Результаты VB100% - Август 2008

[Deja_Vu 366]

Думаю если еще парочка выйдет - то тест вообще потеряет актуальность, кому нужен тест, который не содержит в себе 4-5 передовых антивирусных продуктов?

[Сергей Ильин 1538]

Заявление «Доктор Веб» относительно участия продуктов компании в сравнительном тестировании журнала Virus Bulletin

В связи с появившимися в последние дни сообщениями средств массовой информации о выходе компании «Доктор Веб» из участия в сравнительных тестированиях антивирусных продуктов, проводимых британским журналом Virus Bulletin, а также в связи с многочисленными вопросами пользователей и партнеров компании, мы сочли необходимым опубликовать свою официальную позицию по этому вопросу.

Virus Bulletin, будучи наиболее авторитетным международным изданием, посвященным вопросам борьбы с вредоносными программами, естественным образом объединял и объединяет вокруг себя практически все антивирусные компании; его ежегодные антивирусные конференции были и остаются уникальным местом общения и обмена информацией представителей антивирусных вендоров, где коммерческая конкуренция отходит на второй план, а главными становятся проблемы исследования новых тенденций развития вредоносных программ и методов защиты от них компьютерных пользователей во всем мире.

Одним из традиционных событий в антивирусной отрасли, своего рода ее ритуалом, являются сравнительные тестирования антивирусных продуктов, которые Virus Bulletin проводит каждые два месяца. Антивирус Dr.Web – один из старейших участников сравнительных тестирований журнала Virus Bulletin, его история в этих тестированиях ведет отсчет со второго теста в феврале 1998 года. За прошедшие 10 лет продукты Dr.Web неоднократно успешно проходили эти тестирования, получая почетный знак VB100%. Среди всего многообразия антивирусных тестов сравнительные тестирования журнала Virus Bulletin всегда выделялись прозрачностью используемой методики, скрупулезностью и ответственностью в подходе к продукту каждого вендора, прекрасными коммуникациями с вендорами.

Однако за последние несколько лет у многих антивирусных вендоров появилось немало вопросов к этим сравнительным тестированиям. Будучи предельно строгой и понятной, их методика начала существенно отставать от уровня развития как самих вредоносных программ, так и антивирусных технологий. По сути, некогда почетная награда VB100% перестала отражать реальное качество работы антивирусных программ и, что еще хуже, стала все чаще использоваться для манипулирования мнением пользователей.

Основными проблемами сравнительных тестирований Virus Bulletin компания «Доктор Веб» считает следующие:

1. Прохождение антивирусом теста Virus Bulletin и получение знака VB100% определяется результатами сканирования так называемой коллекции In-the-Wild. Данная коллекция включает в себя только вирусы, способные к репликации, что естественным образом существенно сужает круг "допущенных" в нее вредоносных программ. По оценкам «Доктор Веб», эта коллекция насчитывает в себе не более 10% всех вредоносных программ, от которых способны защитить пользователей современные антивирусы.

2. В силу указанного критерия формирования коллекции In-the-Wild, используемой для основного тестирования Virus Bulletin, за рамками сравнительных тестирований остается основной пласт сегодняшних вредоносных программ, а именно - троянские программы. То же самое можно сказать и об одной из самых серьезных проблем последних 4-5 лет - так называемых «руткитах». Как бы хорошо ни детектировал антивирус троянские программы, число которых сегодня на несколько порядков превосходит число реплицируемых вирусов, как бы надежен он ни был в противостоянии «руткитам», награда VB100% достанется ему только в том случае, если он исправно обнаружит всего нескольких тысяч вирусных образцов в коллекции In-the-Wild. Увы, о способностях антивирусной программы бороться с троянцами, пользователь никогда не узнает, ориентируясь только на наличие награды VB100%, преподносимой некоторыми маркетологами и «экспертами» как некий эталон антивирусной отрасли.

3. Антивирус Dr.Web, как и другие антивирусные продукты, постоянно развивается и совершенствуется, отвечая вызовам современных реалий. Практически ежедневно антивирусным компаниям приходится сталкиваться с новыми технологиями, используемыми создателями вредоносных программ. Для того, чтобы эффективно противостоять им, необходимо постоянное развитие антивирусов, которое не сводится только к пополнениям сигнатурных баз. Тестирование Virus Bulletin в той своей части, которая непосредственно касается присуждения награды VB100%, не способно сравнить технологические достижения антивирусов, являющиеся следствием развития технологий противодействия вредоносным программам, находящимся за рамками «официальной» тестовой коллекции.

4. Основные качества антивируса проявляются не при рутинном сканировании коллекции файлов, а в реальной ситуации, связанной с вирусной атакой – при попытке заражения компьютера или в условиях, когда заражение уже имеет место. В последние несколько лет немало звучит предложений о необходимости создавать антивирусам гораздо жесткие условия при тестировании, сравнивать их по их способности противостоять активному заражению. Какие бы великолепные результаты по детектированию вирусов из «дикой природы» ни демонстрировал антивирусный продукт при тестировании Virus Bulletin, эти результаты ничего не скажут его пользователям о способности продукта реально противостоять этим же вирусам, когда они будут не просто лежать на диске в составе коллекции, а будут запущены на компьютере, являясь, по сути, хозяевами положения. Никаким образом не сравниваются антивирусы в этих тестированиях и по своим способностям лечить зараженный компьютер.

Указанные проблемы, по мнению компании «Доктор Веб», серьезным образом снижают значимость результатов сравнительных тестирований, проводимых журналом Virus Bulletin в рамках выбранной на сегодняшний день методики. На их основании практически невозможно сделать объективные выводы о качестве сравниваемых продуктов, об их способности защитить пользователей от современных вирусных угроз. Несмотря на свое название, сравнительные тесты Virus Bulletin не сравнивают продукты по большинству функций, присущих современным антивирусам. В этих условиях знак VB100%, многими преподносимый как показатель высокого качества завоевавшего его продукта, на самом деле свидетельствует лишь о том, что антивирус успешно прошел некий тест, содержание которого имеет мало общего с оценкой тех возможностей, которые действительно востребованы в условиях современных вирусных угроз.

Именно эти факторы и привели компанию «Доктор Веб» к решению приостановить свое участие в сравнительных тестированиях Virus Bulletin. Мы внимательно следим за эволюцией методики тестов и готовы, безусловно, участвовать в них тогда, когда их содержание будет адекватно соответствовать современным требованиям антивирусной безопасности.

http://info.drweb.com/show/3482?lng=ru

**************************

Соглашусь с доводами компанию «Доктор Веб», минусы тестов VB не раз уже обсуждались на нашем форуме. Жаль только не приводятся какие-то примеры "адекватных" тестов.

[Ego1st 95]

Жаль только не приводятся какие-то примеры "адекватных" тестов.

ну возможно, по мнению др.веб их просто нету сейчас=))

[georgy_n 80]

ну возможно, по мнению др.веб их просто нету сейчас=))

Их действительно нет. Руководствуясь ностальгией поставил Dr.Web , попользовался 3 дня и вернулся к Avira, объясню почему:

1. Сканирование 2-х дисков по 120Gb (один - системный, больше на нем ничего нет) заняло ~ 6 часов;

2. На Висте планировщик задач встраивается в системный, настроить его без 1/2 ста не так просто;

3. При обнаружении "Dr.Web KeyViewer" антивирус показал, что объект "вылечен" после этого "лечения" найти его нигде не удалось;

4. При тестировании архива из 48 зараженных объектов Dr.Web определил 10, в т. ч. 5 эвристиком (кстати, НОД32 - только 2), Авира - 35, параноидальный Ikarus - 37. Одновременно отправил архив в вирлаб Авиры и Др.Вэб.

Далее ничего нового, Авира ответила, что из-за большого кол-ва файлов, вредоносные файлы будут добавлены в базу при очередном обновлении. Др.Вэб - ни ответа, ни привета (исключая робота).

Несколько скриншотов, связанных с тестом архива, архив могу дать интересующимся, чтоб не было сомнений в результатах (актуально на сегодняшнюю дату):

P. S.: настройки Авиры умеренные. Эвристика - средний уровень, - по умолчанию. Остальные настройки тоже по-умолчанию, расширен только перечень определяемых объектов - добавлены программы - шутки. Детекта подобных программ не было, поэтому настройки не могли повлиять на конечный результат.

[Valery Ledovskoy 1082]

3. При обнаружении "Dr.Web KeyViewer" антивирус показал, что объект "вылечен" после этого "лечения" найти его нигде не удалось;

Не понял, кто чего как чем обнаружил? Чего чем не удалось найти?

Dr.Web KeyViewer - это чей продукт? У нас таких нету...

4. При тестировании архива из 48 зараженных объектов Dr.Web определил 10

Кто сказал, что 48 объектов точно заражены, откуда видно, что Dr.Web определил 10? Какие названия у обнаруженных? Откуда взялся архив? Когда были обновлены базы?

[georgy_n 80]

Не понял, кто чего как чем обнаружил? Чего чем не удалось найти?

Dr.Web KeyViewer - это чей продукт? У нас таких нету...

1. Поскольку речь шла о не понравившихся моментах в Dr.Web, соответственно, он и обнаружил своим гардом --> показал, что инфицированный объект излечен, но где искать этот излеченный объект... поскольку с жесткого диска он пропал напрочь;

2. Dr.Web KeyViewer - я и не утверждал, что он "ваш". Еще скажите, что не приходилось слышать ;-) Все же врага надо знать в лицо. Дать ссылку на скачивание?

Кто сказал, что 48 объектов точно заражены, откуда видно, что Dr.Web определил 10? Какие названия у обнаруженных? Откуда взялся архив? Когда были обновлены базы?

1. На счет того, что заражены все 48, утверждать не могу, тут, сорри, не верно выразился. С другой стороны, ответа от аналитиков Dr.Web не дождешься и утверждать обратное я тоже не могу (мы с Вами уже обсуждали работу вирлаба ДрВэб, предлагаю не повторяться), а писать на форуме: "когда рассмотрят мой тикет", - желания нет, извините. Это скорее вашей компании нужно, чем мне, поэтому и предложил в предыдущем посте дать ссылку на архив (№ тикета я не сохранил, к сожалению);

2. То, что Dr.Web определил 10 - видно из скриншота, как мне показалось;

3. Названия обнаруженных объектов каким антивирусом Вас интересуют? Dr.Wеb точно воспроизвести не могу, логи не сохранял, если только заново CureIt! пройтись. Если намек на обычные фолсы Авиры, то все было взято сигнатурами, названия следующие:

TR/Agent.BGW, BDC/Arash.A, KIT/BajGir.A, TR/Spy.VB.aet, KIT/Peymanvm2.B, TR/Telsender.A.2, KIT/PSW.Yahoo, BDS/Backdoor.Gen, BDS/HUser.63027, KIT/MultiPassword.A, TR/Crypt.CFI.Gen, EXP/MS05-013, BAT/DelAll.AT, BAT/DelAll.AR, BAT/Delfiles.CD, BAT/DelAll.AS, HTML/Dldr.Iframe.G, W32/Virut.AX, BDC/Lordly.2, BDC/Lordly.1, TR/Agent.BGW, BDC/Lordly.2, BDS/HUser.63027, TR/PSW.YPager.F, TR/PSW.YPager.E, HTML/Dldr.Iframe.G, TR/Crypt.CFI.Gen, TR/VB.Dae.2, TR/Flood.Yahoo.A

4. Архив был переслан одним знакомцем - сисадмином с пометкой, что в нем вирусы, еще не определяемые некоторыми АВ;

5. Актуальность баз - на момент проверки архива, т. е. 2 дня назад.

[Виталий Я. 859]

Очень хорошо, что компания "Доктор Веб" так подробно разъяснила свой выход из тестирования, расставив все точки над i. Хотя превентивные меры всегда лучше, чем объяснения постфактум. Тем не менее позиция ряда других ведущих АВ-вендоров все-таки попрочнее - утверждая, что VB100 устарел, они награду все-таки в подавляющем большинстве случаев берут. Замечу, что к компании отношусь с симпатией, несмотря на возможно острые комментарии.

Понравился момент в заявлении, в котором заостряется внимание на "невидимой" в подобных тестах технологической продвинутости решений - в частности, в лечении руткитов. Есть и некоторые сомнения по поводу пункта 4 о защите реального ПК при реальной атаке, т.к. о комплексной защите ПК решениями компании говорить пока рано, несмотря на разговоры о 5-ке. Ждем 5-ку, а пока говорим только о комплексной защите ПК от вредоносного кода и спама.

Жаль, что адекватных суммарных сравнительных тестов комплексной защиты очень мало и не у всех вендоров (увы, и у Dr. Web) получается участие в них - будь то ограниченные наборы решений в заказах на тесты от прессы или просто отсутствие ресурсов для подготовки, а то и желания тестироваться.

[TANUKI 240]

для одной компании это скорее причины технического характера, а для другой — политического».

А кто расскажет коротко, но ясно, про эти две причины?

[Иван 290]

видимо автор этих строк сможет рассказать

[Сергей Ильин 1538]

С нетерпением жду первого теста AMTSO. Во-первых, это будет сильный удар по ценности VB. А во-вторых, очень интересно, что будут говорить о результатах этого теста в компании "Доктор Веб". Что-то мне подсказывает, что в динамическом тесте у них нет шансов на высокие места. Опять тесты будут "не такие, как нужно" и последует восстание против AMTSO?

[Иван 290]

С нетерпением жду первого теста AMTSO. Во-первых, это будет сильный удар по ценности VB. А во-вторых, очень интересно, что будут говорить о результатах этого теста в компании "Доктор Веб". Что-то мне подсказывает, что в динамическом тесте у них нет шансов на высокие места. Опять тесты будут "не такие, как нужно" и последует восстание против AMTSO?

насколько мне помнится эта чудная организация не будет делать тестов, она лишь вырабатывает методологию причем ужо второй год

[DWState 30]

насколько мне помнится эта чудная организация не будет делать тестов, она лишь вырабатывает методологию причем ужо второй год

Думаю они все же придут к тестам...или создав методологию, они просто передадут управление проведениями тесток кому-нибудь

[Valery Ledovskoy 1082]

Опять тесты будут "не такие, как нужно"

Сергей, это передёргивание. Нет идеальных антивирусных продуктов, нет идеальных тестирований антивирусных продуктов. Молчать в тряпочку и пытаться дотянуться в существующих тестированиях до первых мест любой ценой или же говорить о недостатках тестирований, которые сейчас не видны только слепому - это две достойные друг друга альтернативы. Не нужно говорить, что одна или другая из этих альтернатив более правильная. Пока что обе имеют право на существование.

[Сергей Ильин 1538]

Я понимаю, что в любом тесте есть недостатки. Разница состоит в том, как к ним относиться. Можно делать это конструктивно, а можно прямолинейно отрицать. В PR-политике Доктора я чаще наблюдаю атрибуты второго пути.

[Valery Ledovskoy 1082]

В PR-политике Доктора я чаще наблюдаю атрибуты второго пути.

Сергей, но приостановку же тестирования в VB аргументировали?

Но я не о том. Даже если не аргументировать. Вы не можете принять мысль, что может быть выгоднее отказаться от того или иного тестирования без объяснения причин, чем тратить время на то, чтобы пытаться что-то доказывать? Т.е. один путь - участвуем в тестированиях, которые есть, принимаем их недостатки и пытаемся занять первые места. Второй путь - взаимодействуем с пользователем на всех уровнях - проводим обучение, оказываем достойную техподдержку, с помощью разработчиков и вирлаба закрываем недостатки, которые возникают у пользователей. И при этом тестирования вроде как и не нужны - пользователь и без этого доволен и продлевает из года в год свою лицензию.

Т.е. участие в тестировании (любом) - это не необходимость вовсе, можно спокойно (о, ужас!) работать и без них, т.е. тут встаёт вопрос о необходимости тех или иных тестов для того или иного вендора.

Т.е. тесты могут помогать, а могут мешать работать с пользователем.

Вы можете сказать, что тем самым вендор может продезинфомировать пользователя, не участвуя в тестах. Но можно же взять демо-лицензию, а потом купить не на год, а на 3 месяца и убедиться во всём - пощупать самостоятельно все плюсы и минусы, сравнить с другими продуктами. И ощущения конкретного пользователя (не индуцированное тестами), как он видит эти продукты (ПО+сервисы вокруг него) часто идёт вразрез вообще не только с тестами, но и с соседом по площадке, с которым он пьёт пиво каждые выходные. И этот пользователь будет больше прав, чем самый точный тест.

Какой тест опишет качество взаимодействия с техподдержкой или пренебрежительное отношение разработчиков на официальном форуме, или ауру установленного продукта?

в любом тесте есть недостатки. Разница состоит в том, как к ним относиться. Можно делать это конструктивно, а можно прямолинейно отрицать.

Так Вы хотите сказать, что если в тесте есть недостатки, то их (тесты) нельзя просто игнорировать? Обязательно нужно пытаться что-то кому-то доказывать? Да ну. Мне кажется, что это как раз выбор вендора - где ему участвовать. А объяснение причин выбора - это как раз факультативно.

Вы можете сказать, что вендоры говорят не всю правду. Так и тесты не говорят всю правду, они весьма ограничены в своих возможностях и часто дезинформируют пользователя. Тестируют те качества продукта, которые доступны для тестирования. А другие, которые не менее важны, просто невозможно протестировать - вообще никак, ни с недостатками, ни без них. А потом в техподдержку обращаются пользователи с такими речами: "Мне Ваш продукт очень нравится и устраивает, я пользуюсь им много лет. Так почему я не вижу, что в последние n месяцев Ваш продукт не победил... ну, допустим, в VB?" Т.е. пользователь имеет своё устоявшееся мнение, и он прав, убеждаясь в своём мнении годами, а тесты выбивают его мнение из колеи, заставляют совершенно безосновательно начинать сомневаться.

[alexgr 556]

А потом в техподдержку обращаются пользователи с такими речами: "Мне Ваш продукт очень нравится и устраивает, я пользуюсь им много лет. Так почему я не вижу, что в последние n месяцев Ваш продукт не победил... ну, допустим, в VB?" Т.е. пользователь имеет своё устоявшееся мнение, и он прав, убеждаясь в своём мнении годами, а тесты выбивают его мнение из колеи, заставляют совершенно безосновательно начинать сомневаться.

возвращаясь к заявлению - даже если это всего 10% общего функционала, но с завидным постоянством ЭТО проваливается.... Разве этого мало для сомнений? Пусть даже если это 5%. Повод для сомнений, безусловно, есть. Вспоминию некий диалог по поводу достаточно постоянных провалов УНА - " Провал - это повод сгруппироваться, сосредоточиться и - взять! доказать всем, что это случай". А при таком наборе "случаев" стоит говорить о тенденции как минимум.

[Иван 290]

доктор пошел по пути не участия в тестах потому, что их результаты давно и постоянно вредили имджу их продуктов, что ав-компаративз, что VB100%

это вполне адекватный шаг в текущий для них ситуации с тестами

но вот не будет ли отрицание всех тестов поголовно вызывать сомнения в качестве продукта еще большее, чем провалы в тестах?

[Кирилл Керценбаум 671]

но вот не будет ли отрицание всех тестов поголовно вызывать сомнения в качестве продукта еще большее, чем провалы в тестах?

Полностью согласен. Несмотря на очевидные недостатки VB100 или других подобных тестов, отказ от участия в нем не последних АВ вендоров на фоне того, что все новые и новые продукты присоединяются к тесту и подчас неплохо с ним справляются, выглядит более ущербно, чем провал в тестировании

[Valery Ledovskoy 1082]

возвращаясь к заявлению - даже если это всего 10% общего функционала, но с завидным постоянством ЭТО проваливается.... Разве этого мало для сомнений?

Мало. Потому что если сравнивать 100% функционала, результаты будут совершенно другими, и сомневаться уже будем по поводу других продуктов. Неужели это непонятно? Слон - это гладкий столб, или же это мягкий хобот, или это тонкий маленьких хвост? Да ни то, ни другое, ни третье, и одновременно всё сразу.

но вот не будет ли отрицание всех тестов поголовно вызывать сомнения в качестве продукта еще большее, чем провалы в тестах?

Не будет. Пользователям можно объяснить свою позицию, и многие её поймут. Делать это можно как через техподдержку, так и через статьи/пресс-релизы. Кстати, не только у нас такие настроения по поводу тестов. И это уже превращается в тенденцию.

Не думаю, тем не менее, что от этих настроений тесты как таковые вымрут. Такая ситуация, возможно, выведет тесты на качественно новый уровень, и вендоры снова захотят участвовать - кто знает?

[Иван 290]

несмотря на очевидные недостатки VB100

вот насчет VB у меня особое мнение, с ним в текущем виде надо кончать и зря симантек их поощряет

тест по методики пан или пропал (дали значек али нет) за 100% детект на сомнительной коллекции это не дело

[alexgr 556]

Мало. Потому что если сравнивать 100% функционала, результаты будут совершенно другими, и сомневаться уже будем по поводу других продуктов. Неужели это непонятно? Слон - это гладкий столб, или же это мягкий хобот, или это тонкий маленьких хвост? Да ни то, ни другое, ни третье, и одновременно всё сразу.

Смешно - три слепца выясняли, что такое слон..... Три слепых слона решили узнать, что такое человек. Первый потрогал ногой и сказал, что человек плоский, два других потрогали и согласились...

Не мало на самом деле...10% функционала, которые постоянно не берутся - есть повод для постоянного беспокойства. Ведь что-то не в порядке, согласитесь! Зачем продукт с темой беспокойства....И будет тогда человек плоским - если переходить на тему самоудовлетворенности продуктом вендором

[Valery Ledovskoy 1082]

Смешно - три слепца выясняли, что такое слон.....

Не мало на самом деле...10% функционала, которые постоянно не берутся - есть повод для постоянного беспокойства.

Ок, обратная ситуация. Щупаем 10% функционала, и эти 10% не вызывают беспокойства. Получаем красивые наградки несколько лет подряд, покупаем продукт. А потом выясняется, что он не видит 15% троянов и 80% руткитов (в активном виде, конечно).

[alexgr 556]

что-то или кто-то видит 100%? Кроме НОД32 конечно....

Щупаем 10%, 15% функционала - и получаем хороший результат.... Приятно, греет сердце... Не получаем результат - как то не греет, правда? теперь по сути - пользователь со Спайдером в трее 100% защищен? Прислать сэмплы, которые он не видит? или прислать сэмплы с фолсами? У меня есть немного и тех, и тех. Но есть один ответ - неверный детект по Trojan. Rox (обсуждалось уже, он не троян) и лечение удалением - это было круто. Эндюзер долго смотрел внимательно в глаза - было неприятно....

Потому про три слепых слона - супер продукт должен хоть чем - то подтвердить свою функциональность.... Говорить, что никто не умеет, не может оттестить СУПЕРПРОДУКТ - это хорошо. Но глупо - не поверят

А зачем тогда результаты тестов по моей методике?

[Valery Ledovskoy 1082]

что-то или кто-то видит 100%? Кроме НОД32 конечно....

А кто говорил про 100%? Все пропускают. Кто-то больше, кто-то меньше.

Но если мы по одной характеристике и методике всё время получаем 100%, а по остальным 20 тестированиям и методикам получаем 50-70%, то это ли повод успокаиваться? А пользователь успокаивается, потому что VB-авторитетный журнал... и далее по тексту. И напрасно.

Но есть один ответ - неверный детект по Trojan. Rox (обсуждалось уже, он не троян) и лечение удалением - это было круто.

У тех, кто получает значки, таких случаев не было?

Я думаю, на каждый продукт найдётся по крайней мере несколько таких историй. Не показатель ни разу. Увод разговора в сторону.

Никто не говорит, что тот продукт - суперпродукт, а этот - дерьмо.

Речь о том, что тесты могут дезинформировать пользователя. И делают это. Это факт, ибо я отвечаю на вопросы пользователей, индуцированные "тестовой" рекламой. Вопросы типа "Меня всё устраивает, разработчики молодцы, буду и дальше пользоваться вашим продуктом, но почему-то вот тестирования не получаются. Не подскажете ли, почему?" И очень сложно из "тестового" гипноза людей выводить. Но можно.

Потому про три слепых слона - супер продукт должен хоть чем - то подтвердить свою функциональность....

Я говорил про слона и трёх слепцов. Слон - это антивирусный продукт. Слепцы - это тестировщики, которые пытаются его протыкать иглоками. Одни достают чуть глубже, другие не могут даже верхний слой проткнуть (типа VB), но до сути работы антивируса в реальных условиях пока никто не добрался. Хотя, может быть, проткнуть и удастся, и до чего-то достать. А вот что это было?

[alexgr 556]

про слепцов - эт хорошо. Понравилось. Осталось найти суть. Не изложите?

А то тестим - тестим, оказывается - не нужно. суть где - то в другом месте зарыта.....