TANUKI

Аматорский тест on-demand 41 антивируса :)

В этой теме 36 сообщений

Думал я думал, и все таки решил провести свой ламерский мега-тест. Возможно, он будет интересен тем, кто просто увлекается антивирусным ПО, а профессионалов развеселит пятничным утром - в последний день рабочей недели :lol:

Примечание: если вы готовы читать дальше, то запаситесь большой чашкой крепкого кофе - буковок в тексте очень много :D

ПРЕДУПРЕЖДЕНИЕ:

Этот простейший по своей реализации, но масштабный по своему размаху тест ни коим образом не претендует на профессионализм. Автор тестирования не является заинтересованной стороной в продвижении каких-либо продуктов, а просто хочет познакомить общественность с уровнем детекта максимально возможного количества антивирусного ПО знакомого жителям СНГ благодаря базе зловредов собранных на просторах инета.

ЦЕЛЬ ТЕСТА:

Безусловно, основной задачей современной антивирусной лаборатории является скорость обновления баз "знаний" своего продукта с тем, что бы он имел возможность максимально оперативно противостоять потоку свежих зловредов. К сожалению, не у всех вендоров скорость обновления баз и добавления сигнатур новых угроз осуществляется оперативно. По итогам теста вы увидите, что, к сожалению, многие лаборатории работают по принципу "да ладно, проехали". Мне хотелось узнать, насколько разработчики ПО и антивирусные лаборатории уважают своего потребителя...

Для этого благодаря некоторым форумам (в том числе хочу поблагодарить и этот портал!), а так же отдельным пользователям у меня собралась коллекция зловредов количеством 148 штук. Да, это не много, даже мизерно. Зато каждый из зловредов в свое время (промежуток с января 2007 до конца декабря 2007 (сроки появления каждого из них в сети проверены по антивирусным бюллетеням)) имел плохую репутацию. В отдельном списке зловредов, участвовавших в тесте вы не найдете ни единого повтора.

Возможно, многие файлы не являются самостоятельными зловредами в чистом виде, но все равно несут в себе вредоносный код, а значит должны определяться антивирусом. Отмазка "это не самостоятельный зловред" мной не принимается. Любой файл в моем ПК должен быть вне подозрений, как жена Цезаря :) Так хочу не только я, но и любой среднестатистический пользователь, которого не устраивают подобные отговорки.

МЕТОДИКА ТЕСТА:

Все очень просто. Так сказать, классика любительского теста. Папка со 148 зловредами сканируется антивирусом с свежими базами, настроенным на максимальный отлов (там где это позволяли условия trial). Т.е. повышается до максимального уровень эвристики, включается сканирование архивов, сканируются "все файлы" и т.д. Так же в настройках в меру возможностей выставляется принудительное действие при обнаружении зловреда "Убить". После сканирования ведем подсчет "трупов". Естественно, тупо по количеству оставшихся файлов я не буду вести подсчет. Я проверю каждый из них (если их, конечно, не 100 штук и антивирусное ПО очень популярно) на содержание вредоносного кода после сканирования (ВирусТотал или Авира) и внесу определенные пометки в итоговую таблицу (смотрим приложение к теме).

После этого, файлы оставшиеся после сканирования и не обнаруженные тем или иным антивирусом будут любовно упакованы в запароленный RAR с тем, что бы каждый из вас по запросу мог получить недобитое зверье той или иной любимой софтиной.

Весь архив с 148 зловредами будет лежать на одном из файлообменников из-за своего нестандартного для этого форума размера в 11,5 Мб и вы можете легко повторить эксперимент обнаружив ссылку на файлообменник в известной ветке форума. Отдельные результаты выдам по запросу, что бы не загружать сервер.

Тестирование проводилось на ноутбуке Toshiba Satellite A300 (Intel Duo T2370 (1,73 МГц), 1 Гб ОЗУ, ATI Radion HD3470, х32 Vista Home Premium)

Итак, вот рейтинг участвовавшего ПО.

Каждый участник занял ту или иную позицию в зависимости от пропущенных зловредов из общего количества в 148 штук.

1. Ikarus 1.0.82 – 0 зловредов

2. G DATA AntiVirus 2008 – 1 зловред

3. Avira Antivir personal (Free) – 2 зловреда

4. KAV 7 – 5 зловредов

5. Ashampoo Antivirus (Version 1.61) – 5 зловредов

6. F-Secure Antivirus 2008 – 7 зловредов

7. Trend Micro Internet Security 2008 – 9 зловредов

8. AVAST Professional 4.8 – 10 зловредов

9. AVAST Home 4.8 – 10 зловредов

10. Norton Antivirus 2008 – 13 зловредов

11. Dr.Web CureIT – 14 зловредов

12. Dr.Web 4.44 – 14 зловредов

13. BitDefender Internet Security 2008 – 21 зловред

14. BitDefender Antivirus 10 FREE – 21 зловред

15. AVG 8.0 – 21 зловред

16. ArcaVir 2008 – 22 зловредов

17. BullGuard IS v8.0 – 23 зловреда

18. Outpost Security Suite Pro 6.0.2295.253.0490 – 24 зловреда

19. NOD32 v3.0.667.0 – 25 зловредов

20. NOD32 v2.7 3225 – 26 зловредов

21. F-PROT Antivirus 6.0.9.1 – 30 зловредов

22. Norman Security Suite 2008 – 30 зловредов

23. Microsoft OneCare – 31 зловред

24. PC Tools Antivirus 2008 beta (5.0.0.7) – 34 зловреда

25. PC Tools Antivirus 2008 (4.0.0.26) – 34 зловреда

26. Sophos Anti-Virus 7.3 – 35 зловредов

27. Fortinet 3.0.474 – 36 зловредов

28. Panda Antivirus 2008 – 42 зловреда

29. Rising Antivirus 2008 (Жуйсин) – 45 зловредов

30. VirusBuster Professional – 45 зловредов

31. Quick Heal Antivirus 2008 (9.50) – 48 зловредов

32. ViRobot 5.5 – 50 зловредов

33. McAfee Security Center 8.0 – 54 зловреда

34. AntiDot 2008 Free – 57 зловредов

35. ClamAV 0.93.1 – 59 зловредов

36. Kingsoft Internet Security 2009 – 71 зловред

37. VIPRE Antivirus + Antispyware – 86 зловредов

38. Proland Protector Plus 2008 – 113 зловредов

39. COMODO beta 2.0 – 123 зловреда

40. AhnLab V3 – 137 зловредов

41. Prevx 2.0 – 148 зловредов

КРАТКИЕ ИТОГИ:

Лично мне было приятно увидеть, что КАВ и Авира стараются держать высокую планку по детекту. Удивил AntiVirusKit (G DATA) - два движка это сила. Неприятны результаты любимчика BitDefender и я очень рад за успехи AVAST. Что касается ESET, то его пропуски сенсацией не являются. Неожиданностью стал успех Ashampoo, а вот от COMODO я ожидал большего.

Чуть ниже вы увидите короткие или не очень комментарии к каждому антивирусу участвовавшему в тестировании с некоторыми нюансами по детекту, которые помогут вам нагляднее разобраться в результате.

Буду благодарен, если спецы не станут слишком меня "лошить", ведь на сборку коллекции ушел ровно год, а на тест 10 дней. Я старался :)

1. AVIRA Antivir personal (Free)

Проверенная временем утилита, надежна и проста как АК-47.

Файл (23-10-2007-164728.eml) из коллекции он обнаружил как зловреда Worm/Warezov.SN, но выдал предупреждение, что не может его удалить, так как это часть почтовой программы.

С двумя не смог справиться:

Trojan.BAT.KillAV.fn

Trojan.VBS.StartPage.ae

Понравилось: детект, глубокая настройка даже в свободной версии программы, нетребовательность к ресурсам.

Не понравилось: надоедливая реклама в бесплатной версии, устаревшее ступенчатое меню настройки.

2. ArcaVir 2008

Занимательный польский продукт с простенько прорисованным интерфейсом, но богатым функционалом.

Понравилось: богатый функционал, даже есть игра «шарики»! Множество утилит.

Не понравилось: кривая деинсталляция – через новый запуск дистрибутива.

Не справился с 25 зловредами.

3. AVAST Professional 4.8

Обновление версии не повлияло на внешность. Перед нами все тот же старый-добрый слегка запутанный интерфейс а-ля медиа-плеер.

Понравилось: защита Р2Р, прочих "асек", наличие мини-фаервола. Ну и полная свобода для халявщиков - ключ, как и в случае с НОД32 найти не проблема.

Сканирование папки всего за 10 секунд! В отчете о найденных файлах 145 строк. Можно подумать, что он удалил все зловреды кроме трех. Но в папке осталось 15 файлов... 5 из них оказались чисты, но 10 все еще являются зловредами.

4. AVAST Home Edition 4.8

Ситуация с поиском вирусов и результатом сканирования аналогична версии ПРО.

Не справились оба с:

Trojan.BAT.KillAV.fn

Trojan.Win32.KillAV.mb

Trojan.VBS.StartPage.ae

Trojan.VBS.StartPage.ae (модифицированный)

Trojan-Downloader.Win32.Small.epy

Trojan.BAT.KillAV.fn

Trojan-Clicker.Win32.Tiny.h

SpamTool.Win32.Delf.n

Trojan-Downloader.JS.Psyme.ga

Win32/RiskWare.ExitWin.B application

5. AVG 8.0

«Внимательно прочитайте Пользовательское Соглашение (EULA). Они стали делать то, что для других программ считается дурным тоном - шпионить. Они набирают статистики пользователя по сёрфингу и посылают третьим сторонам. Явно сказано!

Потом AVG Free постоянно навязывает преимущества платной версии раздражающими окнами. Avira тоже, и это было бы ещё терпимо, если у AVG детект был таким же хорошим, как у бесплатной Avira. И самое главное - он стал тяжёлым, перегруженным всякой ерундой, и вылетает временами. НЕ рекомендую», таковы отзывы об этом антивирусе в Интернете.

Понравилось: черный и белый лист для аськи и MSN.

Не понравилось: необходимо руками "включать" в настройках сканирование на руткиты и сканирование кукисов. Запутана система сканирования по требованию. Большая нагрузка на процессор.

Не справился с 21 зловредом. Из 24 файлов оставшихся в папке очистил от заразы 3 штуки.

6. Ashampoo Antivirus (Version 1.61)

Милый, дружелюбный и яркий интерфейс. Базовый функционал. Отличная русификация.

Неплохой детект.

Не справился с:

Trojan.BAT.KillAV.fn

Email-Worm.Win32.Warezov.sn

Trojan-Spy.Win32.Zbot.adj

Trojan-Proxy.Win32.Agent.ql

Trojan-Downloader.Win32.Delf.cux

7. AhnLab V3 Internet Security 2007

Кроме антивируса, антиспая и фаерволла этот продукт умеет криптовать файлы и папки, защищая тем самым privacy владельца ПК. Опять же, присутствует фирменный шредер для уничтожения важной информации.

Детект просто ужасен. Из просканированных 148 файлов найдено 10 вирусов и 1 спай.

8. AntiDot 2008 Free

Украинская компания, которая решила выпускать свой антивирус и привлекла на свою сторону Олега Сыча, который занимался разработкой украинского антивируса UNA32. «Разрабатываемая компанией линейка продуктов построена на базе многолетнего опыта наших специалистов, в области создания решений антивирусной защиты и борьбы с вредоносным кодом», говорится на фирменном сайте, но что-то все эти наработки не способствуют хорошему детекту.

Понравилось: простота использования и настройки.

Не понравилось: детект и функционал.

9. BitDefender Internet Security 2008

Люди, которые разбираются в антивирусной защите конечно же знают этот продукт. Румынские разработчики заслужили доверие многих пользователей, и стараются держать марку, но у них не всегда это получается (смотрим результаты).

Scanned items : 184

Infected items : 126

Нашел, но не смог справиться (не смог предложить действие) со следующими малварами:

BitAccelerator.exe (Adware.BHO.WPW)

mssrv321.exe- (Trojan.Downloadre.Small.EVL)

все тот же BitAccelerator.exe (Trojan.Generic.242669)

illusion.exe (Trojan.PWS.LdPinch.TEV)

Файл use17.dll, поместил в карантин. Два файла из 23 оставшихся в папке очистил.

Средняя загруженность процессора во время тестирования: 57%

Время сканирования: 2 мин. 39 сек.

Понравилось: В отчете после сканирования приводит подробный, наглядный лог с путем к зараженному файлу и ссылкой на информацию о конкретной заразе на фирменном сайте.

Не понравилось: ручных недостаточно. Например, невозможно задать действие над обнаруженной заразой по-умолчанию. Только выбор после обнаружения.

10. BitDefender Antivirus 10 FREE

Полностью соответствует результатам "старшего брата".

11. BullGuard IS v8.0

В целом, неплохой продукт в чисто американском стиле. Можно ставить свой звук на предупреждение. Красочное и понятное меню даже на английском.

Понравилось: да все, в общем-то неплохо.

12. ClamAV 0.93.1

Самый свободолюбивый продукт. Оригинальный дизайн, простейшее меню.

Понравилось: бесплатность, быстрота работы, оригинальность, не требует перезагрузки.

Не понравилось: отсутствие монитора.

13. COMODO beta 2.0

Все таки пока у COMODO получается делать только хорошие фаерволлы, а вот с антивирусами дела что-то не ладятся. При всей симпатичности детект ужасен.

14. Dr.Web CureIT

Архаизм меню, зато все просто и понятно. Быстро сканирует, процессор почти вообще не нагружает. Время сканирования рекордно: 6 секунд. Нагрузка на процессор - пик 15%

Найдено:

Всего 135 файлов, из них 132 зловреда + 2 хакерских утилиты + 1 программа шутка. Видимо, последнюю антивир не стал удалять, а потому в контрольной папке осталось 14 необработанных файла.

15. Dr.Web 4.44

Кстати, в отличие от «младшего брата» 4.44 не смог вывести подробную статистику по классификации зловредов (программа-шутка, хакерская утилита и т.д.).

Эта парочка не смогла справиться с:

Email-Worm.Win32.NetSky.q

Email-Worm.Win32.Warezov.pk

Email-Worm.Win32.Warezov.sn

Trojan-Proxy.Win32.Wopla.ag

Trojan-Downloader.JS.Agent.abi

Trojan.Win32.Qhost.os

Trojan-PSW.JS.Agent

Win32:Trojan-gen {Other}

Trojan-Downloader.Win32.Zlob.eie

Trojan-Downloader.JS.Psyme.ga

Virus.Win32.Tenga.a

Trojan-PSW.Win32.ICQ.c

not-a-virus:AdWare.Win32.Virtumonde.ymk

HTML:Malware-gen

16. Fortinet 3.0.474

Fortinet — ведущий поставщик систем унифицированного управления угрозами (UTM), которые применяются крупными предприятиями и поставщиками услуг для повышения безопасности. Домашним пользователям компании тоже есть что предложить.

Проверил 148 файлов. Нашел 132 зловреда. Сканировал 15 секунд, пик процессора 47%.

Достаточные настройки. В папке оставил 38 файлов.

17. F-PROT Antivirus 6.0.9.1

Любимый многими "бесплатниками продукт", который удивил меня неудоством управления и общей блеклостью.

18. F-Secure Antivirus 2008

Финская компания, которая не первый год занимается разработкой систем защиты данных. Является первой компанией, предлагающей антивирусную защиту для WAP-устройств. Весьма популярное в Европе ПО благодаря неплохому детекту.

Не справился с:

Trojan-Downloader.Win32.Dirat.c

Email-Worm.Win32.Warezov.sn

Trojan-PSW.JS.FFsni

Win32:Trojan-gen {Other}

Win32.Hack.Delf.227840

HTML:Malware-gen

HackerTool/Exitwin

19. G DATA AntiVirus 2008

Красивый интерфейс. Очень наглядная графическая система настроек соотношения детект-производительность в виде двух столбиков. Позволяет так же вручную настраивать это соотношения с помощью выбора приоритетов антивирусных движков (использовать один или два, и если один, то какой). Использует два движка с загадочными обозначениями: Engine A (AVK 18.4296), Engine B (AVKB 18.326). Защищает интернет-пейджеры от AOL, MSN и Триллиан. Поддержки QIP и аськи нет 

Сработал отлично! Просканировал 148 файлов и в 146 нашел заразу. Максимальная нагрузка на процессор: 54%, время сканирования: 10 секунд.

Любопытно, что 99,8% заразы было определено движком «А». И только в двух случаях сработал движок «В».

(Virus: Win32:Agent-RSG [Trj] (Engine B )

Object: lloh.exe

и здесь:

Virus: Win32:Adware-gen [Adw] (Engine B )

Object: sipov.dll)

Может кто-то знает, что это за движки?

Пропустил:

Win32/RiskWare.ExitWin.B application (Reboot)

20. Ikarus 1.0.82

Удалил все файлы. Но загрузил систему по максимуму, особенно при удалении. Напоминает КАВ 5-ку по тормозам и неповоротливости в работе :)

21. KAV 7

Об этом продукте и говорить нечего. Все прекрасно знают, что он из себя представляет.

Проверил 269 файлов, обнаружил 145 виров.

Три файла не смог обработать или удалить, но нашел в них заразу:

1. вирус Email-Worm.Win32.NetSky.q

Файл: 1b64eebd.txt//[From "" <[email protected]>][Date Wed, 20 Dec 2006 18:30:42 +0200]/message.zip/data.rtf.scr

2. вирус Email-Worm.Win32.Warezov.pk

Файл: 1e9c1abb.txt//[From "" <[email protected]>][Date Mon, 2 Oct 2006 11:26:54 +0300 (EEST)]/file.zip/file.txt.pif

3. вирус Email-Worm.Win32.Warezov.sn

Файл: 23-10-2007-164728.eml//[From sandra <[email protected]>][Date Tue, 23 Oct 2007 12:29:10 +0400]/Video_fragment.zip/Video_fragment.exe//PE_Patch.UPX//UPX

В папке осталось 10 файлов. Причем, 16-10-2007-170736.vir и ffsniff-0.1.xpi антивирус очистил от заразу, но оставил их в папке.

Не нашел:

TR/Dldr.Kreppe.AE.1

JS/Dldr.Agent.cga

Trojan-PWS.LdPinch.TDK

Backdoor.Win32.Delf.aki

Win32/RiskWare.ExitWin.B application (Reboot)

22. KAV 8 beta (2009) 8.0.0.422

Не понравились иконки обозначений в главном меню антивирсуа. Иконка радиоактивности в меню «Защита» выглядит несерьезно и дешево.

Просканировал 253 объекта, нашел 179 зловредов!!! ГДЕ он их взял столько????? Причем так происходит при каждом сканировании.

В папке осталось 12 файлов. Очистить он смог только 16-10-2007-170736.vir. Остальные остались зараженными. Т.е. «бетка» мало того, что нашла на два файла меньше, чем 7-ка, так она не смогла еще и справиться с зараженными файлами, оставшимися в папке.

В таблицу не включал до выяснения обстоятельств.

23. Kingsoft Internet Security 2009

Представляет собой фаервволл, антивирус и спай-сканер в трех отдельных модулях. После установки в трее висит только фаервволл, другие модули вызываются только из меню «Пуск» из своих вкладок. У пользователя после установки может сложиться впечатление, что работает только фаервволл (в трее только его иконка), но это не так. При распаковке архива с вирусами система защиты срабатывает и удаляет заразу. Но детект далек от идеала. Софтина обнаружила только 80 вирусов. Приятно, что в отчете каждый вид заразы имеет свою графическую иконку для наглядности, например, у троянов это конь вылазящий из монитора  Из приятных и полезных утилит присутствуют функции Rescue Disc, «уборщик» Disc Cleaner, «чистильщик» History программ и браузеров, а так же отключение функции авторан с внешних носителей. К сожалению, она пока не поддерживается в Виста (тестировалось на ХР).

24. Microsoft OneCare

Прежде всего стоит отметить «легкоусвояимость» этого центра безопасности и легкую работу с Vista, что, в принципе, логично. Установка этого ПО происходит в режиме он-лайн, что очень не понравится обладателям Dial-UP (загрузка и установка по расчетам софтины около 2 часов). Даже с кабельным Интернетом (2 Мб\с) загрузка и установка заняла утомительные 15 минут. Настройка центра незамысловата. Пользователю негде размахнуться с настройками – разработчики делали явный упор на домохозяек и домохозяинов. Зато есть несколько полезных «приблуд». В частности функция Tune-UP, выполнение которой можно задать по расписанию. Правда вместе с освобождением системы от мусора программа проверит и установит обновления Vista, сделает back-up системы и осуществит проверку антивирусом. Эти пункты во время выполнения оптимизации запретить или отменить нельзя, так что Tune-UP займет много времени.

Многие утверждают, что антивирусная утилита стала более совершенной, по сравнению с первыми бета-версиями. Может это и так, но в любом случае не знает она до сих пор многого. OneCare из оставшихся в папке 36 файлов почистила 5 из них, но не смогла справиться с 31 зловредом. Зато во время проверки нагрузка на процессор оставалась на удивление стабильной – шаг ровно 44% до 54%.

Небольшое примечание, обладателям Vista с русским интерфейсом придется перенастроить язык на английский, иначе OneCare откажется устанавливаться – пока нет поддержки русского языка.

25. Norton Antivirus 2008

Старый добрый продукт. Стал просто ставиться и легко удаляться из системы. На производительности ПК его работа заметным образом не сказывается. Дистрибутив один из самых больших – под 62 Мб, а ведь это просто антивирус! Зато радует наглядностью и эргономичностью меню, его пункты и даже графическое отображение компьютеров в домашней сети. Отличный и эргономичный продукт, с хорошей русификацией, но детект не идеален. Да и сканирует долго – почти 6 минут.

Всего найдено угроз безопасности: 135, но в папке осталось недобитыми 19 файл. Из них очистил 6 файлов, причем очистил 23-10-2007-164728.eml (с чем никак не справится Авира, КАВ и БитДефендер).

Не справился с:

Trojan-Downloader.Win32.Small.epy

Trojan-Clicker.Win32.Agent.jb

Trojan-Downloader.Win32.Dirat.c

not-a-virus:RiskTool.Win32.CloseApp.a

SpamTool.Win32.Delf.n

Trojan-Clicker.Win32.Tiny.h

Trojan.Win32.Patched.at

Trojan-Downloader.Win32.Zlob.eie

Trojan-Downloader.JS.Psyme.ga

Riskware.ExitWin.A

not-a-virus:FraudTool.Win32.SmartAntiSpyware.b

Virus.MSExcel.Nelza.a

Trojan-Downloader.JS.Agent.nk

26. McAfee Security Center 8.0

Более запутанного меню и сложностей во время скачивания демо-версии с сайта нет ни у одного продукта. Спасибо, что при скачивании триала не требуют предъявить сетчатку глаза!  Что бы докопаться до настроек нужно быть обладателем семи пядей во лбу. Ладно бы такие мучения были оправданы хорошим детектом, но, простите меня, 94 обнаруженных зловреда из 148 - это уровень бесплатных антивирусов второго эшелона. Может МакАфи хорош на уровне корпоративном, но в плане домашней защиты попросту не годится.

27. Norman Security Suite 2008

Я не порекомендовал бы эту софтину в качестве защиты для ПК. Программа очень тормозит систему. Особенно это сказывается при открытии папок с объемными файлами. Сам переход по пунктам меню приложения осуществляется с опозданием, притормаживанием. Такая тормознутость не снилась даже в старые времена КАВ 5. Во время обычной работы нагрузка на процессор не падала ниже 50%. Во время сканирования меньше 87%...

В составе Norman SS только базовый набор защиты: антивирус, фаерволл и родительский контроль. С настройками юзеру разгуляться негде – только самое основное. Включение-выключение модулей, их простейшая настройка, типа сканировать или нет архивы, использовать Sandbox или нет, ну и т.д. Кстати, технология Sandbox, по заверению производителя, позволяет противостоять новым вирусам, чьи сигнатуры еще не попали в антивирусную базу данных. Это виртуальная машина в которой происходит эмулирование запуска потенциально опасных приложений.

28. NOD32 v3.0.667.0

Приятный интерфейс, хорошая русификация, множество настроек, логичные и понятные подсказки, удобное древовидное управление настройками. Ужасно медленное сканирование как для расхваленного быстрого антивируса.

Количество просканированных объектов: 180

Количество обнаруженных угроз: 123

Количество очищенных объектов:123

Время выполнения: 18:21:10 Общее время проверки: 431 сек. (00:07:11)

Файл 23-10-2007-164728.eml в отличие от Авира, которая нашла в нем вирус, но не могла удалить, НОД32 вообще не смог просканировать и по-умолчанию назначил ему статус "ОК" :( (D:\TEST AV\vx test 2007\vx test 2007\23-10-2007-164728.eml » MIME - — OК (внутреннее сканирование не выполнено). В папке осталось 26 файлов, один файл UZB.xls все-таки был вычищен от заразы, но остальные объекты остались зловредами.

Не справился с:

Email-Worm.Win32.NetSky.q

Email-Worm.Win32.Warezov.pk

Trojan-Downloader.Win32.Small.epy

Trojan-Clicker.Win32.Agent.jb

Trojan-Spy.Win32.Webmoner.ep

Trojan-Spy.Win32.Webmoner.db

Email-Worm.Win32.Warezov.sn

Trojan.VBS.StartPage.ae

not-a-virus:RiskTool.Win32.CloseApp.a

SpamTool.Win32.Delf.n

Trojan-Clicker.Win32.Tiny.h

Trojan-Proxy.Win32.Agent.ty

Trojan.Win32.Patched.at

not-a-virus:AdWare.Win32.BHO.ic

Trojan-Downloader.JS.Remora.w

Trojan-PSW.JS.Agent

TR/Dldr.Kreppe.AE.1

Trojan-Downloader.JS.Psyme.ga

Virus.Win32.Tenga.a

not-a-virus:FraudTool.Win32.SmartAntiSpyware.b

Packed.Win32.PolyCrypt.d

Trojan-Downloader.Win32.Delf.cux

Trojan-Downloader.JS.Agent.nk

Trojan-Downloader.JS.Agent.nk

Trojan-Downloader.WMA.Wimad.l

29. NOD32 v2.7 3225

У версии 2.7 более стабильна работа, по крайней мере, скачков нагрузки на процессор нет. Все в пределах 51-52%. Кто-то утверждает, что «тройка» стала лучше детектить заразу, что ж это правда, но есть и нюансы. Посмотрите на результаты сканирования – они почти идентичны, не считая того, что 2,7 нашел на один вирус меньше (Trojan-PSW.Win32.LdPinch.esi ) и удалил, вместо того, что бы очистить файл UZB.xls.

С удалением заразы все же есть проблемы. При ее обнаружении 2,7 не может удалить некоторые файлы.

Примеры:

vx test 2007\illusion.exe »RAR »1.exe - Win32/PSW.LdPinch.EIF Троян

\vx test 2007\sdm_videos.exe »NSIS »update.exe - Win32/StartPage.NHT Троян

30. Outpost Security Suite Pro 6.0.2295.253.0490

Популярный фаерволл в новой версии с антивирусным движком VirusBuster. Точнее, как заявляет вендор, в основе антивируса лежит собственный движок Agnitum, который использует сигнатуры от двух лабораторий: венгерской антивирусной компании VirusBuster и собственной лаборатории разработчика. У этой софтины традиционно богатейшие настройки защиты личных данных и сетевых соединений, а вот настройки антивируса и антишпиона минимальны. После инсталляции не требует перезагрузки, но все же это лучше сделать, если вы работаете под Vista (требуется ли это под ХР я не знаю), иначе постоянная загрузка процессора в 50% вам обеспечена. После перезагрузки OSS работает быстро и четко, безглючно.

31. PC Tools Antivirus 2008 beta (5.0.0.7)

Известный австралийский разработчик утилит для ПК известный, прежде всего своим продуктом Spywere Doctor, решила попробовать повоевать за потребителей на рынке антивирусов. Отлично традиционно русифицированная Beta-версия имеет наглядный интерфейс и очень простые настройки, как и все продукты производителя. После инсталляции перезагрузка не требуется. Подгрузка обновлений происходит очень быстро. Просканировал 148 файлов, убил 114 зловредов. В папке осталось 35 файлов, один из них почищен, но 34 зловреда остались.

В целом, beta-версия работает стабильно и почти незаметно для системы в целом. Единственный обнаруженный баг – проблема с кодировкой на выпадающем окошке с временным промежутком отключения по требованию IntelliGuard (защита в реальном времени).

32. PC Tools Antivirus 2008 (4.0.0.26)

Основная, стабильная версия по детекту ничем не отличается от beta (5.0.0.7). Так же быстро работает и не слишком напрягает процессор. Наблюдаем ту же проблему с кодировкой временного промежутка отключения по требованию IntelliGuard. В этой версии программы нет функции Memory Guard (сканирование процессов памяти), которая появилась в новой beta-версии. Умеет выдавать информацию о запущенных программах и процессах отображая ее он-лайн.

33. Prevx 2.0

Оригинальная система защиты, которая действует, прежде всего, как HIPS.

Просканировала 154 файлов, 128 зловредов найдено. К сожалению, непонятно, как она сможет их удалить, ибо в триал-версии эта функция не поддерживается (ключи в инете просроченные).

34. Proland Protector Plus 2008

Простенькая система по защите от вирусов и проверки на зловреды почты. Есть проблемы с отображением кириллицы в сканируемых папках. Детект ужасен! Нашел всего 43 зловреда, а удалил и того меньше.

35. Panda Antivirus 2008

Мне кажется, с избранием нового Президента России этот антивирус должен получить преференции от государства. :lol: Понравилось, что при установке софтина проверяет систему. Не требует перезагрузки. Занимает мало оперативной памяти. Работает шустро. Очень доходчивое и простое меню программы с достаточным количеством ручных настроек. Наглядная статистика в виде графика по пойманным зловредам.

Не понравилось: уровень детекта. Нет возможность задать в ручную "убивать" заразу - решение только после сканирования и все равно Панда предпочитает лечить, даже не смотря на указания юзера.

В итоге, Панда обнаружила (убила или вылечила) всего 107 вирусов. В папке осталось 46 файлов, из них четыре медведу удалось очистить, но с 42 зловредами косолапый справиться не смог. Есть у антивируса и проблемы с лечением. Несмотря на то, что, к примеру, файл illusion.exe (Pinch, который знают почти все на ВирусТотале) по обещанию Медведа был "вылечен", повторный анализ на ВирусТотале показал, что файл все равно заражен.

36. Quick Heal Antivirus 2008 (9.50)

Индийский хиллер :) Из дополнительных опций умет создавать Emergency CD, а так же показывает в текстовом виде всю свою базу вирусов по различным ОС. Любопытно было узнать, что мобильных вирусов уже, оказывается, существует около 40 штук, а под Линукс больше 150!

Просканировал всего за 4 секунды 157 объектов, нашел и удалил 100 вирусов. В папке осталось 48 файлов, нагрузка на процессор не более 48% на пике.

37. Rising Antivirus 2008 (Жуйсин)

Продукт с заявкой на серьезность. При установке предлагает пользователю произвести массу настроек, которые будут влиять на обнаружение он-лайн угроз, определение зловредов и т.д. Русифицирован, но присутствует множество ляпов в идее орфографических ошибок и проблем с стилистикой. Например: «Программное обеспечение для истребления яда 31, которое вы заказали, будет просрочиваться за день». Или: «контроль злотейших поступков».

В целом антивирус очень похож на КАВ 6 по структуре, фирменный зонтик а-ля старый КАВ или Авира тоже присутствует  Любопытно, что отключение модулей защиты осуществляется только после прохождения теста «капча».

Из любопытного функционала: функция сайфа для любимых программ, поддержка безопасности IM-клиентов и менеджеров загрузки. В контекстном меню устанавливается шредер, что приятно.

38. Sophos Anti-Virus 7.3.x/Sophos Client Firewall 1.5.x

152 просканировал, 88 зловредов обнаружил. 47 удалил, 39 поместил в карантин.

Медленно сканирует (больше минуты) и ОЧЕНЬ долго удаляет (Cleaning UP) найденную заразу (около получаса!). Нагрузка на процессор максимум 58%.

Особенно хочется отметить интерфейс фаерволла. Такое ощущения, что его делала компания Agnitum или его срисовали с Outpost.

39. Trend Micro Internet Security 2008

Пожалуй, самый загадочный антивирус. При окончании сканирования (на 99,9%) писал, что обнаружил 147 вирусов и 9 сейчас обрабатывает. Потом в итоговом отчете у него откуда-то взялось 374 threats resolved! Потом антивир попросил убить ручками, точнее, выдать ему "лицензию на убийство" (с) 007 по поводу четырех файлов. Нажатие клавиши "Fix selections below" увеличило значение найденных зловредов до 378. С таким термоядерным детектом, казалось бы, после Тренд Микро можно смело запускать к коллекции из 148 файлов еще столько же - антивир как бы их убил авансом. Но в папке с оставшимися файлами видим 12 экземпляров, из которых 3 очищены от заразу, а 9 все же остались зловредами.

Понравилось: гибкая настройка под пользователя вплоть до активности уведомлений. Несложное меню. Не требовательность к ресурсам.

Не понравилось: непонятный подсчет добычи.

40. ViRobot 5.5

Любопытный продукт, который представляет собой простенький комбайн, эдакий комбайновый кабриолет в виде антивируса, фаерволла и защитника почты.

Главной изюминкой является функция защиты определенной папки. По-умолчанию в графу защиты внесена родная папка с файлами самой софтины, но в список можно вставить и свою любимую, защитив ее от записи, чтения, удаления и т.д. Настройки гибкие. В зависимости от того учетной записи, под которой будет работать пользователь, ему разрешаются те или иные действия с защищенной папкой или не разрешаются вообще. Идиотизм ситуации заключается в том, что если кто-то узнает каким образом у вас защищены папки – он легко отключит защиту в программе, потому что ViRobot не умеет защищать паролем свой функционал. Паролем защищаются только главные настройки антивируса (причем, программа требует ввести хороший пароль, иначе его не принимает). А вот все остальное доступно для изменений каждому. Т.е. любой может запросто остановить работу антивируса и убрать из охраняемых любую папку. Нестыковочка….

При сканировании программа разделяет файлы на spywere и вирусы и соответственно выдает отчет.

41. VIPRE Antivirus + Antispyware

Продукт от разработчика известной анти-spyware программы CounterSpy компании Sunbelt Software.Отлично интегрируется в Windows Security Center. Имеет три уровня обнаружения: сигнатурный, эвристический и поведенческий. Дополнительный функционал представлен чистильщиком ”History” программ и браузеров. В списке представлены популярные браузеры и программы, но так же отображаются и предустановленные пользователем. Фирменные «Eraser» встраивается в контекстное right-click меню. Правда, как и в случае с Жуйсин неизвестно, сколько проходок делает шредер, но судя по скорости стирания не больше 3-х (US DoD 5220.22-M).

Просканировал 150 файл, обнаружил 62 зловреда, столько же и уничтожил. Нагрузка: максимум 53% на процессор.

Проблемы: сканировал 10 минут ровно, после этого удалял зараженные файлы минут 15! Тугодумная штука.

42. VirusBuster Professional

Наверняка приставку Professional сей продукт получил благодаря широким настройкам под админской учеткой в самом антивирусе. Настраивается и паролится все, начиная от окошек в трее, заканчивая информацией и возможностью управления сегментами антивируса со стороны обычного пользователя. Интерфейс на самом деле убогий и запутанный, логичностью не отличается. Сканирование по требованию пришлось назначать через планировщик, который, слава Богу, позволил запустить задание вручную. Опции right-click по проверке выбранного файла или папки нет и в помине.

таблица.doc

spisok_malware.txt

таблица.doc

spisok_malware.txt

  • Upvote 20

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Осталось сделать тоже самое на коллекции из 300 тыс зловредов, например. ;)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Я б с удовольствием, только где обычному любителю их насобирать столько и сколько лет займет у одного человека хотя бы их систематизировать :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Просто столько работы проделал. А "тест"-то ничего и не значит.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Кстати, в отличие от «младшего брата» 4.44 не смог вывести подробную статистику по классификации зловредов

Сканеры абсолютно одинаковые - что в CureIt! завёрнут, что в Dr.Web для Windows 4.44. Просто разные настройки. В сканере Dr.Web для Windows по умолчанию на некоторых категориях вредоносов стоит действие "Игнорировать", поэтому по ним информация и не была выведена. Перед сканированием всегда проверяйте настройки действий.

А смысл у теста есть - опять же, самообразовательный. Вот уже пошли замечания по проведению, а значит, движение вперёд есть :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Просто столько работы проделал. А "тест"-то ничего и не значит.

В глобальном смысле, конечно, ничего :) Но, на мой взгляд, можно проследить отношение вируслабов к добавлению в базы заразы. Вспомните сколько охов-вздохов негодования поступает от пользоваталей, которые сами шлют в вируслабы заразу, а вендор в базы не спешит ее добавлять :( Обидно, что со времени отлова прошло больше полугода, а многие экземпляры так и остались "неуловимыми" :(

2 Валерий Ледовской,

Спасибо за поддержку. Наверняка я пропустил где-то галку влияющую на распределение зловредов по классам. Кстати, мне очень понравилось, что Вэб умеет это делать.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

(сорри, не туда напсиал, хотел в личку человеку ответить) :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Большая работа проделана, честно. Но - с коллекцией могли и помочь - велкам! Вроде как на одних просторах существуем

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Неожиданностью стал успех Ashampoo
Ничего неожиданного в этом нет, ибо Ashampoo использует движок Avira. В то же время BullGuard, использующий движок BitDefender, пропустил на 2 зловреда больше. Или разные настройки по-умолчанию, или же несвоевременное обновление баз, верно.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Большая работа проделана, честно. Но - с коллекцией могли и помочь - велкам! Вроде как на одних просторах существуем

Спасибо. Дык большАя часть коллекции - это то, что удалось на этом ресурсе раскопать. Старался просто подобрать файлы таким образом, что бы они действительно были опасны и что бы повторов не было. :) Спасибо за помощь Icberg-у очень мне помогал :)

Предложение обязательно учту, потому что хочу к концу года сделать что-то подобное, но более сложное. например, настройки по-умолчанию, а затем на максимуме и посмотреть результат :)

К сожалению, более серьезные тесты мне не под силу - я ж не спец :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

всегда рад помочь и в организации, и в подборе

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
всегда рад помочь и в организации, и в подборе

Спасибо, обязательно обращусь! ;)

  • Upvote 10

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

А может просто создать некий ресурс куда можно было бы отпралять экземпляры зловредов, может такой уже существует на АМ и я не в курсе, но тоже поделился бы. Просто задать условия сразу: архив с паролем в архиве или тексте письма описание того что там и чем найдено было и когда, по возможности фунционал и деструктивные действия, и, таким образом собирать свои базы - за месяц, квартал, год. Так же можно было бы их по итогам периодов отсылать в вирлабы (мы не жадные, поделимся :rolleyes: ), выделять наиболее опасные, проводить тесты....

Спасибо за тест, позновательно, развернуто...не просто сухие цифры

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

а где vba32 или я что-то пропустил?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
22. KAV 8 beta (2009) 8.0.0.422

Не понравились иконки обозначений в главном меню антивирсуа. Иконка радиоактивности в меню «Защита» выглядит несерьезно и дешево.

Просканировал 253 объекта, нашел 179 зловредов!!! ГДЕ он их взял столько????? Причем так происходит при каждом сканировании.

В папке осталось 12 файлов. Очистить он смог только 16-10-2007-170736.vir. Остальные остались зараженными. Т.е. «бетка» мало того, что нашла на два файла меньше, чем 7-ка, так она не смогла еще и справиться с зараженными файлами, оставшимися в папке.

В таблицу не включал до выяснения обстоятельств.

Одно непонятно, почему не 357 с а.б.с хот-фиксами? Это все таки релиз... а 422 - это бетта МП1, да еще и не очень стабильная...

Не сможешь провести тест на 357 с а.б.с хот-фиксами?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Во-первых +1 в репутацию.

Во-вторых могу поделиться последним mcafee энтерпрайсом.

Может МакАфи хорош на уровне корпоративном, но в плане домашней защиты попросту не годится.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Во-первых +1 в репутацию.

за очередной тест на непонятной сотне образцов? или за объем работы?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
за очередной тест на непонятной сотне образцов?

Как раз по-моему этот тест отличается как раз тем, что все самплы понятны и даже разбиты на определенные классы, список же прилагается.

У меня другой вопрос возник, в совокупном результате всех продуктов были обнаружены все самплы?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Как раз по-моему этот тест отличается как раз тем, что все самплы понятны и даже разбиты на определенные классы, список же прилагается.

нет, их 148, что мало и принцип сбора "Зато каждый из зловредов в свое время (промежуток с января 2007 до конца декабря 2007 (сроки появления каждого из них в сети проверены по антивирусным бюллетеням)) имел плохую репутацию." непонятен

чуть более масштабный вариант "тестирования" Mike

P/S но работа проделана большая, я бы на месте хозяев портала предложил принимать участие в проведении тестирований на AM

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

P.S.

Просканировал 253 объекта, нашел 179 зловредов!!! ГДЕ он их взял столько????? Причем так происходит при каждом сканировании.

он ведь объекты проверенные считает, а не файлы:) разницу улавливаете?

вы наверное на эти цифры у других антивирей не обращали пристально внимания, у многих будет та же штука

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
А может просто создать некий ресурс куда можно было бы отпралять экземпляры зловредов, может такой уже существует на АМ и я не в курсе, но тоже поделился бы. Просто задать условия сразу: архив с паролем в архиве или тексте письма описание того что там и чем найдено было и когда, по возможности фунционал и деструктивные действия, и, таким образом собирать свои базы - за месяц, квартал, год. Так же можно было бы их по итогам периодов отсылать в вирлабы (мы не жадные, поделимся :rolleyes: ), выделять наиболее опасные, проводить тесты....

Спасибо за тест, позновательно, развернуто...не просто сухие цифры

По идее, такие ресурсы уже существуют. Это и ВирусТотал и сайт jotti и virusscan. По идее каждый файл отправленный юзером попадает в антивирусные лаборатории. В том-то и проблема, что лаборатории не спешат их добавлять в базу даже через ГОД!. Что я и хотел показать этим тестом.

а где vba32 или я что-то пропустил?

Конечно, я хотел его протестировать, но триальная версия имеет ограничение то ли по обновлению, то ли по настройкам. Там, по-моему, только базовые настройки в триале, а у всех остальных я выставлял на максимум. Так что Vba32 был бы не в равных условиях.

Одно непонятно, почему не 357 с а.б.с хот-фиксами? Это все таки релиз... а 422 - это бетта МП1, да еще и не очень стабильная...

Не сможешь провести тест на 357 с а.б.с хот-фиксами?

Во-вторых могу поделиться последним mcafee энтерпрайсом.

Спасибо, очень жду ссылочку на него. А то домашний МакАфее меня просто до ужаса разочаровал :(

нет, их 148, что мало и принцип сбора "Зато каждый из зловредов в свое время (промежуток с января 2007 до конца декабря 2007 (сроки появления каждого из них в сети проверены по антивирусным бюллетеням)) имел плохую репутацию." непонятен

чуть более масштабный вариант "тестирования" Mike

P/S но работа проделана большая, я бы на месте хозяев портала предложил принимать участие в проведении тестирований на AM

"Плохую репутацию" сказано для красного словца, я ж журналист :) Имелось в виду, что я старался собирать сэмплы действительно зловредные, а не обломки. Хотя обломки наверняка есть, но их в коллекции должен быть минимум. В любом случае, каждый файл несет вредоносный код, а значит, если по-честному, должен быть отловлен антивирусом :)

P.S.

он ведь объекты проверенные считает, а не файлы:) разницу улавливаете?

вы наверное на эти цифры у других антивирей не обращали пристально внимания, у многих будет та же штука

Да, я это заметил. Но слишком уж много как-то нашел :) Другие как-то выводят общий отчет по каждому файлу и количество получается гораздо меньшим. Та жа 7-ка, к примеру. Ситуацию с беткой-релизом Каспера 2009 исправлю к вечеру :)

Одно непонятно, почему не 357 с а.б.с хот-фиксами? Это все таки релиз... а 422 - это бетта МП1, да еще и не очень стабильная...

Не сможешь провести тест на 357 с а.б.с хот-фиксами?

Если можно, хотел бы получить ссылочку, а то я когда искал самую свежую бетку запутался в версиях. Вроде бы взял самую последнюю, судя по большому номеру, но наверное ошибся :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Конечно, я хотел его протестировать, но триальная версия имеет ограничение то ли по обновлению, то ли по настройкам. Там, по-моему, только базовые настройки в триале, а у всех остальных я выставлял на максимум. Так что Vba32 был бы не в равных условиях.

можно им было написать :) они редко отказывают ;)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Если можно, хотел бы получить ссылочку, а то я когда искал самую свежую бетку запутался в версиях. Вроде бы взял самую последнюю, судя по большому номеру, но наверное ошибся

http://dnl-eu2.kaspersky-labs.com/devbuild...8.0.0.357ru.exe

только обновится ей дайте ;)

полнофункциональная 30-дневная триалка

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
У меня другой вопрос возник, в совокупном результате всех продуктов были обнаружены все самплы?

Сорри, несколько не понял вопрос.... :rolleyes::huh:

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Цитата(Alexandr Shabanov @ 04.07.2008, 14:30) *

У меня другой вопрос возник, в совокупном результате всех продуктов были обнаружены все самплы?

Сорри, несколько не понял вопрос.... rolleyes.gif huh.gif

Думаю, имелось в виду следующее. Каждый из файлов коллекции, на которой проводилось тестирование, был обнаружен хотя бы одним антивирусом, или же были файлы, которые не обнаружил никто?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Создайте учетную запись или войдите, чтобы комментировать

Вы должны быть пользователем, чтобы оставить комментарий

Создать учетную запись

Зарегистрируйте новую учётную запись в нашем сообществе. Это очень просто!


Регистрация нового пользователя

Войти

Уже есть аккаунт? Войти в систему.


Войти с помощью Facebook Войти Войти с помощью Twitter
Anti-Malware.ru Вконтакте   Anti-Malware.ru в Facebook   Anti-Malware.ru в Twitter   Anti-Malware.ru в LinkedIn   RSS
  • Сообщения

    • sharyga777
    • AM_Bot
      Генеральный директор компании «Аванпост» Андрей Конусов поделился с Anti-Malware.ru своим видением ситуации на российском рынке систем IDM. О том, что нужно российским заказчикам IDM , по каким критериям сегодня они выбирают такие системы, каковы сроки окупаемости внедрения — об этом и многом другом читайте в интервью. Читать далее
    • AM_Bot
      Тематика платформ реагирования на инциденты (Incident Response Platforms, или IRP) набрала популярность в последние несколько лет — что подтверждает экспертная оценка. В этой статье мы определим, что такое IRP, и посмотрим, какое предложение IRP существует на рынке на начале 2018 года.     ВведениеОпределение предметной области и рынка платформ реагирования на инцидентыРоссийские поставщики платформ реагирования на инциденты3.1. Jet Signal3.2. R-Vision Incident Response Platform3.3. Security Vision Incident Response PlatformЗарубежные поставщики платформ реагирования на инциденты4.1. CyberBit4.2. IBMOpen-Source-платформы реагирования на инциденты5.1. Fast Incident Response (FIR)5.2. The HiveВыводы ВведениеРост популярности IRP вызван как видимыми бизнесу атаками (WannaCry, Petya, большие DDoS-атаки на российские банковские и государственные структуры), так и постепенным уменьшением объема доступной на рынке труда экспертизе по ИБ. Демографический кризис в сочетании с «клиповым» мышлением приводят к обмелению ранее обманчиво кажущегося безбрежным кадрового моря ИБ-талантов, и заставляет организации искать пути повышения КПД имеющегося персонала, а именно через разработку, внедрение и автоматизацию процессов ИБ, управления инцидентами и реагирования на инциденты, в частности.Особую актуальность тематика автоматизации реагирования приобрела из-за точности и скорости процедур и процессов реагирования. Ведь именно в этот момент счет идет на секунды — организации стремятся снизить время реагирования (а значит, понесенный ущерб) до минимального значения. Определение предметной области и рынка платформ реагирования на инцидентыОпределения IRP в зависимости от источника существенно различаются, но в целом IRP — это класс технологий, направленных на автоматизацию и повышение эффективности процессов управления, реагирования и расследования инцидентов ИБ. Иногда поставщики называют IRP технологической основой для SOC — и с точки зрения рыночных практик с ними трудно спорить, ведь историческая основа для SOC SIEM потихоньку сходит с рынка, а понимание центральной роли log management (и концепции data lake в целом) на рынок еще не проникло в полной мере.Определяющими характеристиками IRP являются наличие функций по автоматизации жизненного цикла управления инцидентами (Incidents management & investigations) и определенная база знаний (Security Knowledge Base), ценятся также функции проведения киберучений (Wargames), автоматического реагирования на инциденты определенного типа (Active Response) и интеграции с различными источниками данных об угрозах (например, платформами управления информацией об угрозах — Threat Intelligence Management Platforms),  что позволяет определить IRP как пересечение четырех множеств на рисунке 2. Рисунок 1. Модель IRP аналитического центра Anti-Malware.ru версии 1.0  Каждое из направлений  IRP имеет свою специфику, например, автоматизация процессов ИБ (incident workflow management & orchestration) предназначена и имеет функции для поддержки достижения трех целей:Контроль качества работы аналитиков в части классификации инцидентов и определениях их статуса (false positive) — архив инцидентов и кастомизируемые карточки инцидентов.Контроль оперативности работы аналитиков — контроль выполнения SLA.Повышение полезной нагрузки на аналитика — автоматическое распределение и назначение инцидентов.На рисунке 2 приведен пример функциональности IRP, что поддерживает процессы реагирования на инциденты ИБ: Рисунок 2. Пример функциональности IRP, поддерживающей процессы реагирования на инциденты ИБ  Рынок IRP включает в себя российских и зарубежных поставщиков решений, а также возможно использовать различные Open-Source-решения. Российские поставщики платформ реагирования на инцидентыРынок IRP в России представлен в первую очередь российскими поставщиками. Особой специфики в российском рынке IRP автору не удалось найти, но локальные игроки традиционно ведут более гибкие продуктовые и ценовые политики.Jet SignalОдним из наиболее молодых игроков на рынке IRP стала компания «Инфосистемы Джет». Компания давно известна своей способностью создавать продукты ИБ — на ее счету Dozor Jet, Jet InView, «Тропа» и много других, и несмотря на выделение вендорского ИБ-бизнеса в компанию Solar Security в 2015, «Джет» продолжает создавать новые продукты ИБ.Вендор позиционирует Jet Signal как систему класса IRP — технологическую платформу для создания SOC, основные задачи которой — управление инцидентами ИБ на всех этапах жизненного цикла: сбор событий ИБ от подсистем ИБ, SIEM, неавтоматизированных источников, управление планами реагирования, автоматизация расследования, организация работы дежурных смен, ведение базы знаний, систематизация данных Threat Intelligence и т. д.Достоинства:Архитектура — как новое на рынке решение, система не имеет legacy-кода.Киберучения — система позволяет проводить киберучения для подразделения мониторинга ИБ (нет отдельного модуля но можно создать синтетический инцидент).Сертификация — система имеет сертификат соответствия требованиям безопасности информации по уровню контроля 2 НДВ и РДВ системы сертификации Министерства обороны и поддерживает комплекс средств защиты Astra Linux. Рисунки 3, 4, 5. Возможности модулей Jet Signal и интерфейс Jet Signal  R-Vision Incident Response PlatformR-Vision IRP стал результатом развития R-Vision GRC в сторону автоматизации процессов мониторинга и реагирования на инциденты ИБ, поэтому в решении традиционно сильны компоненты работы с активами, а за счет длинного присутствия на рынке R-Vision GRC многие функции решения достигли промышленной зрелости и решение разворачивается из коробки — вендор готов проводить пилотные проекты для многих клиентов.Однако стоит отметить, что любая кастомизация предполагает затраты с каждой из сторон, поэтому запросы на добавление функциональности решения определенно будут учтены, но могут быть не приняты вендором без дополнительной оплаты.Достоинства:Опыт проектов в России — источники в индустрии и публичные выступления (например, кейс МТС-банка на Сколково CyberDay 2017) свидетельствуют о значительном опыте вендора по автоматизации процессов реагирования на инциденты ИБ в России в организациях разного масштаба — например, банки топ-50, банки топ-10, государственные структуры.Интеграция — R-Vision инвестировал миллионы в интеграцию с самыми разными средствами защиты информации, некоторые консоли управления от вендоров интегрируемых систем отображают меньше информации, чем R-Vision.Наличие готовых скриптов реагирования (cmd, sh script, Power Shell) и возможность добавления собственных (cmd, sh script, Power Shell , а также в средах python, java и perl).Динамические playbooks. Возможность включения в цепочку действия, результат которого будет зависеть от результата предыдущего.Наличие функциональности по управлению активами и уязвимостями — редкий функциональный блок для классических, прежде всего, западных IRP-решений. Благодаря взаимосвязи указанных блоков с блоком управления реагированием на инциденты значительно повышается эффективность работы аналитиков SOC при расследовании инцидентов, устранении их последствий, установлении причин или оценке ущерба. Рисунки 6, 7, 8, 9. Архитектура и интерфейс R-Vision IRP    Security Vision Incident Response PlatformКомпания Security Vision работала над базовыми функциями IRP, когда аббревиатуры IRP не существовало на российском рынке, одни из первых автоматизировали жизненный цикл управления инцидентами на примере Сбербанка России, где решение находится в промышленной эксплуатации более 3 лет.Для реагирования на инциденты (Active Response) решение использует автоматические планы реагирования и отдельное приложение «Агент реагирования», который является логическим продолжением и развитием собственной системы управления инцидентами ИБ (системы SGRC).  База знаний накапливает знания и позволяет проводить автоматический анализ ранее случившихся инцидентов безопасности и помогает в принятии решений. Функции проведения киберучений (Security Awareness), используется для повышения осведомленности сотрудников компании об информационной безопасности. Агентная и безагентная интеграция с различными источниками данных с поддержкой более 2000 источников (форматы CSV, email, STIX, XML, JSON, и др.) Интеграция для получения фидов на примере IBM X-Force и GIB, GovCERT.Достоинства:Реализация практически любого сценария реагирования на инцидент безопасности, проведение расследования за счет возможности определения цепочки последовательных действий.Развитые средства визуализации и карта инцидентов ИБ (геоинформационная подсистема с проекцией 3D).Полноценный Ticketing workflow (впервые реализован в Сбербанке в 2016 году) с редактором процессов, обеспечивающий работу с любой сущностью «заявки». Имеется автоматическое реагирование в соответствии с runbook/playbook/use case.Высокая надежность, подтвержденная проектами федерального значения (крупнейший SOC в Восточной Европе, SOC госорганов). Наличие агентов для инвентаризации, контроля целостности, доступности и реагирования, что позволяет дополнять функции классической IRP.SIEM-система Security Vision имеет конструктор простых правил корреляции.Наличие функций управления активами, в том числе ИТ-активами.Специализация на кибербезопасности — позволяет предположить более быстрое развитие продвинутой функциональности решений.Ожидается получение сертификата ФСТЭК России. Рисунки 10, 11, 12, 13. Интерфейс Security Vision    Зарубежные поставщики платформ реагирования на инцидентыНесколько лет назад приобрести IRP от зарубежного игрока в России было непросто. Продвигая IRP, еще в 2014 году автор сталкивался как с малым интересом вендоров к России, так и с отсутствием у нас представительств и дистрибуторов. Приходилось выкручиваться с помощью ITSM\BPM-игроков, но с той поры стало легче — на рынок вышло 2 полноценных игрока.При этом до конца неясно, появился ли у зарубежных игроков реальный интерес к рынку — их в стране всего два, в том числе ни одного представительства специализированной (pure play) IRP-компании. Сегмент представлен эксклюзивным дистрибутором CyberBit (IITD Group) и IBM, что ранее приобрела Resilient Systems.CyberBitИзраильская компания CyberBit была основана в 2015 году для защиты корпоративных и критичных (АСУ ТП) инфраструктур от наиболее продвинутых угроз, возможно, ранее являясь внутренним подразделением израильского оборонного концерна Elbit (сейчас его дочерняя компания). Кроме IRP (CyberBit SOC3D) в портфеле решений компании возможно найти EDR, SCADA Security и даже решение класса Cyber Range, что предназначено для имитации корпоративной инфраструктуры при проведении упражнений RedTeam — BlueTeam.Вендор декларирует наличие ключевых для IRP-решения функций автоматического реагирования на инциденты ИБ и управления и контроля обработки инцидентов и тикетов ИБ (подозрений на инциденты), но вынес функциональность киберучений в отдельное решение Cyber Range.Вендор не разглашает своих клиентов, несколько неожиданно комбинируя на своем сайте клиентов с партнерами, поэтому при оценке решения желательно запросить истории успеха.Достоинства:Специализированный портфель решений — вероятна синергия при условии приобретения пакетом.Глобальный опыт — офисы в Израиле, США, Великобритании, Германии и Сингапуре позволяют надеяться, что компания получит доступ к разным проблемам разных клиентов и сможет автоматизировать их решение для будущих клиентов.Новый на российском рынке бренд и молодая компания — позволяет надеяться на ценовую лояльность производителя.Специализация на кибербезопасности — позволяет предположить более быстрое развитие продвинутой функциональности решений. Рисунки 14, 15, 16. Интерфейс IRP-решения компании CyberBit   IBMВ 2016 году известная своим широким портфелем ИБ-решений компания IBM приобрела самого известного IRP-вендора — Resilient Systems. Компания реализует, возможно, наиболее функционально полное на рынке решение, однако рыночные и открытие источники (например, нашумевший тендер в Пенсионном фонде России) свидетельствуют о соответствии цены функциональным возможностям. Видимо, цена не смущает действительно крупные организации — вендор заявляет о присутствии решения в 100 организациях из списка Fortune 500.      Достоинства:Широкий портфель решений — вероятна синергия при условии приобретения пакетом или наличия ранее приобретенных решений IBM.Глобальный опыт — многочисленные офисы IBM по миру позволяют надеяться, что компания получит доступ к разным проблемам разных клиентов и сможет автоматизировать их решение для будущих клиентов.Сильный бренд — «еще никого не уволили за то, что он купил IBM».Функциональное лидерство на российском рынке. Рисунки 17, 18. Схемы работы Resilient Systems компании IBM   Open-Source-платформы реагирования на инцидентыБесплатные решения с открытым исходным кодом (Free Open Source Solutions, FOSS^ или открытые решения) набирают популярность в разных категориях — от операционных систем и виртуализации до прикладных задач безопасности. Ввиду разработки небольшими коллективами энтузиастов FOSS могут развиваться и решать определенные задачи ИБ даже более полно, чем традиционные коммерческие решения от забюрократизированных гигантов — например, тесно интегрируются с TIMP, нативно поддерживают .Fast Incident Response (FIR)В 2014 году CERT Societe Generale (команда быстрого реагирования на инциденты ИБ глобальной банковской группы французского происхождения) выложила в открытый доступ платформу Fast Incident Response для учета и управления инцидентами ИБ.FIR является наиболее функционально простым решением из решений обзора и даже может быть исключен из класса IRP по формальным основаниям. Фактически в решении реализованы лишь процессы управления инцидентами. Однако такой набор функциональности востребован многими организациями среднего размера, которые еще не осознали пользу от развитых процессов и технологий для оптимизации реагирования на инциденты. Вместе с этим в наличии и продвинутая функция — интеграция с TIMP YETI.Открытые IRP-решения несколько концептуально противоречивы — IRP предназначены для повышения эффективности работы аналитиков, однако перед выбором открытого решения стоит определиться, кто из аналитиков (инженеров) будет поддерживать такое решение, неизбежно отвлекаясь тем самым от мониторинга угроз ИБ.Достоинства:Простота — решение быстро разворачивается и обучать его использованию просто.Финансовая гибкость — нет необходимости оплаты лицензий, а также ежегодной поддержки.Технологическая гибкость — открытый код, распространенный язык программирования (Python) и небольшой размер кодовой базы позволяют подправить код самостоятельно при наличии соответствующих компетенций. Рисунки 19, 20, 21. Интерфейс платформы Fast Incident Response     The HiveВ 2016 году CERT Banque de France (команда быстрого реагирования на инциденты ИБ Центрального банка Франции) выложила в открытый доступ платформу The Hive для поддержки расследований инцидентов ИБ.The Hive плотно интегрирована с целым рядом смежных решений для поддержки расследования инцидентов ИБ — платформой по управлению информацией об угрозах MISP, специализированным поисковиком Cortex и агрегатором информации об угрозах Hippocampe.Достоинства:Развитие — решение быстро развивается и обрастает новыми сервисами в рамках единой экосистемы.Расследования — за счет плотной интеграции с техническими средствами расследования The Hive оптимален для Threat Hunting (поиска и расследования сложных угроз).Финансовая гибкость — нет необходимости оплаты лицензий, а также ежегодной поддержки.Интеграция с любым внешним источником (SIEM, IPS, DLP и т. д.) через TheHive4py. Рисунки 22, 23, 24. Платформа The Hive      ВыводыСегодняшний рынок IRP находится еще в своем младенчестве — в России пока лишь десятки клиентов, кому тема интересна и кто готов за нее платить. Однако спрос в основном еще не квалифицирован, а решений мало, поэтому поставщики решений получают премиальную маржу, а развитие функциональности за счет такой маржи идет впечатляющими темпами.Несмотря на молодость рынка на нем уже есть 7 решений с достаточной для выполнения базовых задач функциональностью. Российские поставщики решений обладают уникальными функциями (управление активами и сканирование сети, собственные агенты) либо лучшими функциями на уровне мировых конкурентов (киберучения), зарубежные пока только присматриваются к рынку, а открытые решения угрожают забрать рынок среднего бизнеса у коммерческих — они проще в использовании, разворачиваются быстрее, чем некоторые коммерческие, и не требуют закупки программного обеспечения или обоснования приобретения ПО не из реестра Минкомсвязи.Отдельная тема — контентные базы и референсные библиотеки процессов из коробки. Архитектура и функциональные возможности решений во многом формируются стихийно, и даже мировые лидеры не в состоянии принести клиентам детальный стек проработанных процессов управления инцидентами — процессы «допиливаются» прямо на клиенте. Качественные процессные модели неминуемо станут конкурентным преимуществом для тех игроков, что будут в состоянии их разработать. Коллектив Anti-Malware.ru выражает особую благодарность за помощь в подготовке данного материала коллегам:   Jet SignalАндрей Янкин, заместитель директора Центра ИБ ЗАО «Инфосистемы Джет»R-VisionИгорь Сметанев, коммерческий директор ООО «Р-Вижн»Security VisionРуслан Рахметов, генеральный директор ООО «Интеллектуальная безопасность»Роман Овчинников, инженер ООО «Интеллектуальная безопасность» Читать далее
    • Openair
      подниму темку
    • IgorIgorev
      На ставках не пробовал поднимать денег, как то не сильно интересует. Вот игровые автоматы более интересны, сейчас и в онлайн режиме можно поиграть не выходить из дома. Моей маленькой дочурке тоже нравиться нажимать на клавиши, хотя ничего не понимает главное, что сказочные картинки скачут в экране. Играю в основном на автомате Fairy Gate, все что одобрил мой ребенок. Почитать обзор этой игры  можно тут http://casinofreebonuses3.info/slots/fairy-gate .