Перейти к содержанию
Иван

Сравнение скорости реакции различных вендоров (Commtouch)

Recommended Posts

Иван

Commtouch совместно с AV-Test.org представили новый сервис Malware Outbreak Center http://www.commtouch.com/Site/ResearchLab/...nt_activity.asp

В рамках этого сервиса по тем зловредам, которые обнаруживаются проактивной технологией Commtouch (Zero-Hour Virus Outbreak Protection), можно увидеть насколько позже чем проактивный Commtouch обнаруживают этих зловредов основные антивирусные вендоры.

Данные о том, когда разные антивирусники начинают обнаруживать зловреда поступают от AV-Test.org.

Если написано Zero-hour detection - значит антивирь берет зловреда сразу. Если No detection - то значит в течении анализируемого периода (несколько суток) антивирус так и не начал детектировать зловреда.

Я собрал ниже данные по зловредам за последний месяц. Сначала табличка по основным антивирям у нас в России распространенным, а дальше общая табличка , где уже много антивирусов.

Интересно кстати поглядеть на Нод32 с его криками про свою уникальную проактивность :lol:. Кстати о проактивности - обратите внимание на Софос.

Название вирей я взял по Касперскому. Для тех вирей, которых Каспер брал одной сигнатурой, указаны контрольные суммы файлов, чтоб различать их.

10_1194966467.jpg_151.jpg

10_1194966452.jpg_962.jpg

_________.JPG

_____.JPG

post-10-1194966777.jpg

post-1-1194966777.jpg

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
sl1

В августе у ЛК детект совсем никакой...

Др.Вебовцы, похоже, работали без отпусков :).

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин
Интересно кстати поглядеть на Нод32 с его криками про свою уникальную проактивност

Я бы больше внимания на Авиру обратил, как-то уж очень она провалилась.

У меня несколько вопросов:

1. Какие критерии выбора вредоносов для этого теста?

2. Детект проверялся через сканеры по требованию или все же самплы запускали?

Это принципиальные моменты, так как выбора самплов сильно влияет, а HIPS'ы вообще могли бы изменить ситуацию кардинально.

Добавлено спустя 5 минут 22 секунды:

А Sophos реально крут :-)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Kokunov Aleksey
А Sophos реально крут

кстати таки да :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Иван
У меня несколько вопросов:

1. Какие критерии выбора вредоносов для этого теста?

только те вредоносы, которые определяются проактивной технологией Commtouch (Zero-Hour Virus Outbreak Protection)

2. Детект проверялся через сканеры по требованию или все же самплы запускали?

поскольку это делал AV-Test.org, то думается мне это простецкое сканирование по требованию

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
4rward
А Sophos реально крут
Кстати о проактивности - обратите внимание на Софос.

Обратил и не совсем доволен остался

Замеченные недостатки- оч много фолсов на распространённые проги

Finereader(ехе и библиотеки), программы прожига cd/dvd ,альтернативные диспетчеры задач (вердиктом Mal/Packer)-нУ , РЕБЯТА ,так можно и 100 % проактива добится вердиктом Exe/File

:!:

Не Sophos , а Safe-us какой-то :D

Плюс к тому - повторный детект при вытягивании из карантина в момент доступа к файлу(надо делать как минимум двойное исключение).

Отсутствие приостановки защиты из меню антивируса.

Негибкий интерфейс.

Я понимаю , что преимущественно ориентир на корпоратив , но всё-таки ........ :!:

Добавлено спустя 2 минуты 31 секунду:

http://www.anti-malware.ru/phpbb/viewtopic.php?t=3774

Видно , действительно , есть за что зацепиться

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
NickXists
...

Негибкий интерфейс.

Я понимаю , что преимущественно ориентир на корпоратив , но всё-таки ........ :!:

...

А что именно имелось в виду? и на какой версии?

А то как-то глазел на список настроек вида

"не трогайте руками, если вы не представляете точно, что сие значит..." : )

в версии 6.5.6:

http://www.softpedia.com/get/Antivirus/Sop...Antivirus.shtml

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Иван
В августе у ЛК детект совсем никакой...

Др.Вебовцы, похоже, работали без отпусков :).

ну это бабушка на двое сказала, тут ситуация двоякая - хоть по детекту zero hour Доктор лучше.

Но если смотреть сколько кто задетектил например в первые сутки и ваще сумел задектить за анализируемый период - то тут Касперский лучше Доктора в августе.

Я обработал всю статистику commtouch за август (141 зловред), результаты скорости реакции (оттносительно проактивки commtouch) на диаграмме.

Планирую обработать скоро сентябрь и октябрь.

commtouch.PNG

post-10-1195229274.png

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Dexter
Я обработал всю статистику commtouch

Очень любопытно, спасибо.

Если можно, то несколько вопросов.

Есть ли взаимосвязь между commtouch и sophos?

(Я совсем не против sophos, да и google не дураки, раз поставили его на гмыл, несмотря на то, что исполняемые файлы он и не отправляет и не получает:))

В чем суть технологии commtouch?

Ловят ли sophos и commtouch близкий набор пакеров?

Каким движком ловит F-secure свои 40% ?

Ловит ли Bitdef пакерs?

Что с авирой такое? :)

Насколько то, что ловит commtouch своей технологией является широко распространенным itw?

Спасибо, если кто ответит.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Иван
Есть ли взаимосвязь между commtouch и sophos?

(Я совсем не против sophos, да и google не дураки, раз поставили его на гмыл, несмотря на то, что исполняемые файлы он и не отправляет и не получает:))

боюсь, что нет. а на свежачке софос неплохо ловит, все больше убеждаюсь в этом

В чем суть технологии commtouch?

Ловят ли sophos и commtouch близкий набор пакеров?

насколько я понимаю основная технология commtouch - это некий статистический фильтр, который ловит массовые мыльные рассылки зловредов и спама, наверное на основе нечетких шаблонов (неких контрольных сумм) писем это делается.

Каким движком ловит F-secure свои 40% ?

а кто ж его знает, да хоть нормановски сендбоксом, который у них внутри.

Ловит ли Bitdef пакерs?

Что с авирой такое? :)

затрудняюсь ответить :D

Насколько то, что ловит commtouch своей технологией является широко распространенным itw?

учитывая то что вя технология построена на обнаружении именно массовых мыльных рассылок (того же врезова к примеру), а движок комтача стоит у множества оем партнеров, то несомненно ITW.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Dexter
боюсь, что нет.

Ну как-то излишне хорош он.

На онлайне почти 80%, крутовато... :)

а на свежачке софос неплохо ловит, все больше убеждаюсь в этом

Угу.

Тоже есть такое стороннее наблюдение, поскольку живьем не видел, но не на пакерах ли?

В смысле, "нормальный" детект вроде явно неплохой, но не добавляются ли в общую картину пакеры?

да хоть нормановски сендбоксом

Вряд ли. Норман существенно меньшую цифру

показал.

учитывая то что вся технология построена на обнаружении именно массовых мыльных рассылок (того же врезова к примеру), а движок комтача стоит у множества оем партнеров, то несомненно ITW.

То что ITW, ясно из сути самой работы кентачтиза, но насколько широко распространенные исходя из самой его технологии, насколько он сам хорошо ловит и как?

Мы же знаем, что, например, в случае особо глобальных рассылок-эпидемий симантек-тренд... весьма тоже неплохи. Но глобальные взломы сайтов со своей особой спецификой они не очень хорошо отслеживают в отличии, например, от российских изготовителей антивирусов.

P.S.

Ловит ли Bitdef пакерs?

Что с авирой такое?

затрудняюсь ответить

По поводу бита вопрос все еще интересен.

Может кто знает?

По поводу, авиры...

Вопрос был аллюзией на параллельную ветку и статью в каком-то PC-журнале, хотя судя по присутствующему в ответе смайлу вроде и не нужно было об'яснять :)

P.P.S. Еще раз спасибо за подсчеты, надеюсь, что они не последние.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
sl1
ну это бабушка на двое сказала, тут ситуация двоякая - хоть по детекту zero hour Доктор лучше.

Но если смотреть сколько кто задетектил например в первые сутки и ваще сумел задектить за анализируемый период - то тут Касперский лучше Доктора в августе.

Спасибо за график.

Я просто по-быстрому пробежался и август в глаза как-то бросился.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Иван
P.P.S. Еще раз спасибо за подсчеты, надеюсь, что они не последние.

commtouch_________.PNG

commtouch______.PNG

commtouch________.PNG

commtouch_______.PNG

post-10-1195572640.png

post-1-1195572640.png

post-1-1195572641.png

post-1-1195572642.png

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
dan

Интересно, у них всё нормально с настройками продуктов?

Детект у Авиры и Нода явно низковат, что рознится с последними результатами тестов, того же Клименти.

Где 80% zero-hour детект Авиры и 70% Нода?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Иван

я тоже задумался об этом, возможны мне думается три варианта

1.ребята из AV-Tets, которые снабжают Commtouch, инфой чего-то напутали с настройками

2.В тестах клименти все настройки стоят на максимуме как известно, возможно у AV-Tets продукты берутся с настройками по умолчанию

3.именно на зловредах, которые массовыми мыльными рассылками распространяются авира с нодом проваливаются

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Dr.Golova

Бррр, че с авирой то случилось? Правда чтоли все так плохо? Почему тогда другие тесты не показывают такой просадки?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
BeAsT
Бррр, че с авирой то случилось? Правда чтоли все так плохо? Почему тогда другие тесты не показывают такой просадки?

Всё собственно логично и понятно! Они не работают с пользователями, а просто берут чужие коллекции вирусов и добавлют их... паразитируют

а на графиках как я понимаю показана реальная скорость ответа вирлабов пользователям.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
BeAsT

аааа... ну если не вирлабов то хз...

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Иван

ноябрь

commtouch______.PNG

post-10-1196440284.png

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Dexter
ноябрь

Навскидку.

Странно резкие рывки вверх virusbustera, каспера, аваста, антивира, сима и тренда...

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин

Спит большая тройка + эвристические гуру (Авира, Есет).

Добавлено спустя 34 секунды:

Про VirusBuster забыл, сорри :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Valery Ledovskoy
Спит большая тройка + эвристические гуру (Авира, Есет).

Я просто писаю кипятком от таких тестов :D

Не, правда, спасибо. Прям бальзам на душу после пресных классических тестов на детект.

Да, Dr.Web не всегда в таких тестах лидирует. Но я вижу, что VB, Клементи и Карламарла не отражают всех тенденций АВ-индустрии.

Извините, несколько развязно пишу, ибо только что с юбилея хорошего человека. Нет, не под градусами, просто большой заряд хорошего бодрого настроения после хорошей русской баньки :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Dmitry Perets
большой заряд хорошего бодрого настроения после хорошей русской баньки :)

Ну то есть под градусом =)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Valery Ledovskoy
Ну то есть под градусом =)

Спорить не буду. Классические тесты на детект наличия градусов отвергаю как несостоятельные :lol:

Вам мнение важно или шашечки? ;)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Dmitry Perets
Спорить не буду. Классические тесты на детект наличия градусов отвергаю как несостоятельные :lol:

Вам мнение важно или шашечки? ;)

=)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

  • Сообщения

    • Ego Dekker
      ESET Cyber Security был обновлён до версии 8.2.3000.
    • demkd
      Это можно. Хотя можно ведь просто нажать Enter.
    • PR55.RP55
      Да, но... ( как мне кажется ) Можно кнопку " Перезагрузить и запустить до запуска эксплорера " поместить после: Проверять весь HKCR ( больше файлов в списке ) на размер это не повлияет, а вот случайно ткнуть уже не выйдет.  
    • demkd
      тут увы, уже слишком много кнопок, а окошко должно помещаться в экран и при низком разрешении, а будут еще 2 кнопки.
    • PR55.RP55
      Demkd По поводу интеграции в Windows, бала такая программа ( до санкций ) Antisms   там имели место быть ряд полезных функций. В том числе и автоматические действия - ( блокировка файлов по ЭЦП ); Удаляются файлы autorun.inf в корне каждого логического диска и т.д. ------ По поводу меню:  Запустить под текущим пользователем и Перезагрузить и запустить до запуска эксплорера Кнопки находятся слишком близко - я уже несколько раз случайно жал не ту кнопу. Мало приятного.
×