Сравнение эффективности проактивной антивирусной защиты

[Сергей Ильин 1538]

Прошу всех желающих высказать в этой ветке свое мнение по опубликованному у нас Сравнению эффективности проактивной антивирусной защиты (тест I).

[Кирилл Керценбаум 671]

Сергей Ильин

А где Trend Micro Pc-Cillin 2006, там тоже есть проактивная защита, маленькая но есть

[Сергей Ильин 1538]

А где Trend Micro Pc-Cillin 2006, там тоже есть проактивная защита, маленькая но есть

Продукты Trend Micro не участвуют в тестах Клименти, да и в других они тоже почти не участвуют

[Илья Рабинович 521]

Снова кто-то начал путать эвристический анализ (его эффективность действительно невысока и составляет примерно 50% плюс-минус совсем немного) и проактивную защиту (анализ и блокирование зловредов на основе поведения). Если уж сравнивать проактивку, то нужно делать тест для KAV6 (с выключенным сигнатурным анализом), S'n'S,ProcessGuard, DefenseWall.

[Сергей Ильин 1538]

Снова кто-то начал путать эвристический анализ (его эффективность действительно невысока и составляет примерно 50% плюс-минус совсем немного) и проактивную защиту (анализ и блокирование зловредов на основе поведения).

Ничего я не путал, в тексте статьи ясно написано, что сравнение затрагивает одну из составляющих проактивной защиты - эвристические анализаторы.

Поведенческие блокириторы вообще сложно протестировать и тем более сравнить. Илья, может быть у тебя есть идеи, как это можно было сделать? Скажем сравнить эффективность поведенческих анализаторов в тех трех продуктах, которые ты привел.

[Илья Рабинович 521]

Ну да, но в теме написано "Тест проактивной защиты"! Так и надо былдо писать в теме- "Тест уровня эвристического детектирования вирусов антивирусами". Это было бы точно!

Вообще-то я привел четыре продукта, а не три. Реально там ещё есть ProcessGuard, Online Armour и куча других помельче. Насчёт тестов этих анализаторов- идеи есть. Правда, тут есть некоторые тонкости. Не всё так просто и доступно как в тестах антивирусов.

[grnic 0]

Ничего я не путал, в тексте статьи ясно написано, что сравнение затрагивает одну из составляющих проактивной защиты - эвристические анализаторы.

Напутано чуть позже - что написано сразу за этим? "Давайте попробуем ответить на вопросы: "Насколько эффективны проактивные технологии сейчас? Какой антивирус лучше защищает от новых, еще неизвестных видов угроз?".

Так вот, ответ даётся на другой вопрос "какой антивирус лучше защищает от новых угроз, рассматривая только эвристические анализаторы в них (но не поведенческие)".

А так статья получилась довольно однобокой, заголовок также слишком общий, суть статьи отражает не полностью - "Сравнение эффективности проактивной антивирусной защиты".

[Сергей Ильин 1538]

А так статья получилась довольно однобокой, заголовок также слишком общий, суть статьи отражает не полностью - "Сравнение эффективности проактивной антивирусной защиты".

Полностью согласен, но это только первый тест, а под этим названием планируется их серия. Забегая вперед, могу сказать, что во втором тесте, например, будет сравнение эвристик по уровню ложных срабатываний.

Очень было бы интересно провести сравнение поведенческих блокираторов, это методология проведения такого теста не ясна. :roll: Если есть предложения как это можно сделать, расскажите плиз.

Добавлено спустя 2 минуты 54 секунды:

Вообще-то я привел четыре продукта, а не три. Реально там ещё есть ProcessGuard, Online Armour и куча других помельче. Насчёт тестов этих анализаторов- идеи есть. Правда, тут есть некоторые тонкости. Не всё так просто и доступно как в тестах антивирусов.

Выше я уже написал, планируется серия тестов с этим названием, поэтому оно и выбрано таким общим.

Хорошо, 4 продукта или больше, не суть. Тот же вопрос, как тест то провести лучше?

[Илья Рабинович 521]

Выше я уже написал, планируется серия тестов с этим названием, поэтому оно и выбрано таким общим.

Хорошо, 4 продукта или больше, не суть. Тот же вопрос, как тест то провести лучше?

Я полагаю, что тесты на реальных массовых наборах зловредов могут быть не очень эффективны по двум причинам:

1. Они не учитывают уязвимости, присущие каждому продукту (например, S'n'S и TruPrevent используют ring3- перехваты, что превращает их из защитных продуктов в маркетоидные поделки. Я думаю, что из тестов вообще лучше исключить продукты, использующие ring3-перехваты как неэффективные).

2. Многие из них используют очень ограниченный набор возможностей для автозагрузки. Есть отдельные нестандартные экземпляры, но их нужно выискивать.

Поэтому надо найти или написать самим некоторый набор тестов, каждый из которых реализует некий потенциально опасный функционал/эмулирует зловредную активность. С интересными сэмплами может помочь Олег Зайцев- их у него пруд пруди почти на все случаи жизни. Оттуда можно и надыбать.

[Lex 25]

Почитал тут источник... Так вот там более объективно заявлено, в отношении того же VBA, что продукт с таким (!) количеством ложных срабатываний не может входить в число лидеров. VBA на втором месте по количеству обнаружений, и при этом на 1 месте по количеству ложных срабатываний... Ну и нафига такое детектирование?

[Илья Рабинович 521]

Думается мне, что должно быть что-то типа такого тестирования, только более продвинутого по части анализа на проникновение: http://security.over-blog.com/article-3030160.html

[Valdis 0]

Очень было бы интересно провести сравнение поведенческих блокираторов, это методология проведения такого теста не ясна. :roll: Если есть предложения как это можно сделать, расскажите плиз.

Сравнительных тестов пока к сожалению не видно, но методология тестирования поведенческих блокираторов у того же Андреаса Клементи уже разработана. Он даже признался в ответе на мой вопрос, что протестировал некоторые продукты. Самым интесивным тестам подвергся KAV 6.0 и показал отличный результат:

http://www.av-comparatives.org/seiten/erge...V6_PDM_test.PDF

Есть публично доступная информация и о тесте SnS:

http://www.av-comparatives.org/seiten/ergebnisse/SnS.PDF ,

но другие результаты Клементи не опубликовал. Он также сказал, что может быть проведет тест нескольких поведенческих блокираторов в конце года.

[Илья Рабинович 521]

А мне он написал, что проведёт их осенью/зимой. Просил напомнить в конце июля- я напомнил, правда, пока не получил подтверждения.