вероятность того что какие-нибудь файлы

будут излечены еще до того как произойдет полное сканирование.

*******************************************

Попробовал протестить тоже но с sav 9.0.5.1000

Liveupdate 2.7.34.0

Scan Engine - 51.3.0.11

Virus Definition File: 18.01.2006 rev.7

Никаких настроек не менял. Все по дефолту.

ИНТЕРЕСНЫЕ РЕЗУЛЬТАТЫ

При провреке папки с zip

3190 сканированных файлов

1595 найденных вирусов !!!

11:20 время сканирования !!!

При сканировании папки с вирусными файлами(куда декомресированны все zip)

1620 сканированных файлов

1593 найденных вирусов

10:34 время сканирования

Получается что SAV9 проверял почти в 3 раза дольше чем SAV10

!! НЕПОНЯТНО ПОЧЕМУ SYMANTEC НЕ ПРОВОЗГЛАСИЛА ЕЩЕ НА ВЕСЬ МИР ЧТО SAV10 в 3 раза быстрее чем SAV9 !!

*************************************

*************************************

Возможно что это глюки SAV10 (любой версии):

1. Папка из 1620 завирусованных файлов(com/exe) SAV10 проверяет по требованию очень долго (sav9 - 10:34)

2. из этой папки создается впечатление при запуске любого файла что файл сначала запускается а потом через несколько секунд антивирус сообщает о том что там вирус (sav9 - даже не дает запустить - сразу ругается)

3. даже если real-time проверка в настройках отключена sav10 в отличии от sav9 начинает все равно

сыпать сообщениями о найденных вирусах при входе в папку с зараженными файлами

КТО-НИБУДЬ может объяснить почему sav10 так себе в данном случае

проявляет (кстати неважно какой sav10 версии в данном случае). Просто еще есть

вариант внедрять SAV9 а не 10. Хочется понять на сколько правильно проявляет

себя SAV10 в данном случае так как его выбрать хочется больше.

[broker 30]

внедрять SAV 9, как Вы написали, более привычно NAV.. не надо..

Так как, обновления для SAV 9.0 выходят рвз в неделю, для SAV 10 каждый день. (Но вам тут напишут, что это не главное). Конечно появились новые возможности (например антиспайварный модуль).. поэтому много отличий.. читайте сайт производителя.

[Сергей Ильин 1538]

По ссылке

http://www.kpnemo.ru/news/2005/09/20/1569_virusov/1.html

скачал с rapid share

http://rapidshare.de/files/5310996/4test.rar.html

архив завирусованных файлов 4test.rar (2,95mb)

Хотел скачать, ссылка не работает уже по ходу.

Далее отключил в SAV real-time сканирование

Декомпресировал rar файл до уровня zip архивов.

Запустил проверку на вирусы полученной папки с zip архивами.

Получил следующие результаты:

3190 сканированных файлов

1594 найденных вирусов

03:28 время сканирования

У меня сразу несколько вопросов:

1. Почему если вирусов всего 1569 детектиться больше, т.е. 1594? :puzzled:

2. Проверка архивов была ключена или нет (по умолчанию она вроде как выключена в Symantec, чтобы быстрее работал)?

В случае если декомпресиировал и сами зипы до одной большой папки с вирусованными com/exe файлами - антивирус проверял ее черезвычайно долго - не стал ждать

Судя по этой фразе, проверка архивов все таки была отключена.

Кстати, о том, что Symantec очень тормозит на зараженных файлах я уже многократно слышал, это еще одно подтверждение.

Попробовал протестить тоже но с sav 9.0.5.1000

ИНТЕРЕСНЫЕ РЕЗУЛЬТАТЫ

При провреке папки с zip

3190 сканированных файлов

1595 найденных вирусов !!!

11:20 время сканирования !!!

Найдено на один вирус больше, чем 10-кой. Совсем не понятно почему ... Что это, ложное срабатывание "несовершенной эвристики" 9-ки?

Получается что SAV9 проверял почти в 3 раза дольше чем SAV10

!! НЕПОНЯТНО ПОЧЕМУ SYMANTEC НЕ ПРОВОЗГЛАСИЛА ЕЩЕ НА ВЕСЬ МИР ЧТО SAV10 в 3 раза быстрее чем SAV9 !!

1. Папка из 1620 завирусованных файлов(com/exe) SAV10 проверяет по требованию очень долго (sav9 - 10:34)

Но проверка по требованию в 10-ке вроде как намного дольше, поэтому об ускорении можно говорить только для on-access сканирования.

Так как количество просканированных файлов одинаково, то говорить о том, что 10-я версия проверяет меньше и поэтому тормозит не приходится.

Попробую разбораться, что такого добавили в движке 10-ки по сравнению с 9-й версией.

2. из этой папки создается впечатление при запуске любого файла что файл сначала запускается а потом через несколько секунд антивирус сообщает о том что там вирус (sav9 - даже не дает запустить - сразу ругается)

Скорее всего это просто субъективное впечатление.

3. даже если real-time проверка в настройках отключена sav10 в отличии от sav9 начинает все равно

сыпать сообщениями о найденных вирусах при входе в папку с зараженными файлами

Это правильно, вообще выгрузка антвиируса должна быть запрещена применительно к корпоративных продуктам.

Просто еще есть вариант внедрять SAV9 а не 10. Хочется понять на сколько правильно проявляет себя SAV10 в данном случае так как его выбрать хочется больше.

Если смотреть по тем фактам, которые тут указаны, то лучше выбрать 10-ю версию, потому как монитор у нее быстрее работает, а это важнее, чем проверка по требованию (тем более случай, что в сети у кого-то будут валяться архивы вирусов маловероятна )

А различия по используемым ресурсам есть?

Просто у антивирусы Symantec с каждым годом все больше и больше памяти и ресурсов проца требуют ...

[Сергей Ильин 1538]

Еще по поводу скорости работы.

Нельзя по приведенным вами сведениям говорить о том, что 10-я версия в 3 раза быстрее. Потому как скорость проверки зараженных файлов это не самый важны показатель.

Если уж мерить скорость, то надо проверять на чистых файлах, например, на директории винды, а еще лучше с разбивкой на наборах файлов определенного типа.

Подбробно мы обсуждали эту тему здесь

http://www.anti-malware.ru/phpbb/viewtopic.php?t=51

P.S. Убедительная просьба в этой ветке на тему тестирования скорости не флеймить, для этого есть специальная тема.

[Михаил Кондрашин 55]

P.S. Убедительная просьба в этой ветке на тему тестирования скорости не флеймить, для этого есть специальная тема.

Сам флеймить не хочу, так как разные машины, да и скорость проверки зараженных файлов --- сомнительный тест, но мой клиент OfficeScan, проверил эту папку за 21 сек (нашел 1575 вирусов).

У меня Athlon XP 1.5

[SpasitelofMoney 0]

Сергей Ильин

Чтобы скачать вирусную базу, надо зайти браузером

на страницу http://rapidshare.de/files/5310996/4test.rar.html

Нажать кнопку Free. Далее дождаться до того

когда появится приглашение нажать Start Download кнопку.

Ввести в окошко код который она сама сообщает и затем

нажать Start Download. Скачивать браузером а не качалкой!

Решаю вопрос о том, что лучше для внедрения в организации - SAV9 или SAV10 Client Unmanaged.

ФИНАЛЬНЫЙ ВАРИАНТ ВПЕЧАТЛЕНИЙ ОТ АНАЛИЗА РАБОТЫ SAV10

Под xp sp2 и 2k3 sp1 ent

В случае если сканируешь им по требованию папку в которой нет вирусов – сканит очень быстро.

SAV9 в этом случае проверяет несколько дольше.

В случае если сканируешь им по требованию папку в которой есть зараженные com/exe файлы (хотя бы чуть чуть и по 5кб каждый например), когда он будет находить зараженные, очень сильно тормозит на каждом (у меня по 20 сек).

SAV9 в этом случае не тормозит и выдает отчеты очень быстро.

Сканирование по требованию в режиме защиты от сбоев SAV10 выполняет без тормозов, но и скорость не такая, какая могла бы быть, если бы был обычный режим. Получается, что в случае если зараженных файлов много лучше для полного сканирования в обычном режиме использовать SAV9, так как SAV10 на каждом зараженном файле (даже очень маленьком) будет тормозить по 20 сек.

В случае если лазишь по папкам при включенном реал-тайм сканировании и делаешь что-угодно тормоза очень малы если не сказать незаметны (если не находит зараженные файлы).

SAV9 в этом случае тормозит компьютер больше.

В случае если антивирус в режиме реал-тайм сканирования находит зараженной exe или com файл, файл может изчезнуть (помещается в карантин), далее компьютер начинает секунд 30 тормозить(видно через cntr+alt+del) и затем появляется отчет о вирусе и статусе. И так будет на каждом найденном зараженном файле, а загрузка CPU порядка 75% и более.

SAV9 в этом случае очень быстро выдает отчет о проверке.

! Зараженные zip файлы SAV10 по требованию сканирует в 3,5 раза быстрее чем SAV9 и никаких тормозов нет !

Первый вход в окно настроек SAV10 идет очень долго и в течении этого времени загрузка CPU велика. SAV9 – очень быстро.

SAV10 ловит больше вредоносного кода (spyware, adware) чем SAV9. SAV10 обновляется автоматически каждый день, а SAV9 – как правило раз в неделю.

Вывод: SAV10 тормозит при лечении зараженных файлов (при нахождении каждого зараженного com/exe комп у меня тормозит 20 сек.), а SAV9 – не тормозит.

В то же время SAV10 меньше тормозит систему в целом, в отличии от SAV9.

Соответствует ли данное впечатление Вашим представлениям?

Выскажитесь, пожалуйста. Просто уж больно странно тормозит комп SAV10 при лечении зараженных com/exe файлов.

[broker 30]

10 лучше 9, если обнаружен вирус то тормоза оправданы.

если просто тормозит - то надо посмотреть что он проверяет вообще..

Тормоза при первой загрузке окна настроек это нормально..В обычном режиме работают только сервисы. 9 кстати тоже тормозит.

у 9 (не знаю как на 10) есть огромный минус - все ограничения (на удаление, на сканирования сетевых дисков и т п) можно снять через реестр (конечно при наличии админских прав)

9 становится на nt, 10 нет (но это архаизм)

В целом, если Вам нравится symantec- то только 10.

[SpasitelofMoney 0]

broker

Вы пишете что тормоза при лечении зараженного файла

оправданы.

Но почему же даже зараженный exe файл размером 5К

sav10 проверяет 20 сек. и тормоза более 75% на

моем относительно быстром компьютере. В то же время SAV9 делает это очень быстро.

Если вирусов на компе много, то обычное полное

сканирование по требованию не в режиме защиты от сбоев на компьютере с SAV10 занимает дикое кол-во времени.

Почему тогда Symantec, не пишут в руководстве, что для таких целей лучше использовать sav9?

[broker 30]

sav 9 лучше не использовать

[SpasitelofMoney 0]

broker

единственное что мне хотелось бы здесь узнать,

правильно ли я описал, как sav10 проверят

зараженные .exe файлы (даже если один).

Просто может быть я настраивать не умею !?

Это же ужас наверное творится на 2k3 когда

sav10 находит на нем зараженный .exe файл...

[broker 30]

broker

единственное что мне хотелось бы здесь узнать,

правильно ли я описал, как sav10 проверят

зараженные .exe файлы (даже если один).

Просто может быть я настраивать не умею !?

Это же ужас наверное творится на 2k3 когда

sav10 находит на нем зараженный .exe файл...

оставьте настройки по умолчанию..

а что твориться с 2k3 ?

[Михаил Кондрашин 55]

Решаю вопрос о том, что лучше для внедрения в организации - SAV9 или SAV10 Client Unmanaged.

Я не разбираюсь в решениях Symantec, но если "Unmanaged" означает, что клиент не управляется из центральной консоли, то нужно ставить SAV9. Однозначно, как говорит один наш общий знакомый. Если ваш SAV10 имеет централизованное управление, то ставить нужно именно его, так как более поздние версии антивирусных продуктов, как правило, предоставляют лучшую защиту.

[SpasitelofMoney 0]

инетересно узнать в чем разница между

sav10 Client managed и unmanaged с точки

зрения характера работы описанного выше...

что даже советуют ставить sav9 unmanaged

ужас в общем

broker

на 2k3 sp1 - тоже самое как на xp sp2

[broker 30]

с точки зрения работы клиента разницы быть недолжно.

[SpasitelofMoney 0]

НАСТРОЙКИ ПО УМОЛЧАНИЮ

ничего не менял

у знакомых пробовал - аналогично

Причем версия релиза 10-и значения не имеет !

[broker 30]

есть странное ощущение, что 10 - тормоз. при мануал скане..

[Михаил Кондрашин 55]

есть странное ощущение, что 10 - тормоз. при мануал скане..

Насколько это принципиально? На мой взгляд важнее скорость Real-time-сканирования...

[broker 30]

это надо видеть собственными глазами, сначала он начинает сканировать.. потом пропадает.. создаётся ощущение что файл чистый.. и секунд через 20 только вирус обнаруживается..

мне кажется это связано с функцией бэкапирования архивов

[Сергей Ильин 1538]

это надо видеть собственными глазами, сначала он начинает сканировать.. потом пропадает.. создаётся ощущение что файл чистый.. и секунд через 20 только вирус обнаруживается..

мне кажется это связано с функцией бэкапирования архивов

Кстати, в 9-ке бекапирование было вообще?

Может здесь собака зарыта как раз ... и тормоза на зарараженных файлах тогда объясняются.

[SpasitelofMoney 0]

broker

есть странное ощущение, что 10 - тормоз. при мануал скане..

-

Также SAV10 тормоз при тестировании зараженных исполняемых файлов в режиме реал-тайм. Хотя если зараженных нет - никаких тормозов.

Хотелось бы конечно же чтобы ты попробовал сам в этом убедиться

Михаил Кондрашин

На мой взгляд важнее скорость Real-time-сканирования...

- когда SAV10 тестирует в реал-тайме зараженный файл под 2K3, который в данный момент занимается важным делом, тормоза(CPU load) более 75% в течении например 30 секунд, даже если файл всего лишь 5K - это же кошмар для сервера

broker

это надо видеть собственными глазами...

Нет дело не в архивах. Кладем в папку несколько зараженных exe или com файлов. Заказываем проверку по требованию (или просто пытаемся запустить каждый из них) - при проверке каждого файла, торможение составит секунд 30 и в течении этого времени CPU Load >75% В конце проверки каждого файла - отчет о результах.

Сергей Ильин

Кстати, в 9-ке бекапирование было вообще?

Забудьте пожалуйста об архивах - с ними проблем нет.

Проблема в сканировании несжатых исполняемых файлов.

В SAV9 бэкап есть.

[/b]

[SpasitelofMoney 0]

только что получил следующее объяснение от одного админа:

*** Чем мне и нравится 10-й : он полностью разбирает действия вируса. Т.е. при лечении он вычисляет все файлы, службы, записи в реестре и пр. - можешь сам это увидеть когда правой кнопкой и свойства на событии. Поэтому и тормозит, что усиленно трасирует все действия вируса. Симантек молодец! ***

1. Единственное что тогда если на компьютере много зараженных файлов - при полной проверке на вирусы компьютер будет тормозить все время проверки.

(потому что 99% времени придется на борьбу с зараженными)

2. почему-то тем не менее sav10 полный тест на вирусы в режиме защиты от сбоев - не тормозит компьютер, но кому он нужен этот safe mode - не говоря о том что для серверов этот режим чужд.

Осталось разобраться с п. 1,2.

[broker 30]

я выявил повышении загрузки процессора до 99% при сканировании (ручном или по рассписанию) файлов заражённых вирусами.

Могу сказать, что в обычном режиме проблема возникает только при сканировании карантина symantec или служебных папок виндуза при колличестве вирусов больше 20 можно просто отойти от компа..

[broker 30]

только что получил следующее объяснение от одного админа:

*** Чем мне и нравится 10-й : он полностью разбирает действия вируса. Т.е. при лечении он вычисляет все файлы, службы, записи в реестре и пр. - можешь сам это увидеть когда правой кнопкой и свойства на событии. Поэтому и тормозит, что усиленно трасирует все действия вируса. Симантек молодец! ***

1. Единственное что тогда если на компьютере много зараженных файлов - при полной проверке на вирусы компьютер будет тормозить все время проверки.

(потому что 99% времени придется на борьбу с зараженными)

2. почему-то тем не менее sav10 полный тест на вирусы в режиме защиты от сбоев - не тормозит компьютер, но кому он нужен этот safe mode - не говоря о том что для серверов этот режим чужд.

Осталось разобраться с п. 1,2.

в данном случае речь идёт не о лечении.. заражённые файлы уже в карантине.

[SpasitelofMoney 0]

broker

ПРЕДПОЛОЖЕНИЕ - В СЛУЧАЕ CLIENT MANAGED 10 ПОДОБНЫХ СТРАННОСТЕЙ НАБЛЮДАТЬСЯ НЕ БУДЕТ

У тебя наверняка много связей. Не мог бы ты

адресовать вопрос по поводу таких торможений

легальным пользователям SAV Client Managed 10.

Самое сложное будет - коротко им описать как правильно

провести тестирование.

***************************

Проблема: торможение (CPU Load >75%) до появления отчета о проверке(по одному отчету на каждый зараженный файл) при real time/(по требованию) проверке с помощью SAV10 Client Unmanaged на самом деле зараженных несжатых com/exe файлов. Даже если это 1 файл размером 5K. Настройки - дефолтные. Версия любая. XP SP2/ 2K3 SP1. С SAV9 - тормозов таких нет.

Вопрос: Так и должно быть или что-то неправильно настроено?

Как проводить тестирование:

1. скачать архив зараженных файлов (скачивать браузером, нажать кнопку Free)

http://rapidshare.de/files/5310996/4test.rar.html

2. отключи защиту real-time (щит должен стать перечеркнутым в красном кружке)

3. декомпрессируй rar до zip файлов

4. декомпрессируй zip-ы до одной папки с несжатыми com/exe файлами

5. не входи в полученную папку!

6. проверь что в полученной папке 1620 файлов

7. закажи проверку по требованию этой папки

8. тест будет длиться дико долго и ты не захочешь ждать

9. напиши о результах

10. Возможно что результаты Client Managed и Client Unmanaged будут различаться

***************************************

при колличестве вирусов больше 20 можно просто отойти от компа..

Если бы ты при этом захотел что-нибудь поделать - то не ощутил бы тормозов в виду того что приоритет в SAV10 выставлен минимальный и соответственно SAV10 стал бы в этом случае просто меньше грузить CPU.

Кстати то что в этой статье

http://www.anti-malware.ru/index.phtml?par...anid=detection1

отсутствует SAV10 но присутствует NAV2006 а в предыдущей

http://www.anti-malware.ru/index.phtml?par...;anid=detection

присутствуют SAV9 и NAV2005 дает основание считать, что

и в лицензионных SAV10 присутствует обсуждаемая проблема.

Тестеры просто не захотели ждать 2-е суток пока бы SAV10 проверил бы 110000 на самом деле зараженных файлов.

[broker 30]

ничего не понял..