Slik tester vi blokkering av malware

Hvert antivirusprodukt og sikkerhetssuite skal forhindre angrep fra virus og annen skadelig programvare. Jeg utfordrer slike produkter ved bevisst å prøve å infisere et beskyttet testsystem ved hjelp av kjente malware-prøver. Deretter beregner jeg en blokkeringsscore for malware basert på hvor vellykket produktet oppdaget og forhindret disse angrepene. Jeg sjekker også antivirusens evne til å forhindre infeksjon ved å blokkere URL-adresser for skadelig programvare.

Blokkering av ondsinnede nettadresser

Nesten all moderne malware når systemet ditt fra Internett. Mange antivirusprodukter forhindrer infeksjon ved å blokkere all tilgang til webadresser som er skadelig for malware. Andre sjekker filer under eller umiddelbart etter nedlasting. I fjor introduserte jeg en test spesifikt rettet mot å måle hvor godt et produkt håndterer blokkering av ondsinnede nettadresser.

Jeg begynner med en strøm av ekstremt nye ondsinnede nettadresser levert av MRG-Effitas. De behandler mange tusen nettadresser hver dag; typisk er de jeg bruker ikke mer enn fire timer gamle. Jeg filtrerer listen for spesifikt å fange opp nettadresser som peker til en kjørbar fil.

Testprosessen er ganske enkel. Ved å bruke et enkelt verktøy som jeg kodet selv, startet jeg URL-ene i Internet Explorer, med IEs egen sikkerhet slått av. For hver nettadresse er det tre mulige utfall. Sikkerhetsprogramvaren kan blokkere all tilgang til URL-en, den kan utslette filen under eller rett etter nedlasting, eller den kan ikke gjøre noe. Jeg rapporterer den totale prosentandelen som er blokkert, enten på URL-nivå eller under nedlasting.

Jeg har kjørt denne testen siden november 2013; Jeg har ikke data for produkter som er gjennomgått før den datoen.

Bevisst Malware Attack

Mine malware-prøver endres over tid, men samlingen vil vanligvis omfatte adware, spyware, virus, ormer, scareware (useriøs sikkerhetsprogramvare), rootkits og trojanere.

Jeg installerer produktet på et rent testsystem og kjører en oppdatering manuelt for å sikre at det har de aller nyeste virusdefinisjonene. Så åpner jeg ganske enkelt en mappe som inneholder samlingen av prøver og noterer hvordan produktet reagerer. I mange tilfeller er den minimale tilgangen som oppstår når Windows Utforsker viser filnavnet tilstrekkelig til å utløse sanntidsbeskyttelse. Jeg klikker også enkelt på hver fil, siden sanntidsbeskyttelse i noen produkter ikke kommer inn før et klikk.

scoring

Naturligvis scorer produktet hele ti poeng for hver trussel det eliminerer på syne. Fortsetter testen, lanserer jeg alle prøver som overlevde den opprinnelige utrullingen og legger merke til hvordan produktet reagerer. Vanligvis vil jeg starte tre eller fire av dem og deretter kjøre de proprietære analyseverktøyene mine for å finne ut om truslene klarte å plassere filer på testsystemet.

• Hvordan unngå Scareware Hvordan unngå Scareware
• Virus, spionprogramvare og skadelig programvare: Hva er forskjellen? Virus, spionprogramvare og skadelig programvare: Hva er forskjellen?

Hvis trusselen ikke plantet noen kjørbare filer og installert fra null til 20 prosent av den ikke-kjørbare filen og Registry-søppel, tildeler jeg ti poeng, det samme som om antiviruset utslettet den på syne. Et antivirus som tillot trusselen om å sette 20 til 80 prosent av søppelet sitt på testsystemet, får fortsatt ni poeng. Det synker til åtte poeng hvis 80 prosent eller mer av søppelet landet på testsystemet.

Når antivirusprogrammet har oppdaget en trussel som forsøker installasjon, bør det virkelig forhindre plassering av kjørbare filer. Hvis en kjørbar fil slipper, tilbyr jeg fem poeng, eller halvkreditt. Hvis en malware-komponent, til tross for antivirusens beste innsats, klarer å kjøre, går det ned til tre poeng. Naturligvis oppnår en total mangel på å oppdage trusselen null poeng. Den totale blokkeringsscore er ganske enkelt gjennomsnittet av alle individuelle poengsummer. Jeg bryter også ut separate score for å blokkere rootkits og scareware.

Produktets endelige rangering har ikke en-til-en-sammenheng med score for blokkering og fjerning av skadelig programvare. Andre faktorer kan spille inn, inkludert resultatene fra uavhengige laboratorietester, men å score godt på blokkering av skadelig programvare og skadelige URL-blokkeringstester hjelper absolutt med å få en god rangering.