Symantec обявява антивирусни тестове при поискване за подвеждащи

Миналата седмица независима антивирусна лаборатория AV-Comparatives пусна резултатите от тест за откриване на антивирусен тест при поискване. Фактът, че Microsoft влезе близо до дъното, не беше голяма новина; фактът, че Symantec вкара още по-ниско, беше наистина изненадващ. В публикация в блога, публикувана днес, Symantec отказа цялата практика за извършване на тестове за сканиране на злонамерен софтуер при поискване, като го нарече "подвеждащо".

В ранните години на антивирусно тестване всеки тест беше тест за сканиране при поискване. Изследователите щяха да съберат колекция от известни зловредни програми, да извършат пълно сканиране и да запишат процента на откритите проби. Съвременните лаборатории работят усилено, за да разработят тестове, които по-точно отразяват практическия опит на потребителя, като се отчита фактът, че огромната част от инфекциите влизат в компютъра от интернет. Symantec твърди, че е валиден само тестът в реалния свят; Не съм напълно съгласен.

Осакатена защита?

Алехандро Борджия, старши директор по продуктово управление на Symantec Corporation, заяви категорично в своя блог пост, че „цитираните проценти на откриване са подвеждащи и не са представителни за ефективността на продуктите в реалния свят“. Борджия каза: "Тези видове тестове за сканиране на файлове се провеждат в изкуствени среди, които осакатяват всички съвременни функции за защита."

Вярно е, че AV-Comparatives се увериха, че тестовите системи имат достъп до интернет, като по този начин предоставят на инсталацията Symantec достъп до мощната облачна система на репутацията на Norton Insight. Когато попитах контактите си в Symantec за това, те обясниха, че за пълна мощност Norton Insight разчита на пълна информация, „как файлът е получен, кога е получен или откъде е получен (напр. URL и IP адрес)“. Тест на скенер на файлове при поискване на файлове, чието пристигане антивирусът на Symantec не е спазил, не е същият, както когато потребителят действително изтегля файлове. Това е вярно, но е същото като когато потребител инсталира антивирус, за да изчисти съществуващ проблем със злонамерен софтуер.

Мрежовите компоненти за предотвратяване на проникване също нямаха шанс да помогнат, тъй като файловите проби бяха изтеглени преди инсталирането на антивирусен софтуер. За пореден път ще попаднете в подобна ситуация, когато инсталирате антивирус за първи път в заразена система. И разбира се, поведението, базирано на поведение, никога не започва, докато програмата действително не започне да се изпълнява.

В отговор на запитване за защита, базирана на поведение, предприемане на действия само след стартиране на злонамерен файл, моите контакти от Symantec посочиха, че „поведението“ включва повече от действия, предприети от програмата. „Нашата поведенческа технология отчита местоположението на програмата, начина, по който тя е регистрирана в системата (например какви ключове в системния регистър се отнасят към нея) и много други фактори“, обясниха те. „В повечето случаи програмата ще бъде спряна преди да причини някаква вреда.“

Заблуждава ли се?

Що се отнася до твърдението, че тестът е подвеждащ, AV-Comparatives не е съгласен. Въведението в самия доклад, че „степента на откриване на файлове на продукт е само един аспект“ и сочи „други доклади за тестове, които обхващат различни аспекти“.

"Ясно е посочено, че се тества само една характеристика на продукта", казва Петер Стелжамер, съосновател на AV-Comparatives. "Ако Symantec смята, че функцията за откриване на файлове е безполезна, защо все още е включена в продукта?" Stelzhammer посочи, че откриването на файлове е необходимо за първоначално почистване и че компютрите не винаги имат интернет връзка. Въпреки това, "тестът се проведе с пълна интернет връзка и облачните функции на Symantec получиха достъп до техния облак."

Borgia оприличава тестване на откриването на файлове самостоятелно с тестването на системите за безопасност на автомобила, като първо деактивира всичко освен колана, заявявайки, че подобен тест ще бъде „изцяло недостатък“. И все пак, подобен тест може да идентифицира проблеми със слаб колан на обиколката, така че „напълно недостатък“ изглежда преувеличение.

Само тестове в реалния свят?

Борджия отбелязва, че Symantec силно подкрепя тестовете в реалния свят, тестовете, „които най-точно представляват опасната среда и използват всички проактивни технологии, предоставени с продукт“. Трудно не мога да се съглася, но подобни тестове изискват огромно време и усилия. Постът в блога поддържа тестовете, извършени от Dennis Labs, като един блестящ пример. Dennis Labs записва процеса на заразяване от реални URL адреси и след това използва система за преиграване в Интернет, за да повтори същият процес под защитата на всеки антивирусен продукт. Възхитителен наистина, но отнема много време и усилия.

Самият AV-Comparatives провежда тестове в реалния свят всеки ден, като предизвиква колекция от антивирусни продукти, инсталирани в идентични тестови устройства, за да се защити от зловреден софтуер от стотици много нови злонамерени URL адреси в реалния свят. Всеки месец те обобщават данните и всеки тримесечие издават пълен отчет за защита на реалния свят. Процесът е достатъчно трудоемък, че разчитат на помощ от университета в Инсбрук и на частично финансиране от австрийското правителство.

Можете да очаквате Symantec да блести в този тест в реалния свят от AV-Comparatives. „За съжаление - отбеляза Стелхаммер, „ Symantec не искаше да се присъедини към нашата основна тестова серия “. Symantec решиха да не участват, казаха те, тъй като "AV-Comparatives не предлага на продавачите абонамент, фокусиран единствено върху тестове в реалния свят, като същевременно се отказва от теста за сканиране на файлове." Изглежда обаче, че тази стратегия има обратна реакция. Въпреки че компанията не се е абонирала, AV-Comparatives постави Symantec в теста при поискване, "тъй като резултатите са много търсени от нашите читатели и пресата."

Множеството тестове имат стойност

Постът в блога на Symantec заключава: "Очакваме с нетърпение деня, когато всички публикувани тестове са тестове в реалния свят. Междувременно читателите трябва да се пазят от изкуствени тестове, които показват подвеждащи сравнения на продуктите." И аз също ще се радвам да видя повече тестове, които съответстват на практическия опит на потребителя, но не мисля, че можем да отхвърлим тестовете за откриване на файлове.

Обмислете това. Ако закупите антивирусен софтуер за система, която никога не е имала защита, ще очаквате той да почисти всеки и всички злонамерен софтуер, без да се хващате, че не му е даден шанс да използва мрежовата си система за предотвратяване на проникване. В такъв случай вероятно ще потърсите високи резултати в тест като AV-Comparatives при поискване, тест, който сравнително съответства на вашата ситуация.

За постоянна защита, да, ще искате продукт, който печели най-добри резултати и в реалните тестове. Затова изберете продукт, който е с висок резултат както в двете области, така и в тестове от множество лаборатории. По този начин ще получите защита, която може да се погрижи за всички проблеми, съществуващи при инсталирането, както и да отблъсне бъдещите атаки на зловреден софтуер.