Klarer antiviruset ditt å håndtere et skadedagangrep på null dager?

Testing av signaturbasert antivirusbeskyttelse er et blunk. Du samler hundrevis eller tusenvis av kjente malware-prøver, kjører en skanning og legger merke til hvor mange antivirusproduktet ditt oppdaget. For et helt nytt, null-dagers virus (eller annen type malware) er det imidlertid nødvendigvis ingen signatur tilgjengelig. Å teste beskyttelse mot trusler på null dager er tøft, men forskerne ved AV-Comparatives har utarbeidet en teknikk som tilfredsstiller dem. Vær imidlertid oppmerksom på at ikke alle antivirusleverandører godkjenner denne testen; ganske mange valgte bort den siste utgaven, hvis resultat nettopp er utgitt.

Per definisjon er det ikke mulig å kjøre en test ved å bruke faktiske null-dagers prøver. Da forskerne kunne fange og validere en prøve, ville antivirus-leverandørene allerede være på vei til å utarbeide en signatur. AV-Comparatives simulerer deteksjon på null dager ved å "fryse" et produkts signaturdatabase og deretter bare bruke prøver som først dukket opp etter storfrysningen.

Noen produkter vil oppdage ny skadelig programvare ved hjelp av heuristiske teknikker, og identifisere dem ved likhet med kjent malware eller andre egenskaper. Forskerne lanserte hver prøve som ikke er fanget av heuristikker, og la merke til om produktets atferdsbaserte gjenkjenning eller annen sanntidsbeskyttelse forhindret angrep. Produkter tjente full kreditt for å blokkere skadelig programvare alene og halvkreditt i situasjoner der blokkering krevde en riktig beslutning av brukeren.

Veldig god påvisning

Basert utelukkende på deteksjonshastigheten, ville 11 av de 16 testede produktene ha oppnådd en AVANCERT + -vurdering, topp karakter. Bitdefender toppet denne gruppen med 97 prosent deteksjon; Kaspersky og Emsisoft klarte begge 94 prosent. Panda og Avast ville ha tjent AVANSERT. Microsoft ville også ha fått en AVANSERT vurdering, men AV-Comparatives bruker den bare som en grunnlinje. I bunnen ville AnhLab og Vipre ha bestått med en STANDARD-vurdering.

Pesky falske positive

Heuristiske og atferdsbaserte deteksjonssystemer må være veldig nøye innstilt for å unngå å flagge gyldige programmer som farlige - det er det vi kaller en falsk positiv. Ganske mange av de testede produktene mistet poeng for for mange falske positiver. Siden påvisningstesten ble utført ved bruk av frosne signaturer i februar i fjor, kunne forskerne bruke de falske positive resultatene fra en test utført i mars.

Seks av de testede produktene mistet ett vurderingsnivå på grunn av for mange falske positiver. For Emsisoft, eScan og G Data betydde det at du droppet fra AVANSERT + til AVANSERT, mens Panda falt fra AVANSERT til STANDARD. Når det gjelder AhnLab og Vipre, var de begge allerede på det laveste passerende nivået, så deres endelige rangering ble bare TESTET; de passerte ikke.

Cloud kontrovers

Leverandører som sender inn produktene sine for testing av AV-Comparatives, må avtale å delta i alle de nødvendige testene. Den signaturbaserte fildeteksjonstesten er en av de nødvendige settene; Symantec godkjenner ikke testen, og det er derfor du ikke finner resultater for Norton i AV-Comparatives-rapporter.

Den proaktive testen er derimot valgfri. Ifølge rapporten bestemte "AVG, McAfee, Qihoo, Sophos og Trend Micro seg for ikke å delta, ettersom produktene deres er veldig avhengige av skyen." Nulldagers test utelukker nødvendigvis skybasert deteksjon, da det ikke er noen måte å "fryse" skyen på. Disse leverandørene følte at produktene deres ville score dårlig uten tilgang til en skyforbindelse.

Mens AV-Comparatives tillot disse leverandørene å bøye seg ut, skjenner rapporten bare ut litt. "Selv flere uker senere ble en rekke av skadelige programvareprøver som ble brukt, fortsatt ikke oppdaget av noen skyavhengige produkter, selv når deres skybaserte funksjoner var tilgjengelige, " heter det. "Vi anser det som en markedsføringsuksess hvis retrospektive tester… blir kritisert for ikke å ha lov til å bruke skyressurser." Rapporten konkluderer, "Hvis en fil er helt ny / ukjent, vil skyen vanligvis ikke kunne bestemme om den er god eller ondsinnet."

Hvis antiviruset ditt oppnådde en toppvurdering i denne testen, er det et godt tegn på at det vil forsvare seg mot helt nye nulldagers trusler. Men siden testen bokstavelig talt ikke bruker virkelige prøver som aldri er sett før, viser ikke nødvendigvis en dårlig poengsum (eller ingen deltakelse) at den ikke vil gjøre jobben. For en full forståelse, vil du se på et bredt utvalg av tester og på PCMags grundige praktiske antivirusanmeldelser.