Сравнительный анализ антивирусного ПО

[A. 875]

что-то у вас косяки какие-то

в первом тесте поставили NOD, Финам и Тренду по 6 - хотя у финов резалт 2.5 - у нода и тренда - 1, а у Макафи которому вы поставили 5 - меньше чем у финов (1.5)

теперь мне придется все пересчитывать

Добавлено спустя 1 минуту 33 секунды:

это Валерию было

[Valery Ledovskoy 1082]

A., возможно, я где-то и ошибся. Собирался идти спать 2 часа назад, но втянулся в идею альтернативных подсчётов

Если не сложно, посчитайте правильно. А я всё же спать, ибо времени на сон не осталось.

[Иван 290]

Валерий, я вам уже сказал один раз и повторю еще.

1.Антивирусы должны оцениваться по нескольким параметрам это очевидно. Вы не будете спорить c этим надеюсь?

2.Моя оценка в лоб неправильна - хорошо. Чем больше ее ругают и спорят на ее тему - тем лучше, в споре рано или поздно родится решение. Поэтому чем больше будет обсуждаться идея интегральной оценки - тем лучше.

3. Я в своей плохой интегральной оценке по крайней мере не передергивал результаты тестов, как это делаете Вы

[A. 875]

Если не сложно, посчитайте правильно. А я всё же спать, ибо времени на сон не осталось.

сейчас посчитаю. мне методика в принципе нравится.

[Иван 290]

Так и у Ивана также. Только никто меня не хотел слушать, пока я Dr.Web на первое место не поставил. Думали, наверное, что это невозможно. Возможно, в математике всё возможно. И синус в военное время до 4 может доходить.

Валерий Вы поставили ДОктора подтасовав результаты теста - убрав его из теста самозащиты где у него 10е место и поставив на первое место в тесте на руткиты

я себе подобного не позволял

далее - я согласен с более чем половиной ваших замечаний, у вас было много ценных идейб например интегрировать не места а результаты в процентах отнормирововав их между нулем и единице и т.д.

Очень хорошо, что републикация всколыхнула новую волну обсуждения, надеюсь в это выйлется во что-то новое и интерсное и кто-то, может быть даже Вы Валерий напишет интерсную статью на эту тему. Было бы здорово.

[Иван 290]

нет, я не признаю что был не прав призывая к интегральной оценке

считаю, что интегральная оценка нужна.

Я однако признаю, что методика интегральной оценки должна быть очень сильно проработана и чем больше будет обсуждаться моя дырявая методика - тем больше шансов что интегральная оценка случится.

И надеюсь что эта более совршенная методика интегральности в итоге выльется в некую оценку антивирусов по итогам года здесь на антималваре. Хотя в принципе считаю, что не очень здорово для тинтегральной оценки брать результаты только одного источника. Так что очень хорошо что тема снова всплыла. ТОлько не надо результаты передергивать, надо думать как правильно их интегрировать

[A. 875]

Итак.

Возьмем за основу принципы:

- если продукт не участвовал в тесте, то его общая сумма делится на количество тестов в которых он участвовал.

- если два или более антивирусов показали одинаковые результаты - они получают одинаковую оценку.

- если антивирус участвовал в тесте и показал нулевой результат - он получает оценку 14.

1.PNG - Первый проход (по системе Валерия - без концепт руткитов)

- авира, аваст, vba32, panda, sophos - по данным 4х тестов.

- avg по 3м.

2.PNG - Теперь все тоже самое - но только с учетом ПОЛНОГО теста антируткитов.

Как видите - результаты изменились незначительно и места не изменились.

Добавлено спустя 41 минуту 21 секунду:

напишите кто-нибудь хоть что-то - мне надо другую таблицу отдельным постом запостить

[vaber 350]

гы)

[A. 875]

Спасибо vaber

--

Возьмем все те же пять тестов с anti-malware.

Возьмем систему принципов -

- если продукт не участвовал в тесте, то его общая сумма делится на количество тестов в которых он участвовал.

- если два или более антивирусов показали одинаковые результаты - они получают одинаковую оценку.

Для решения проблемы с разными баллами за последнее место в одном тесте (оно же 7-ое) и другом (оно же 14е) применим процентную систему.

Всего у нас рассматривается 14 антивирусов.

Тест антируткитов

из 14 участовало 8 - которые распределились в итоге по 7 позициям.

За первое место мы даем 100%, за последнее (7ое) - 0%.

Таким образом процентный шаг для промежуточных мест будет равен 16.66 (100/6).

1 - 100

2 - 83.3

3 - 66.64

4 - 49.98

5 - 33.32

6 - 16.66

7 - 0

Тест проактивной защиты.

Участвовали 14 продуктов, которые распределились по 14 позициям. 100/13.

1 - 100

2 - 92.31

3 - 84.62

4 - 76.92

5 - 69.23

6 - 61.54

7 - 53.85

8 - 46.15

9 - 38.46

10 - 30.77

11 - 23.08

12 - 15.38

13 - 7.69

14 - 0

Тест на лечение активного заражения.

Участвовало 14 продуктов, которые распределились по 10 позициям. 100/9.

1 - 100

2 - 88.89

3 - 77.78

4 - 66.67

5 - 55.56

6 - 44.44

7 - 33.33

8 - 22.22

9 - 11.11

10 - 0

Тест самозащиты.

Участовало 13 продуктов, которые распределились по 10 позициям.

100/9

1 - 100

2 - 88.89

3 - 77.78

4 - 66.67

5 - 55.56

6 - 44.44

7 - 33.33

8 - 22.22

9 - 11.11

10 - 0

Тест на знание упаковщиков

Участвовало 14 продуктов, которые распределились по 6 позициям.

100/5

1 - 100

2 - 80

3 - 60

4 - 40

5 - 20

6 - 0

Видно, что чем больше количество участников теста - тем выше проценты за полученные места - например 92.31 за второе при 14-и участниках или 83.30 при 7-и.

С другой стороны - мы видим что при большом количестве участников (14 на знание пакеров), но и большой идентичности показателей у антивирусов - проценты оказываются ниже (80% за второе место). Это свидетельствует о недостаточной проработанности методики конкретного теста (малом числе самплов) - из-за чего итоговое количество мест - не велико. По идее - такие тесты и должны иметь более низкий вес, чем остальные.

Итак, что же мы имеем в итоге ?

Опять все складываем и делим на количество тестов, в которых участвовал конкретный антивирус.

- авира, аваст, vba32, panda, sophos - по данным 4х тестов.

- avg по 3м.

Данные составлены с разницей тесте руткитов - 3.PNG - полный тест с учетом концептов, 4.PNG - без концептов.

Добавлено спустя 21 минуту 21 секунду:

слабое место сам вижу - в итоге avast оказался выше чем nod, хотя по данным тестов в трех случаях из четырех нод был лучше аваста. с другой стороны аваст не швыряло туда сюда - от 85 до 0 - он шел средненько но уверенно.

[Valery Ledovskoy 1082]

A., спасибо, очень интересно. Теперь по крайней мере видно, что от метода подсчёта результатов мало зависит окончательный результат. Т.е. результаты достаточно устойчивы к незначительным изменениям в методике.

Иван, данный набор тестов мне нравится хотя бы потому, что суть практически каждого теста в данном наборе из тестов anti-malware.ru практически не пересекаются. В Вашем же наборе тестов, например, преобладают тесты на детект. Это неправильно. Нужно как-то усреднить тесты на детект и считать их за один тест, наверное. К тому же нельзя каждому тесту давать одинаковый вес, ибо они неравнозначны. Тут и кроется основная проблема. Какой вес дать какому тесту? Один из вендоров считает, что самозащита - это наше всё. Другой считает, что проактивка. Третий, что противодействие активному заражению. Итого, всем угодить невозможно, и результаты снова получаются субъективными.

Например, по тестам на anti-malware.ru преимущество получают продукты, которые лучше противодействуют руткитам, т.к. таких теста по сути 2 из 5. В Вашей же статье, Иван, преимущество получают продукты, у которых хороший общий детект (таких тестов несколько), при этом нет теста по противодействию руткитам (а это плохо).

Что же касается Dr.Web на первом месте. Я всего лишь показал, что результатами можно манипулировать, если делать целенаправленные предположения. Мы это все видим и понимаем, а если бы подобная статья была опубликована где-нибудь в журнале, то средний пользователь вряд ли прознал, что к чему. Я прекрасно понимал, что по результатам тестов antimalware.ru Dr.Web не будет на первом месте при интегрировании "в лоб". Но Вы, Иван, тоже делаете некоторые предположения в своей статье, и я показал, как такими предположениями можно манипулировать.

[Сергей Ильин 1538]

Очень интересно получается, что-то такое нужно будет опуликовать официально на нашем сайте в середине года, когда будут готовы еще другие тесты, которые сейчас нет. Мы к тому времени будем иметь самую широкую линейку проведенных тестов.

Занятно, что учет концептов никак не влияет на конечный результат :-)

Для решения проблемы с разными баллами за последнее место в одном тесте (оно же 7-ое) и другом (оно же 14е) применим процентную систему.

Удачная система, по сути нормирование получилось.

[Иван 290]

ну а мне не очень по душе последнее нормирование

во-первых как-то сложно

а во-вторых если уж нормировать, то давайте тогда брать не места в тесте а реально набранные баллы (проценты), так мы учтем что разрыв например между первым и вторым местом может быть очень маленький, а может быть огромный.

[Александр Шабанов 120]

ну а мне не очень по душе последнее нормирование

во-первых как-то сложно

а во-вторых если уж нормировать, то давайте тогда брать не места в тесте а реально набранные баллы (проценты), так мы учтем что разрыв например между первым и вторым местом может быть очень маленький, а может быть огромный.

Согласен с Иваном, нормирование по кол-ву участников получается не очень правильным, на мой взгляд, объективней было бы нормировать по лучшему результату, например так:

Тест на лечение активного заражения:

1. Dr. Web - 82 --- 10 баллов

2. Kaspersky 71/82 --- 8.7 баллов

3. Symantec 71/82 --- 8.7 баллов

4. Panda 59/82 --- 7.3 баллов

5. Avast 53/82 --- 6.4 баллов

и т.д.

Так мы можем получить сравнительные оценки относительно абсолютно лучшего результата, и разрывы в набранных баллах будут отражать реальную картину, то есть как раз о чем говорил Иван. Правда тут встаёт вопрос округления, предлагаю до десятых (по математическим правилам).

Так мы получаем универсальную относительную единицу измерения для всех тестов, соответственно лучший будет по максимальному числу баллов за все тесты.

P.S. Думаю, это пока что применимо только для набора тестов от одной лаборатории.

[A. 875]

Согласен с Иваном, нормирование по кол-ву участников получается не очень правильным, на мой взгляд, объективней было бы нормировать по лучшему результату, например так:

Тест на лечение активного заражения:

1. Dr. Web - 82 --- 10 баллов

2. Kaspersky 71/82 --- 8.7 баллов

3. Symantec 71/82 --- 8.7 баллов

4. Panda 59/82 --- 7.3 баллов

5. Avast 53/82 --- 6.4 баллов

и т.д.

А теперь представьте, что у вас на Авасте все и закончилось. Он показал худший результат - последнее место. И получил 6.4 балла. А в другом тесте 6.4 балла получил кто-нибудь занявший второе-третье место.

Вы считаете это справедливым ?

[Александр Шабанов 120]

А теперь представьте, что у вас на Авасте все и закончилось. Он показал худший результат - последнее место. И получил 6.4 балла. А в другом тесте 6.4 балла получил кто-нибудь занявший второе-третье место.

Вы считаете это справедливым ?

Да, так как значения данных баллов как раз показывают насколько этот результат плохой.

Мне кажется объективней считать по результату, а не по занятому месту.

[A. 875]

Да, так как значения данных баллов как раз показывают насколько этот результат плохой.

Мне кажется объективней считать по результату, а не по занятому месту.

ну попробуйте посчитайте там работы на полчаса.

мне почему-то кажется, что результаты совпадут с моими в пределах +-5 процентов.

[Umnik 997]

А меня смущает мысля, что если продукт не имеет функционал, то не учитывать это при делении. Т.е. пришел Калинин со своим АВ и занял в чем-то первое место (чисто гипотетитчески). Он станет победителем?

[A. 875]

Да, так как значения данных баллов как раз показывают насколько этот результат плохой.

Мне кажется объективней считать по результату, а не по занятому месту.

И вот еще что ...

Если хотите показать насколько "этот результат плохой" - тогда не ставьте победителю 10 баллов.

10 баллов - это должен быть 100% результат. А не 82%. При 10 за 82% вы всего лишь покажете насколько другие участники теста хуже победителя. Это не интересно - интересно насколько все участники хуже идеального показателя.

Правда, в итоге тогда для кучи тестов никаких коэффициентов и считать не надо - тупо берете проценты из итогов.

[Иван 290]

А меня смущает мысля, что если продукт не имеет функционал, то не учитывать это при делении. Т.е. пришел Калинин со своим АВ и занял в чем-то первое место (чисто гипотетитчески). Он станет победителем?

это таки да

но исключительно для антималваре есть рещение

-если продукт в каком-либо тесте не участвовал просто по прихоти автора теста - то его увы придется совсем выкинуть из интегрального рейтинга

-если продукт не участвовал в тесте потому как у автора есть глубокая уверенность, что у него нет функционала нужного - тогда ему 0

но второй пункт конечно субъективный. Я вот не первый раз говорю - надо было в тесте по руткитам проверить все антивири, даже если вабер уверен что они ничего не возьмут. Потому как вот здесь http://www.wilderssecurity.com/showthread....Anti-malware.ru например, как я собственно и предупреждал, глядя на высокий результат авировской утилиты, люди перносят этот результат на авировский антивирус - что неправильно.

Может сделаете эдон к исследованию? По просьбам трудящихся?

И вот еще что ...

Если хотите показать насколько "этот результат плохой" - тогда не ставьте победителю 10 баллов.

10 баллов - это должен быть 100% результат. А не 82%. При 10 за 82% вы всего лишь покажете насколько другие участники теста хуже победителя. Это не интересно - интересно насколько все участники хуже идеального показателя.

Правда, в итоге тогда для кучи тестов никаких коэффициентов и считать не надо - тупо берете проценты из итогов.

разумно

[Ego1st 95]

я непонял, а почему бы не брать проценты? зачем чего-то мудрить?

согласен с последним постом А. 10 балов за идеальный результат должен даваться, а не за то что половину вылечил пусть это и являеться лучшим результатом среди продуктов..

[Александр Шабанов 120]

ну попробуйте посчитайте там работы на полчаса.

мне почему-то кажется, что результаты совпадут с моими в пределах +-5 процентов.

Посчитал , результаты получились несколько иные чем у Вас.

Принимал во внимание, что если продукт не участвует в тесте, то у него 0.

Итоговые результаты с коэффициентами.

Баллы

Kaspersky 4.499656475

Dr.Web 3.840216183

F-Secure 2.970805043

Symantec 2.740718313

BitDefender 2.697752106

Eset 2.361656216

Avira 1.756345903

Avast 1.707499679

McAfee 1.567285212

Panda 1.48460536

Sophos 1.41017917

Trend Micro 1.363029592

AVG 0.998242087

VBA32 0.86685789

ZoneAlarm 0.597938144

Microsoft 0.329896907

Agnitum 0.169014085

Clam 0.12345679

CA 0.12345679

UNA 0

Итоговые результаты отностильно идеального (100%, 5)

Идеал 5

Kaspersky 3.7525

Dr.Web 3.095

F-Secure 2.46

Symantec 2.2925

BitDefender 2.145

Eset 1.905

Avira 1.38

Avast 1.37

McAfee 1.29

Panda 1.26

Sophos 1.12

Trend Micro 1.02

VBA32 0.82

AVG 0.76

ZoneAlarm 0.58

Microsoft 0.32

Agnitum 0.12

Clam 0.1

CA 0.1

UNA 0

В этом результате результате VBA32 обогнал AVG, в остальном все также.

Все расчеты и диаграмма в приложении. Жду Ваших комментариев.

Есть предложение по другим тестам. Необходимо определить участвующие тестовые лаборатории, далее определить уникальность каждного теста и подобные тесты. У уникальных результат брать безусловно, а у подобных предлагаю результаты усреднять например

[vaber 350]

но второй пункт конечно субъективный. Я вот не первый раз говорю - надо было в тесте по руткитам проверить все антивири, даже если вабер уверен что они ничего не возьмут. Потому как вот здесь http://www.wilderssecurity.com/showthread....Anti-malware.ru например, как я собственно и предупреждал, глядя на высокий результат авировской утилиты, люди перносят этот результат на авировский антивирус - что неправильно.

В этот тест брались только самые известные антивирусы и те, у кого заявлен функционал обнаружения руткитов. Что касается всех антивирусов - то смотрите тест активного заражения - там он в некоторой степени пересекается с этим тестом. Первоначально, я вообще не хотел брать в тест с рутиктами антивирусные продукты, но все пришли к решению из взять. ЧТо касается авиры, то там чудо: они начиная с сентября то выложат дистрибутив с интегрированным антируткитом, то уберут. Началось после проблем, когда их антивирус стал систему в BSOD ронять. В тесте в IT-спец какраз попалась мне сборка с антируткитом. Да и замечу по результатам комплекса битдефендера, авиры, ф-секура - результаты АВ продукта с интегрированным антируткитом хуже, чем не посредственно отдельные антируткиты - Ав продукт то коммерческий.

З.Ы. То, что на том форуме утилиту приравнивают к АВ -это уж их проблемы.

[Иван 290]

В этот тест брались только самые известные антивирусы и те, у кого заявлен функционал обнаружения руткитов. Что касается всех антивирусов - то смотрите тест активного заражения - там он в некоторой степени пересекается с этим тестом. Первоначально, я вообще не хотел брать в тест с рутиктами антивирусные продукты, но все пришли к решению из взять. ЧТо касается авиры, то там чудо: они начиная с сентября то выложат дистрибутив с интегрированным антируткитом, то уберут. Началось после проблем, когда их антивирус стал систему в BSOD ронять. В тесте в IT-спец какраз попалась мне сборка с антируткитом. Да и замечу по результатам комплекса битдефендера, авиры, ф-секура - результаты АВ продукта с интегрированным антируткитом хуже, чем не посредственно отдельные антируткиты - Ав продукт то коммерческий.

З.Ы. То, что на том форуме утилиту приравнивают к АВ -это уж их проблемы.

vaber, ну как же вам объяснить наконец, что не их это проблемы. Что вы тест делаете не для себя и кучки людей "глубоко в теме", а для пользователей. Несете свет в массы и занимаетесь обучением этих самых масс. И чем доступней понятней и полнее вы раскажете людям о двнной конкретной возможности продуктов - тем будет лучше.

не согласны?

[vaber 350]

vaber, ну как же вам объяснить наконец, что не их это проблемы. Что вы тест делаете не для себя и кучки людей "глубоко в теме", а для пользователей. Несете свет в массы и занимаетесь обучением этих самых масс. И чем доступней понятней и полнее вы раскажете людям о двнной конкретной возможности продуктов - тем будет лучше.

не согласны?

Иван, мне кажется никаких сверхестественных знаний не нужно, чтобы понять, что Avira AntiVir PersonalEdition (Premium) ни есть Avira Rootkit Detection 1.0. Да и в методике указано, какие брадись антивирусы, а какие антируткиты.

По поводу того, что взял не все антивирусы - да, согласен. Нужно было брать все. Думаю, в следующий раз я объединю тест с руткитами и активное заражение - поскольку сами руткиты подходят под выбор программ для активного. Но это не та тема, где это нужно обсуждать.

Сорри за оффтоп.

[Valery Ledovskoy 1082]

Есть предложение по другим тестам. Необходимо определить участвующие тестовые лаборатории, далее определить уникальность каждного теста и подобные тесты. У уникальных результат брать безусловно, а у подобных предлагаю результаты усреднять например

Да-да, выше я именно это и предлагал. Александр, мне Ваши идеи по интегрированию нравятся всё больше

Только вот нужно учесть, что тесты могут пересекаться, но не полностью.

Например, тест на противодействие руткитам где-то на 75% совпадает с тестом на активное заражение.

Поэтому я бы сложил результаты этих двух тестов и разделил на 1,75, а не на 2.

Это в качестве примера.