Kan din antivirus håndtere et nul-dages malware-angreb?

Test af signaturbaseret antivirusbeskyttelse er et øjeblik. Du samler hundreder eller tusinder af kendte malware-prøver, kører en scanning og bemærker, hvor mange dit antivirusprodukt har fundet. For en splinterny virus på nul dage (eller anden type malware) er der dog nødvendigvis ingen signatur tilgængelig. Test af beskyttelse mod trusler på nul dage er hårdt, men forskerne ved AV-Comparatives har udarbejdet en teknik, der tilfredsstiller dem. Bemærk dog, at ikke alle antivirus-leverandører godkender denne specifikke test; ganske mange fravalgte den seneste udgave, hvis resultater netop er blevet frigivet.

Per definition er det ikke muligt at køre en test ved hjælp af faktiske nul-dages prøver. Da forskerne kunne fange og validere en prøve, var antivirus-leverandørerne allerede på vej til at udarbejde en signatur. AV-Comparatives simulerer nul-dages detektion ved at "fryse" et produkts signaturdatabase og derefter kun bruge prøver, der først blev vist efter den store frysning.

Nogle produkter registrerer ny malware ved hjælp af heuristiske teknikker og identificerer dem ved lighed med kendt malware eller ved andre egenskaber. Forskerne lancerede hver prøve, der ikke blev fanget af heuristik, og bemærkede, om produktets adfærdsbaserede detektion eller anden realtidsbeskyttelse forhindrede angreb. Produkter tjente fuld kredit for at blokere malware helt alene og halvkredit i situationer, hvor blokering krævede en korrekt beslutning fra brugeren.

Meget god detektion

Baseret udelukkende på deres detektionshastighed ville 11 af de 16 testede produkter have opnået en ADVANCED + -klassificering, den bedste bedømmelse. Bitdefender toppede denne gruppe med 97 procent detektion; Kaspersky og Emsisoft klarede begge 94 procent. Panda og Avast ville have fortjent AVANCERET. Microsoft ville også have fået en AVANCERET rating, men AV-Comparatives bruger den kun som en basislinje. I bunden ville AnhLab og Vipre være gået med en STANDARD-vurdering.

Pesky False Positiver

Heuristiske og adfærdsbaserede detektionssystemer skal indstilles meget omhyggeligt for at undgå at markere gyldige programmer som farlige - det er hvad vi kalder en falsk positiv. En hel del af de testede produkter mistede point for for mange falske positiver. Da påvisningstesten blev udført ved hjælp af underskrifter frosset i februar i februar, var forskerne i stand til at genbruge de falske positive resultater fra en test udført i marts.

Seks af de testede produkter mistede et vurderingsniveau på grund af for mange falske positiver. For Emsisoft, eScan og G Data betød det, at det faldt fra ADVANCED + til ADVANCED, mens Panda faldt fra ADVANCED til STANDARD. Hvad angår AhnLab og Vipre, var de begge allerede på det laveste passerende niveau, så deres endelige bedømmelse blev blot TESTET; de gik ikke forbi.

Cloud kontrovers

Sælgere, der indsender deres produkter til test af AV-Comparatives, skal acceptere at deltage i alle de krævede tests. Den signaturbaserede fildetekteringstest er en af ​​de krævede sæt; Symantec godkender ikke denne test, hvorfor du ikke finder resultater for Norton i AV-sammenligningsrapporter.

På den anden side er den proaktive test valgfri. Ifølge rapporten besluttede "AVG, McAfee, Qihoo, Sophos og Trend Micro ikke at deltage, da deres produkter er meget afhængige af skyen." Nul-dages test udelukker nødvendigvis skybaseret detektion, da der ikke er nogen måde at "fryse" skyen på. Disse leverandører mente, at deres produkter ville score dårligt uden adgang til en cloud-forbindelse.

Mens AV-sammenligninger gjorde det muligt for disse leverandører at bøje sig ud, skælder rapporten dem bare en smule. "Selv flere uger senere blev et antal af de malware-prøver, der blev brugt, stadig ikke detekteret af nogle skyafhængige produkter, selv når deres skybaserede funktioner var tilgængelige, " hedder det. "Vi betragter det som en marketingundskyldning, hvis retrospektive tests… kritiseres for ikke at have tilladelse til at bruge skyressourcer." Rapporten konkluderer, "Hvis en fil er helt ny / ukendt, kan skyen normalt ikke bestemme, om den er god eller ondsindet."

Hvis din antivirus opnåede en topbedømmelse i denne test, er det et godt tegn på, at den vil forsvare sig mod splinterny trusler på nul dage. Men da testen ikke bogstaveligt talt bruger prøver fra den virkelige verden, der aldrig er set før, beviser en dårlig score (eller ingen deltagelse) ikke nødvendigvis, at den ikke gør jobbet. For en fuld forståelse ønsker du at se på en lang række test og på PCMags dybtgående praktiske antivirus-anmeldelser.