Возможности Sophos в борьбе с rootkits

[Сергей Ильин 1538]

Это было сделано исключительно для постановки всех решений в равные условия, иначе бы тест не имел смысла.

Именно так. Это показывает, что в вирлабах вендоров эти самплы были, они добавили детект, но не разобрали по-нормальному. В итоге пропуск нового, неизвестного образца зверей с такими же методами маскировки приведет к тому, что пользователь будет счастливо жить в неведении с инфекцией на компе

[Олег Рагозин 10]

а чего у др.веб ЛК или еще кого такого не может быть?

Может быть конечно, но в том конкретном случае, к нам обратились через месяц после безуспешной борьбы с вирусом. За тот месяц пострадавшая компания обратилась к целому ряду антивирусных производителей (точно не знаю каких, да и знал бы не сказал ) и никто не помог.

Олег, Вы говорите очевидные вещи, но как-то отходите от темы разговора

Хорошо, давайте по буквам

"заранее установленный антивирус Sophos определил все 15-ть примеров вредоносного кода, предотвратив заражение компьютера."

Это касается любого антивируса, который принимал участие в тестировании. Очевидно, так получается согласно методики - это не заслуга антивируса.

Если уж мы пошли по буквам письма, то давайте придерживаться этого правила. Конкретно там было написано:

Важно отметить, что согласно методологии теста, заранее установленный антивирус Sophos определил все 15-ть примеров вредоносного кода.

Зачем Вы вырезали слова "согласно методологии теста"? Sophos явно тут ничем не хвастается.

Что касается используемой версии 7.3 - именно ее предложили загрузить на офф. сайте Софос. Версию же 7.6 не так и просто там найти.

Просто на вермя проведения теста актуальной была версия 7.3, я сомневаюсь в том, что Sophos даст загружать две различных версии антивируса со своего сайта.

"Тест не может считаться объективным, так как выборка всего из 15-ти примеров вредоносного кода не является репрезентативной."

Тут вообще - без комментариев. Ответил выше SWW.

Если бы выборка была хотя бы по 150 вредоносам, и Sophos обезвредил только 20, вот тогда бы я расстроился.

"Тест не отвечает руководящим принципам организации Anti-malware Testing Standards Organisation (AMTSO)."

Ужос

Отлично, давайте заодно похороним CobiT, ITIL, стандарты ISO, еще закроем глаза на очевидное несовпадение результатов с VB, ICSA, WCL, не указ нам они.

А в нашем тесте видно, что Софос нифига не лечит wink.gif, а в половине случаев он вообще не видит заражения.

На данном конкретном наборе сэмплов Вам удалось получить такие результаты. На другом наборе, результаты будут другими. Но какая в сущности разница, нам же ничего не стоит вылить грязь на крупную антивирусную компанию с 20-летним стажем, при этом глазом не моргнуть, да еще и заставить их оправдываться.

Хы-хы. То, что по методике все семплы должны детектировать антивирусными продуктами вовсе не демонстрирует сколь-нибудь "крутости" антивируса Софос

Про ссылку на методологию теста я уже писал...

[Сергей Ильин 1538]

еще закроем глаза на очевидное несовпадение результатов с VB, ICSA, WCL, не указ нам они. smile.gif

Олег, при всем уважении, эта фраза была сказана опрометчиво. Тут все знают, что из себя представляют "тесты" указанных выше компаний. Про VB читаем здесь и особенно внимательно здесь. А ICSA и WCL ну это вообще не тесты никакие, а сертификаты соответствия, причем полностью платные. Я даже не знаю случаю, когда кто-то бы не получил ICSA и WCL переведя им денежку

Не стоит даже обсуждать это больше. Считаю совершенно логичным, что наши результаты с ними не совпадают.

[Илья Рабинович 521]

с 20-летним стажем

Именно в этом и зарыта проблема.

[Umnik 997]

Если бы выборка была хотя бы по 150 вредоносам, и Sophos обезвредил только 20, вот тогда бы я расстроился.

Обратитесь к вирлабу и наберите хоть 500 вредоносов, которые заражают ОС аналогично методам тех 15-ти и попробуйте пролечить зараженную систему. Вам же объяснили суть. 15 - это не количество вредоносов в данном случае, а количество методов заражения.

На данном конкретном наборе сэмплов

Методов заражения!

Но какая в сущности разница, нам же ничего не стоит вылить грязь на крупную антивирусную компанию с 20-летним стажем, при этом глазом не моргнуть, да еще и заставить их оправдываться.

Какая разница, реально ли компания защищает пользователя, или только разговоры красивые ведет? "Потомственный целитель в четвертом поколении".

[Сергей Ильин 1538]

Олег Рагозин, мне ради спортивного интереса уже хочется узнать, в чем же состоит несоответствие этого теста (а может быть и всех других) документу Фундаментальные принципы тестирования от AMTO?

[Олег Рагозин 10]

Именно в этом и зарыта проблема.

До меня не дошел смысл данного изречения. Может поясните?

Олег Рагозин, мне ради спортивного интереса уже хочется узнать, в чем же состоит несоответствие этого теста (а может быть и всех других) документу Фундаментальные принципы тестирования от AMTO?

Сергей, я думаю, что этот вопрос лучше задать непосредственно авторам письма, состоящим в данной организации.

[vaber 350]

Зачем Вы вырезали слова "согласно методологии теста"? Sophos явно тут ничем не хвастается. smile.gif

Так уж?

"Тест не отражает реальных возможностей антивирусных продуктов по уровню дезинфекции компьютеров. В частности как было упомянуто в методологии, все антивирусные продукты, включая Sophos, эффективно противодействовали всем 15-ти видам вредоносных кодов в случае попытки инфицирования компьютера с уже установленным антивирусом."

Как же это трактовать? Это предложение явно пользуется ссылкой на метолдику, что якобы если бы антивирус стоял сразу, то все бы вредоносные программы были бы обнаружены. Но ведь очевидно, что только потому, что тестеры прислали в вирлаб семплы. То есть я к тому, что у читателя складывается мнение, что на самом деле, вреальной ситуации, Софос якобы его защитил бы от этих зловредов, а так как тест проводился с установкой семпла и затем антивируса такой результат.

Просто на время проведения теста актуальной была версия 7.3, я сомневаюсь в том, что Sophos даст загружать две различных версии антивируса со своего сайта.

Согласен, возможно и так.

Если бы выборка была хотя бы по 150 вредоносам, и Sophos обезвредил только 20, вот тогда бы я расстроился.

Олег-Олег... Тогда уж нужно более предметно . Может Вы можете назвать ну хотя бы два десятка способов маскировки от антивируса и защиты от удаления, используемых в малварах и которых нету в той выборке, что была в тесте?

Я еще раз Вам объясняю - эта выборка не малвар, это выборка методик защиты, применяемых во вредоносах. Ощущаете разницу?

Пример: методов может быть 10 и миллион малвар, которые будут использовать некий набор этих методов из этого десятка. Очевидно, что достаточно выбрать малвары так, чтобы все 10 методов были ими использованы. Для этого не нужно брать весь миллион.

На данном конкретном наборе сэмплов Вам удалось получить такие результаты. На другом наборе, результаты будут другими. Но какая в сущности разница, нам же ничего не стоит вылить грязь на крупную антивирусную компанию с 20-летним стажем, при этом глазом не моргнуть, да еще и заставить их оправдываться.

Я никого не заставляю оправдываться.

Еще раз повторю - дайте мне хотя бы 3 семпла (даже не семпла - методик используемых ими озвучьте), которые бы подходили для теста по методики и которые бы успешно обнаруживались и лечились Софос. Тогда Ваши слова будут иметь некий вес, а так это "пук в воду".

[Илья Рабинович 521]

До меня не дошел смысл данного изречения. Может поясните?

Это же элементарно. Суть в том, что в старых компаниям у руля стоят люди, чьи взгляды на информационную безопасность устарели ещё лет десять назад. Более того, чем компания старше, тем более она бюрократизирована и неповоротлива. Так что "20 лет"-это, скорее, в минус компании, нежели в плюс. В очень большой минус.

[Олег Рагозин 10]

Я никого не заставляю оправдываться.

Вот именно, что заставляете, иначе это письмо от Sophos не появилось бы.

Мне кажется, что здесь мало понимают, как результаты подобных тестов выглядят со стороны, а я расскажу - "пукну в воду" еще раз.

В некой далекой и малоизвестной стране, собралась некоторая группа людей, указавшая на то, что по тем или иным причинам они не признают западные методики, результаты тестов, стандарты в этой области и т.п. Произвели свой собственный тест, по результатам которого конечно победили две антивирусные компании, которые также находятся в данной стране (вот совпадение то ).

Затем, результаты теста публикуются на англ. языке и начинают распространяться по Интернет, чтобы весь мир узнал о сих интересных результатах.

Теперь давайте наложим на это тот факт, что именно в данной стране находятся кибер-криминалы с весьма высоким знанием технологий, позволяющим им иметь крупные бот-сети в России, Европе и других частях света, и успешно распространять спам, периодически выходя по этому уровню на второе место в мире (по отчетам Sophos по крайней мере, http://www.sophos-club.ru/content/view/69/30/). Таким образом в мире просыпается интерес к тестам именно из данной страны, и результаты текущего теста вызывают эффект разорвавшейся бомбы.

Что мы имеем в итоге. Например относительно Sophos. Оказывается, что 100 миллионов клиентов старейшего производителя систем защиты, потомственного целителя в четвертом поколении, оказываются совершенно беззащитны перед опасными хакерами из этой далекой и малоизвестной страны. На этом фоне еще два более крупных вендора - McAfee и Trend Micro, также проваливают сей тест, и их клиенты также совершенно беззащитны. Symantec еле на троечку вытягивает, что в общем тоже не радует. О ужас.

Что дальше? Испуганный мир конечно обращает внимание на антивирусные продукты из этой самой страны, которые пиарятся таким интересным способом (точнее один из них пиарится, второму такой пиар не нужен), и которые конечно должны защитить бедных юзеров от напасти опаснейших хакеров из северной страны. Самое интересное кроется также в том факте, что компания, занявшая первое место, отказывается поддержать результаты данного теста, и вторая компания чудесным образом (а никто и не заметил) становится первой. Прогнозируемо? Конечно, на 100%. Теперь остается только подождать, пока испуганные юзеры побросают своих поставщиков антивирусной защиты и сами потянутся к чудесному эликсиру избавления от хакеров из северной страны.

Имеет ли смысл после этого обсуждать методики и другие вещи, способствовавшие получению таких интересных результатов?

Я не хочу никого обвинять, однако давайте попробуем найти брешь не в методиках, а в лично моей (мнение моей компании может расходиться с моим личным мнением) интерпретации результатов теста.

Ребята, может быть Вы все делали от чистого сердца, и все мои домыслы не имеют никакой почвы под ногами, но выглядит то все это именно так.

[vaber 350]

Ага, так и есть в некоторой степени.

Как говорится правда очи колет . Просто все привыкли к тому, что вендоры пудрят мозги простым пользователям. дескать ставьте наш антивирус и вы защищены по самое не хочу. Частично, этот тест и показывает, что есть что. Но не стоит забывать, что тестировалась только один параметр - лечение заражения. Уж состоявшегося. Как Вы говорили ранее, защита - это не только лечения. поэтому не стоит интерпретировать результат теста как антивирус А во всем лучше антивируса Б.

Более того, авторитет вендора, его заработок, возраст не имеют прямой связи с качеством защиты их продуктом. Тест показал реальное качество лечения, сколько бы рабочих станций или домашних ПК не были защищены этими продуктами.

Что касается непризнания тест победителем - лично мне по барабану, хоть все вместе не признают? Чего Вы хотели-то? Что те, кто не умет лечить дружно скажут =- тест хороший, да мы нифига не умеем лечить? Конечно они не согласятся с результатами.

Касаемо доктор веба - Вам выше ответил его работник и, более того, непосредственно разработчик всего того, благодаря чему доктор стал победителем. Несогласия начальства - это их дела и никак не связано с качеством теста.

[dot_sent 140]

Вот именно, что заставляете, иначе это письмо от Sophos не появилось бы.

Мне кажется, что здесь мало понимают, как результаты подобных тестов выглядят со стороны, а я расскажу - "пукну в воду" еще раз.

В некой далекой и малоизвестной стране, собралась некоторая группа людей, указавшая на то, что по тем или иным причинам они не признают западные методики, результаты тестов, стандарты в этой области и т.п. Произвели свой собственный тест, по результатам которого конечно победили две антивирусные компании, которые также находятся в данной стране (вот совпадение то ).

Затем, результаты теста публикуются на англ. языке и начинают распространяться по Интернет, чтобы весь мир узнал о сих интересных результатах.

Теперь давайте наложим на это тот факт, что именно в данной стране находятся кибер-криминалы с весьма высоким знанием технологий, позволяющим им иметь крупные бот-сети в России, Европе и других частях света, и успешно распространять спам, периодически выходя по этому уровню на второе место в мире (по отчетам Sophos по крайней мере, http://www.sophos-club.ru/content/view/69/30/). Таким образом в мире просыпается интерес к тестам именно из данной страны, и результаты текущего теста вызывают эффект разорвавшейся бомбы.

Наличие такой информации говорит о наличии в стране специалистов в области ИБ - как black, так и white-hat.

Что мы имеем в итоге. Например относительно Sophos. Оказывается, что 100 миллионов клиентов старейшего производителя систем защиты, потомственного целителя в четвертом поколении, оказываются совершенно беззащитны перед опасными хакерами из этой далекой и малоизвестной страны. На этом фоне еще два более крупных вендора - McAfee и Trend Micro, также проваливают сей тест, и их клиенты также совершенно беззащитны. Symantec еле на троечку вытягивает, что в общем тоже не радует. О ужас.

В результатах теста отдельно подчеркнуто, что в его рамках проверяется только лечение и судить о качестве продукта в целом следует только объединив результаты этого теста с другими. На эвристик, на сигнатурный поиск и т.д.

Что дальше? Испуганный мир конечно обращает внимание на антивирусные продукты из этой самой страны, которые пиарятся таким интересным способом (точнее один из них пиарится, второму такой пиар не нужен), и которые конечно должны защитить бедных юзеров от напасти опаснейших хакеров из северной страны. Самое интересное кроется также в том факте, что компания, занявшая первое место, отказывается поддержать результаты данного теста, и вторая компания чудесным образом (а никто и не заметил) становится первой. Прогнозируемо? Конечно, на 100%. Теперь остается только подождать, пока испуганные юзеры побросают своих поставщиков антивирусной защиты и сами потянутся к чудесному эликсиру избавления от хакеров из северной страны.

Во-первых, личное отношение сотрудников компании, которая не пиарится на этом тесте, к данному порталу не есть повод для обсуждения. Во-вторых, насколько я знаю, никто вообще особо на результатах теста не пиарился. Новость на сайте второй компании выдержана в достаточно спокойном тоне. Не без "неточностей", конечно, но куда же без них?

Имеет ли смысл после этого обсуждать методики и другие вещи, способствовавшие получению таких интересных результатов?

Я не хочу никого обвинять, однако давайте попробуем найти брешь не в методиках, а в лично моей (мнение моей компании может расходиться с моим личным мнением) интерпретации результатов теста.

Ребята, может быть Вы все делали от чистого сердца, и все мои домыслы не имеют никакой почвы под ногами, но выглядит то все это именно так.

[Илья Рабинович 521]

Что мы имеем в итоге. Например относительно Sophos. Оказывается, что 100 миллионов клиентов старейшего производителя систем защиты, потомственного целителя в четвертом поколении, оказываются совершенно беззащитны перед опасными хакерами из этой далекой и малоизвестной страны. На этом фоне еще два более крупных вендора - McAfee и Trend Micro, также проваливают сей тест, и их клиенты также совершенно беззащитны. Symantec еле на троечку вытягивает, что в общем тоже не радует. О ужас.

И что самое интересное в данном опусе- конкретно эта часть абсолютно справедлива!

[sww 486]

И что самое интересное в данном опусе- конкретно эта часть абсолютно справедлива!

Контрольный в голову!

P.S. Очень непонятно, как такое может быть, а отмазываться как-то нужно. Тут все это понимают.

[dr_dizel 385]

в данной стране находятся кибер-криминалы с весьма высоким знанием технологий, позволяющим им иметь крупные бот-сети в России!!!, Европе!!! и других частях света, и успешно распространять спам, периодически выходя по этому уровню на второе!!! место в мире (по отчетам Sophos!!! по крайней мере, http://www.sophos-club.ru/content/view/69/30/).

Оказывается, что 100 миллионов клиентов старейшего производителя систем защиты, потомственного целителя в четвертом поколении, оказываются совершенно беззащитны перед опасными хакерами из этой далекой и малоизвестной страны.

Получается, что по отчётам Sophos эта далекая и малоизвестная страна с бот-сетями в России, Европе всех подмяла.

Она очень скоро будет тут... Скажите: как её зовут? БУ-РА-ТИН-ЛЯН-ДИ-Я!

[Олег Рагозин 10]

В результатах теста отдельно подчеркнуто, что в его рамках проверяется только лечение и судить о качестве продукта в целом следует только объединив результаты этого теста с другими. На эвристик, на сигнатурный поиск и т.д.

Просто этот тест самый свежий из опубликованных в английской части сайта, и находится на самом видном месте, потому и стал обсуждаться. Кроме этого все видели мое первичное восприятие, я ошибочно посчитал что было 15 сэмплов, которыми были заражены компьютеры, и часть из них была взята, а часть нет. Также будут и другие этот тест воспринимать, не влезая в методику, и здесь результаты 2-4 против 15 смотрятся ужасно.

Получается, что по отчётам Sophos эта далекая и малоизвестная страна с бот-сетями в России, Европе всех подмяла.

Кстати это совсем не смешно, это нет тот случай, когда надо за родину гордиться. 2-е место означает что в России огромное число зараженных компьютеров, больше даже чем в Китае. И это то в стране, в которой судя по последним отчетам самые крутые антивирусы.

[Сергей Ильин 1538]

Олег, точка зрения Софоса показывает лишь одно - бояться они России и российских вендоров тоже бояться. Я бы даже сказал, что это такой английский комплекс, так всегда было.

Sophos, увы не может влиять как-то на тесты, как и никакой другой вендор не может. Это же не подконтрольный VB и не коммерческие ICSA и WCL, и даже не немецкие тестеры, которых можно дружно загнать в AMTSO и заставить играть по удобным правилам. Тут такое не прокатит - "тут совсем другие ребята"

Я лично готов продолжать делать такие тесты в принципе бесплатно, я не собираюсь их кому-то продавать. Этот факт находится абсолютно за гранью понимания англосаксонского разума, где все заточено только на деньги. Как ни крути, все равно целью у них будут деньги.

[Илья Рабинович 521]

И это то в стране, в которой судя по последним отчетам самые крутые антивирусы.

И где 90% юзеров используют их нахаляву.

Олег, точка зрения Софоса показывает лишь одно - бояться они России и российских вендоров тоже бояться.

И это, в общем, неплохо- а то приедут к тебе на танках и будут учить уважать стандарты тестирования AMTSO и ICSA.

[Олег Рагозин 10]

Олег, точка зрения Софоса показывает лишь одно - бояться они России и российских вендоров тоже бояться. Я бы даже сказал, что это такой английский комплекс, так всегда было.

Сергей, я бы не был настолько резок в отношении Sophos. Ведь это единственная из крупных и "опущенных" в тесте компаний, которая наиболее вежливой форме постаралась отреагировать как-то на этот тест. Выразила свое мнение.

Другие вообще повели себя так, как будто этого теста и портала нет.

[vaber 350]

Ведь это единственная из крупных и "опущенных" в тесте компаний, которая наиболее вежливой форме постаралась отреагировать как-то на этот тест. Выразила свое мнение.

Другие вообще повели себя так, как будто этого теста и портала нет. smile.gif

Повторюсь -никто вас не опускал. И других тоже. Вы сами себя опустили

А что другие? У них было 2 варианта - промолчать или "опустить=оправдаться" .

Боле того, перед публикацией "оправдания" на своем сайте, стоило бы по-общаться с разработчиками антивруса и поинтересоваться у них - на сколько серьезен продукт в лечении таких малвар, на сколько могут быть реальны такие результаты, а уж потом решать - оправдываться или лучше промолчать

[Сергей Ильин 1538]

Ведь это единственная из крупных и "опущенных" в тесте компаний, которая наиболее вежливой форме постаралась отреагировать как-то на этот тест. Выразила свое мнение.

Я как раз не против факта самого комментария Sophos о результатах теста, всегда полезно услышать комментарии. Вот только выводы которые из этого комментария делаются неверны. Люди выше об этом написали, нет смысла повторяться.

[Deja_Vu 366]

Кстати.... я никакого опускания не вижу -))

И даже не вижу, что кто-то опускался куда то.

Было высказано со стороны вендора, что результат был-бы лучшим, если бы использовалась иная версия.

Ну и как обычно для пресс релизов.. немножко сказочной пыли в виде, выборки и AMTSO.

А что тут было, не более чем разбор полетов.

это имхо

[Сергей Ильин 1538]

Было высказано со стороны вендора, что результат был-бы лучшим, если бы использовалась иная версия.

Ну и как обычно для пресс релизов.. немножко сказочной пыли в виде, выборки и AMTSO.

Ага, а в этой теме развили все до масштабов разоблачения всемирного заговора русских вендоров