新しいC'T誌の15のウイルス対策プログラムの比較テスト

多くの情報セキュリティの専門家に完全に無視されたイベントであるSecurity @ Interopで、 C'T-Russiaマガジンのパイロット（4月）版を入手することができました。 今、彼は会社全体の手を歩いています。



C'Tは、15のウイルス対策プログラムの非常に興味深い思慮深い比較テストを見つけました。 手は最終的に、この非常に「おいしい」コンテンツの「処理」に到達しました。 ここでは、方法論と結論に関する導入部分のみを紹介します。 これは非常に包括的な分析となるものであり、それに基づいて、さまざまなベンダーの製品をscったり賞賛したりすることが最近流行している（そして今では可能になっている）。



新しいコンピューターテクノロジーマガジンのチームにとって、このような包括的なテストを実施することは、リーダーシップにとって大きなアプリケーションであると信じています。 今、ロシアにも読むべきものがあります-日曜大工テスト、人間の言語で記述され、公平に提出された、それは一緒にC'Tチップです。 Sergey IlyinをAnti-Malware.ruから採用することを強くお勧めします。



私はまた、聴衆と雑誌の使命についての編集長の言葉が好きでした（引用）：

私たちはナンセンスをしていません。 ロシアで最もプロフェッショナルなコンピューターマガジンを作成しています...



レビューの著者であるPavel Shoshinと、CHIPから移動した編集長のAndrei Kokourovに敬意を表します。 私は彼らのプロフェッショナリズムにこれほど自信を持っていませんでしたが、結局のところ、CHIP形式ではすべてが「読みやすい」形式によって決定されました。



一般的に、私は雑誌の賞賛を書いた、あなたは読書に進むことができます。 :)

ビッグハント



トロイの木馬、スパイウェア、ボット-ここではすべて同じように見えますが、それでも違いはあります。1時間ごとに、1000人以上の新人がアンチウイルス研究所のウイルス「動物園」を埋め尽くしています。 また、15個のウイルス対策プログラムのテスト結果から判断すると、それらの大半はウイルス対策保護をすり抜けています。



アンチウイルス業界の著名人とともに、Avast Antivirus Pro、AVG Anti-Malware、Avira AntiVir Personal Edition Premium、BitDefender、CA Antivirus Plus、ClamWin、Dr.Web、F-Secure Antivirus、McAfee VirusScan、Microsoft OneCareなどのエキゾチックなプログラムがテストに合格しました、およびTrend Micro Antivirus + Antispyware。



マルウェアを検出する主なメカニズムは、既知の文字列でファイルを検索することです。 このような署名認識の品質は、ITWウイルスのセット（英語のIn Wildから-テスト時にユーザーに本当の危険をもたらすウイルス）をチェックすることによって決定されます。 ただし、現時点で最もアクティブなマルウェアのクラスであるトロイの木馬を表していないという理由だけで、このアプローチが支配的になることはありませんでした。 さらに、このウイルスのリストは頻繁に補充されず、絶えず陳腐化しており、約1,400のコピーで構成されるリスト自体は小さすぎます。 したがって、この場合のITWテストは、実験の完全性のためにのみ実行され、結果を合計するときにその結果は考慮されませんでした。



アバスト！ また、Kaspersky Anti-Virusは非常によく機能しませんでしたが、オンデマンドでスキャンすると、ITWセットからすべてのウイルスが検出され、その場で両方のパッケージが1つのファイルを失い、スキャンの品質に関連する問題を示しました。 しかし、ClamWinとDr.Webはより重大なミスを犯し、それぞれ25ウイルスと7ウイルスをスキップしました。



独自のテストの場合、ウイルス対策プログラムは、100万を超えるワーム、バックドア、ボット、およびトロイの木馬を含むウイルスデータベースをスキャンする必要がありました。 この場合、過去6か月間に実際にアクティブであった悪意のあるコードのみが使用されました。 DOSとWindows 95の時代から絶滅した恐竜は考慮されませんでした。



テスト時には、最高の認識率を得ることが望ましいのですが、どのスキャン方法でも絶対にすべてのウイルスを検出できるものではないことがわかりました。 特に、Avira製品は理想に近づき、印象的な結果をもたらしました-99％を超える認識。 肯定的な評価に必要な95％の結果は、Avast！、AVG、BitDefenderの3つの製品でさらに受け取られました。 既に述べたように、このテストではあまりよく見えなかったClamWinとDr.Webに加えて、CA Antivirusは55％の結果で弱く見えました-信頼できる保護には明らかに不十分です。



アドウェアとスパイウェアを特定すると、良好な結果が得られました。テストベースの合計は25,000プログラムです。 以前に、それと戦うために特別なスパイウェア対策ユーティリティが必要だった場合、開発者はマルウェアのこのシグネチャカテゴリにデータを含めます。 誤解はありませんでした。ここでは「悪意のある」という用語が非常に適切です。秘密情報を抽出したり、ユーザーの関心のリストを作成してネットワーク経由で送信できるユーティリティはこのタイトルに値します ところで、ウイルス「動物園」にうまく対処したプログラムは、スパイウェアの検出を伴うテストで優れていることが判明しました。 このテストでは、CA AntivirusおよびNorton Antivirusは失敗しました。



全体像の良い点は、開発者がソフトウェアの更新頻度を増やし、新しいウイルスの脅威への対応速度を高めたことです。 この点では、SoftwinとKaspersky Anti-Virusがリードしています。 CA Antivirus、McAfee、およびMicrosoftのユーザーのみが、最速の競合他社と比較して平均で12時間以上、更新された署名を待つことを余儀なくされています。 しかし、Microsoft One Careからの更新は1日以上も遅れました。



見えないものが見える

署名認識の良い結果と更新間の短い間隔がコンピュータを確実に保護するには不十分である理由は、簡単な計算で示すことができます。 開発者が必要な署名を作成し、チェックして、新しいトロイの木馬プログラムが出現してから1時間以内にクライアントに送信する時間があるとします。 ただし、現時点では、マルウェアは約10,000台のアクティブなゾンビコンピューターを使用してボットネットワークを介して拡散しています。 それぞれが3秒以内（つまり、1時間に1,000通以上）に電子メールを送信できます。 その結果、ボットネットワークの所有者は、最初の署名が表示されるまでに約1,000万人の犠牲者に到達する時間を確保できます。 もちろん、いくつかの数字については議論の余地がありますが、一般的な原則は明確です。流行が発生した場合、署名は常に遅れます。



以前は未知の害虫を検出できるプログラムを作成するために、開発者はヒューリスティック手法を使用し始めました。 特に、テスト対象のプログラムが常駐モジュールをメモリにロードしようとした場合に、典型的なコードシーケンスを識別したり、警告を発行したりできます。



私たちがチェックしているウイルス対策ソフトウェアは、古い署名の助けを借りて新しいウイルスを検出したはずです。



ビヘイビアーアナライザーテスト



行動分析（予防的防御）は、悪意のあるファイル自体を認識するためだけに機能する署名およびヒューリスティック手法とは異なります。 テストの違いは、テストされたパッケージのいずれも署名を使用して識別できないウイルスの選択から始まります。 起動時に、ウイルスは毎回同じ環境に落ち、たとえば、テスト時に対応するサーバーが存在しなくなった可能性があるにもかかわらず、ネットワークからコンポーネントをダウンロードできる必要があります。



テストの過程で、ウイルスには、その動作、およびウイルス対策プログラムの動作を監視および監視する機会が与えられます。 保護が作業の中断を提案する場合、テストは停止します。 その後、ウイルスが侵入して損傷を引き起こしたかどうか、または攻撃が正常に撃退され、開いているファイルと登録キーが削除されたかどうかを確認します。



合計で、Windowsにとって危険な12のウイルスがテストされました（Spy.VB.QJ、Packer、DNS-Changer.OL、Rbot.BMR、Hmir.DK、Delf.FYR、IRCBot.CHR、Agent.CDM、RBot.XKW 、PcClient.BAL、Pakes.AKT、Zlob.KF）。 プログラムを評価する際、結果としてコンピューターが感染していなかった場合、つまり、ウイルスが実行するコンポーネントをインストールできなかった場合、1ポイントを受け取りました。 ウイルス対策ソフトウェアが次の起動時にシステムが感染しなかったことが成功した場合、ウイルス対策は半分のポイントを受け取りました。



特に通常の操作中に発生する特定のアクションに関するメッセージを提供するためにのみ使用される場合、行動認識方法は失敗する傾向があります。 したがって、ICQ、Winamp、Microsoft Officeなどの10の標準プログラムのインストールと更新に基づいて、誤検知の割合も確認しました。



ライフアンカー

署名認識方法は信頼できる保護を提供せず、ヒューリスティック分析には高い信頼性がないという事実は、数年前から知られています。 この問題の解決策も知られています。システムを監視するとき、アンチウイルスはその動作によって以前に未知のマルウェアも認識する必要があります。 不審なアクティビティが増えると、彼はユーザーに警告し、コンピューターに害を及ぼす可能性のあるタスクを停止するか、以前に実行した操作をキャンセルすることを提案します。 Proactive Guardと呼ばれるこの機能は、ビヘイビアアナライザであり、Behavioral Blockerと呼ばれることもあり、多くのソフトウェア製品にも見られます。



私たちのテストでは、かなり残念な結果が示されました。 F-SecureのF-Secure Deepguardだけが、12個の「ペスト」すべてを認識し、ほとんどの場合、コンピューターの感染を防ぐことに成功しました。 それに加えて、Kaspersky Anti-VirusおよびBitDefenderは、動作によってマルウェアを検出することもできました。 ただし、システムの感染を完全に防ぐことはできませんでした。



開発会社のMcAfee、Norton、Microsoft、およびTrend Microは、最も抵抗が少なく、疑わしいプログラムの動作をユーザー自身に評価することを提案しています。 これらのメーカーのウイルス対策プログラムを使用すると、ソフトウェアファイアウォールの夜明けによく見られるメッセージに出くわすことがあります。「XYZプログラムは何らかのアクションを実行したい-許可しますか？」 キャッチはこれです。このようなメッセージは、ほとんどの場合、レジストリに自動起動アイテムを追加するなど、個々のアクションを参照します。 ユーザーがこのアクションを禁止していても、ウイルスはまだ中和されません。 一部のコンポーネントはまだアクティブのままです。 さらに、無害なプログラムをインストールすると、このような警告が頻繁に表示されます。 ユーザー自身がこのプログラムを自分のコンピューターにインストールしたいので、この方法でのトロイの木馬はビデオコーデックによく似せて検出されることはほとんどありません。



これらの結果は、キーボードから入力されたデータをユーザーにサイレントに保存する既存のコードフラグメントから作成された単純なキーロガーを使用した実験でも確認されています。 キーロガーの1つは自動ロードアイテムとしてレジストリに追加され、もう1つはカーネルドライバーとしてインストールされ、3つ目はサービスとして追加され、後者はさらにIRCサーバーとの接続を確立しました。 この場合、F-Secure、BitDefender、Kaspersky Labのプログラムのみが許容可能な結果を​​示しました。 F-Secureは、すべてのキーロガーを危険度の高いアプリケーションとして認識し、これが評価に反映されました。 Kaspersky Anti-Virusは、疑わしいドライバーのインストールを報告し、新しいファイルの作成とそれらのスタートアップポイントおよびサービスとしての登録に気付きました。 BitDefenderのB-Haveプログラムは、偽のカーネルドライバーを除くすべてのキーロガーを認識しました。



McAfeeおよびTrend Microプログラムは、最初のキーロガーによって行われたレジストリの変更のみを記録しました。 NOD32とOneCareを使用すると、ヒューリスティック分析により、自動ロードを行うレジストリブランチにデータを入力した最初のキーロガーのみが明らかになりました。 他のアンチウイルスは何も検出できませんでした。



ゲームをかくれんぼ

ますます多くのウイルスがシステム内での存在を隠すためにルートキット方式を使用していますが、このために十分に準備されているウイルス対策プログラムはわずかです。 F-Secure、Norton、およびPandaのプログラムのみがテスト中に、すべてのアクティブなルートキットを検出および削除できましたが、広く知られたアクセス可能なサンプルのみを使用しました。 AVGが非アクティブなルートキットのみを認識するという事実は、プログラムがルートキットを検索するための別個のモジュールを持っているという事実を考慮しても、何らかの方法で起因することはできません。 MicrosoftのClamWin、Dr.Web、McAfee、およびOneCareプログラムにも、このタイプの脅威に対抗する手段はほとんどありません。



ルートキット攻撃が疑われる場合、ブート緊急ディスクは特に重要です。これにより、システムをロードせずにスキャンできます。 ただし、多くのメーカーはそのようなドライブを節約しています。 そして、お金を節約しなければ、明らかに不正行為をします。シマンテックのディスクから、DOSには2002年の署名のウイルス対策スキャナーがロードされます。Pandaは、読み取りモードでのみNTFSディスクパーティションへのアクセスを提供するLinuxベースのブートディスクを提供します



ウイルス対策スキャナーをだますために使用されるもう1つの方法は、開くことができないアーカイブファイルを使用することです。 同時に、攻撃者は、ZIPアーカイブなどのコンテンツへのアクセス権を変更します。これにより、ウイルス対策スキャナーはそれを開けなくなり、コンピューターにインストールされているユーティリティの助けを借りて、これを行うことができます。 したがって、ウイルスはメールゲートウェイでチェックされると気付かれない場合があります。



.rar、.zip、および.cab形式の28個の特別に準備されたアーカイブファイルを使用して、テスト中に同様のマスキング方法に対する個々のウイルス対策の耐性をテストしました。 これらは、Windows ZIP、WinZIP、WinRar、または7zipに統合された標準のプログラムを使用して開くことができます。 ただし、変更されたすべてのアーカイブでF-Secureのみが隠れたウイルスを検出しました。



同様の方法で、ブラウザのセキュリティホールを使用する悪意のあるコードをウイルス対策ソフトから見えなくすることができます。 Internet ExplorerがHTMLページコードの一部の要素を完全に無視することは長い間知られています。 たとえば、攻撃者はエクスプロイトをゼロバイトで埋めることができるため、ウイルス対策データベースのサンプルとは異なります。 BitDefenderを除き、すべてのウイルス対策でゼロバイトの追加によるトリックが行われました。 他のプログラムは警告を出しましたが、エクスプロイトはそれらを混乱させることができました。



Vistaおよびアンチウイルス

すべてのテストは、Windows Vistaを実行しているコンピューターで実施されました。 ほとんどのメーカーはすでにプログラムを適合させているため、これは問題を引き起こしませんでした。



ウイルス対策スキャナーはユーザーアカウント制御（UAC）機能を使用してシステムのフルスキャンに必要な権限を取得する必要があるため、新しいモデルの権限のみがいくつかの問題を引き起こす可能性があります。 そのため、絶対にすべてのファイルをスキャンできるようにするには、AVGおよびCA Anti-Virusプログラムを管理者として手動で実行する必要があります。 それ以外の場合、ウイルス対策スキャナーは他のユーザーのフォルダーをスキップします。 F-Secureアンチウイルスではさらに困難です。プログラムは、必要な権限があっても他の人のフォルダを無視します。 このようなフォルダは、そこに移動して、表示された[ユーザーアカウント制御]ウィンドウでアクションを有効にした場合にのみスキャンできます。 AvastおよびDr.Webを使用して特別な操作を実行する場合、ユーザーは制限付きアカウントを使用するときに管理者パスワードを入力する必要があります。



さらに、Windows XPを実行しているコンピューターでソフトウェア製品をテストしました。 同時に、VistaとXPのウイルス対策の結果にほとんど違いは見られませんでした。 確かに、プロアクティブな保護やルートキット検索などの特定の機能をWindows XPを搭載したコンピューターで使用する場合、他の結果を得ることができることを考慮する必要があります。



すべての少し

ウイルス対策によってコンピューターの速度がどれだけ低下するかを判断するために、2つのテストを実施しました。最初に、プログラムは合計ボリューム741 MBで約8000ファイルのウイルスをチェックする必要がありました。 オンザフライでスキャンするときのウイルス対策の動作を評価するために、ローカルハードドライブ上のファイルもコピーしました。ウイルス対策がない場合は47秒かかります。



高速はNOD32を示しました。 Avast！、AVG、Antivir、OneCare、Norton、Panda、TrendMicroなどのプログラムも、システムの速度をあまり低下させませんでした。 F-Secureは、4つのアンチウイルスエンジンが存在すると大幅に速度が低下し、ファイルフォルダーをコピーする際の待機時間が大幅に増加したKaspersky Anti-Virusによって、著しく悪い結果が示されました。



ほとんどのウイルス対策ソフトウェアは、メールプログラムの動作を静かに監視し、受信メッセージと送信メッセージをスキャンします。 アンチウイルスソフトウェアでは、この関数の存在が決定的な要因ではありません。これは、たとえ存在しない場合でも、添付ファイルを開いたり保存しようとすると、プログラムが警告を発するためです。 さらに、暗号化された接続を使用する場合、ウイルス対策は依然として無力です。



深刻な問題は、ウイルス対策プログラムのソースコードの品質が不十分であることです。 2007年には、ほとんどすべての有名なウイルス対策製品に、ウイルス対策ソフトウェア業界全体の信頼性に疑問を投げかける重大なセキュリティホールがあることがわかりました。 私たちのテストでは、ソフトウェア製品のセキュリティを改善するためにとる対策についてメーカーに質問しました。 いくつかの答えは十分に評価できませんでした。また、現実に準拠しているかどうかを検証することもできません。 したがって、この問題は未解決のままです。

記事にも記載されている各製品の評価を公開する予定はありませんが、記事の過程でピボットテーブルと結論を評価できます。



おわりに



NOD32は、新しいマルウェアの3分の2以上を検出した唯一のテスト参加者でした。 2位はBitDefenderで、結果は41％で、残りのアンチウイルスは3番目に1つまたはそれ以下の脅威のみを認識しました。 この場合、信頼できるコンピューター保護について話すことはほとんど不可能です。 このような悪い結果は、マルウェア開発者が作成を最適化することにもっと注意を払い始めたという事実によって説明できます。 特に懸念されるのは、テスト中にアンチウイルスが1年前に首尾よく発見したウイルスを検出できなかったことです。

この問題の解決策は、悪意のあるプログラムの動作認識です。ただし、現在のところ、F-SecureのAnti-Virus 2008プログラムでのみ適切に実装されています。 , , , . F-Secure . BitDefender, , , . .

, , Avira, , NOD32, , , . Avast AVG . , . CE Anti-Virus Plus, , ClamWin, . Dr.Web McAfee .

Norton Antivirus, , Windows OneCare. , , . , Avira AVG , . Vista Windows Defender - Norton Antivirus. , , . Avast, , .















, - «» , Anti-Malware.ru.

, / , :

1 — BitDefender, Avira, F-Secure

2 — NOD32, AVG, Avast!, KAV 7, Trend Micro, Panda 2008

3 — Norton AV 2008, McAfee AV 2008, Dr. Web 4.44, MS OneCare

4 — CA, ClamWin



, ?