Dokáže antivírusový program zvládnuť útok na malware s nulovým počtom dní?

Testovanie antivírusovej ochrany založenej na podpisoch je hračkou. Zhromažďujete stovky alebo tisíce známych vzoriek škodlivého softvéru, spustíte kontrolu a zistíte, koľko vášho antivírusového produktu detegoval. V prípade úplne nového vírusu s nulovým dňom (alebo iného typu škodlivého softvéru) však nie je nevyhnutne k dispozícii žiadny podpis. Testovanie ochrany pred hrozbami v nultý deň je náročné, ale vedci z AV-Comparatives vypracovali techniku, ktorá ich uspokojí. Uvedomte si však, že nie všetci dodávatelia antivírusových programov schvaľujú tento konkrétny test; niekoľko z nich sa rozhodlo pre vydanie posledného vydania, ktorého výsledky sa práve zverejnili.

Podľa definície nie je možné vykonať test s použitím skutočných vzoriek za deň. V čase, keď by vedci mohli zachytiť a overiť vzorku, predajcovia antivírusových programov by už boli na ceste k príprave podpisu. AV-Comparatives simuluje detekciu v nultý deň zmrazením databázy podpisov produktu a následným použitím iba vzoriek, ktoré sa prvýkrát objavili po veľkom zmrazení.

Niektoré produkty detekujú nový malware pomocou heuristických techník a identifikujú ich podobnosťou so známym škodlivým softvérom alebo inými vlastnosťami. Vedci spustili každú vzorku nezachytenú heuristikou, pričom zaznamenali, či detekcia založená na správaní produktu alebo iná ochrana v reálnom čase zabránili zamoreniu. Produkty získali plný kredit za zablokovanie škodlivého softvéru samy osebe a za polovičný kredit v situáciách, keď si blokovanie vyžadovalo správne rozhodnutie používateľa.

Veľmi dobrá detekcia

11 zo 16 testovaných výrobkov by získalo iba hodnotenie od ADVANCED +, najvyššie hodnotenie, iba na základe miery ich detekcie. Bitdefender bol na vrchole tejto skupiny s 97 percentnou detekciou; Spoločnosti Kaspersky a Emsisoft spravovali 94 percent. Panda a Avast by si zarobili ADVANCED. Microsoft by tiež získal hodnotenie ADVANCED, ale AV-Comparatives ho používa iba ako základ. Na spodku by AnhLab a Vipre prešli známkou STANDARD.

Pešivé falošné poplachy

Heuristické a behaviorálne detekčné systémy musia byť veľmi starostlivo vyladené, aby sa predišlo označeniu platných programov za nebezpečné - to nazývame falošne pozitívne. Niekoľko testovaných výrobkov stratilo body za príliš veľa falošných pozitív. Keďže detekčný test sa uskutočnil pomocou zmrazených podpisov vlani vo februári, vedci dokázali opätovne použiť falošne pozitívne výsledky z testu vykonaného v marci.

Šesť testovaných výrobkov stratilo jednu ratingovú úroveň kvôli príliš veľkému počtu falošných pozitív. Pre Emsisoft, eScan a G Data to znamenalo pokles z ADVANCED + na ADVANCED, zatiaľ čo Panda klesol z ADVANCED na STANDARD. Pokiaľ ide o AhnLab a Vipre, obidve už boli na najnižšej priechodnej úrovni, takže ich konečné hodnotenie bolo iba TESTOVANÉ; neprešli.

Cloudová kontroverzia

Predajcovia, ktorí svoje produkty predkladajú na testovanie spoločnosťou AV-Comparatives, musia súhlasiť s účasťou na všetkých požadovaných testoch. Test detekcie súborov založených na podpise je jedným z požadovaných súborov; Spoločnosť Symantec tento test neschvaľuje, preto nenájdete výsledky pre Norton v prehľadoch AV-Comparatives.

Na druhej strane je proaktívny test voliteľný. Podľa správy sa „AVG, McAfee, Qihoo, Sophos a Trend Micro rozhodli nezúčastniť, pretože ich produkty sa silne spoliehajú na cloud“. Test v nulový deň nevyhnutne vylučuje detekciu založenú na cloudu, pretože neexistuje spôsob, ako „zamrznúť“ cloud. Títo predajcovia sa domnievali, že ich produkty by dosiahli zlé skóre bez prístupu k cloudovému pripojeniu.

Zatiaľ čo spoločnosť AV-Comparatives umožnila týmto predajcom vyklenúť sa, správa ich nadáva len trochu. „Dokonca aj o niekoľko týždňov neskôr sa niektoré vzorky škodlivého softvéru stále nedetegovali niektorými produktmi závislými na cloude, aj keď boli k dispozícii ich funkcie založené na cloude, “ uvádza sa v správe. „Považujeme to za marketingovú výhovorku, ak sú retrospektívne testy… kritizované za to, že nemajú povolené využívať cloudové zdroje.“ Správa dospela k záveru: „Ak je súbor úplne nový / neznámy, cloud zvyčajne nedokáže zistiť, či je dobrý alebo škodlivý.“

Ak váš antivírus získal v tomto teste najvyššie hodnotenie, je to dobré znamenie, že sa bude brániť proti úplne novým hrozbám v nultý deň. Ale pretože test doslova nepoužíva nikdy predtým nevídané vzorky v reálnom svete, zlé skóre (alebo žiadna účasť) nemusí nevyhnutne dokázať, že to neurobí. Pre úplné pochopenie sa budete chcieť pozrieť na širokú škálu testov a na hĺbkové praktické antivírusové kontroly spoločnosti PCMag.