Защо microsoft не се нуждае от независими антивирусни тестове

Денис Батхълдър, директор на Центъра за защита от злонамерен софтуер на Microsoft (MMPC), представи основната реч за 8-ата международна конференция за злонамерен и нежелан софтуер (Malware 2013 за кратко). След като основната конференция приключи, той се срещна с избрана група за презентационна презентация за това как Microsoft оценява собствения си успех на антимауер. Не мога да изпадам в подробности, тъй като части от презентацията бяха предоставени при условия на неразкриване, но мога да ви кажа, какво правят те са доста невероятни.

Ключовият играч в самопроверката на Microsoft е нещо, което сте виждали всеки Patch Tuesday, Инструментът за премахване на злонамерен софтуер. MSRT работи за кратко по време на актуализацията на Windows и след това отминава, до следващия месец. Като част от работата си тя отчита съвкупност от изцяло нелична информация за системата обратно на Microsoft. Чрез събирането на така генерираните много милиони отчети, Microsoft може да научи много. Можете да разгледате ограничено обобщение на техните резултати на уебсайта на MMPC, но вътрешно те имат много, много повече информация.

Кой е незащитен?

Това е щракване за всяка програма, за да открие точната версия на Windows, в която работи. Едно просто изчисление, възможно от доклада на MSRT, е разбивка на разпространението на версиите на Windows. Това е особено важно с настъпването на официалната смърт на Windows XP. По-важното е, че Windows също ще докладва за сигурността на всяка програма, която я поиска. По-конкретно, той ще идентифицира регистрираната антивирусна програма, ако има такава, и ще посочи дали тази програма е актуална.

Batchelder съобщи, че около 21 процента от изследваните системи са били незащитени от антивирус, което е 40 процента преди появата на Windows 8. Това обаче не означава, че няма инсталиран антивирус. Сред тези 21 процента са системи, чийто антивирус не е актуален или съществува, но е изтекъл. Това включва и системи, при които потребителят е изключил защитата. Реалният брой без защита е незначителна част от незащитените.

Какво пропуснахме?

Цялата цел на инструмента за отстраняване на злонамерен софтуер е да открие и заличи малка, но активна колекция от разпространен злонамерен софтуер - отроци, които изследванията на Microsoft определят като най-важни. Ако MSRT заличи една от тези заплахи в система, която има инсталирана антивирусна защита, това означава, че антивирусът не е успял да предотврати инфекцията.

Да, това означава, че Microsoft може много ясно да идентифицира повредите от конкретни антивирусни продукти, включително техните собствени. Естествено, това е много чувствителна информация, но… но не мога да кажа повече. Това означава, че бандата на Центъра за защита от злонамерен софтуер на Microsoft получава изключително точна обратна информация всеки месец относно инсталациите на антималуерен софтуер на Microsoft. Това им позволява да видят как точно се справят, без да е необходимо тестване в лаборатории.

Разбира се, всеки път, когато се публикува лош резултат от теста, правомощията, които са на Microsoft, изискват да знаят защо. Батхълдър ми каза, че са му предложили екип, който той може да възложи на задачата да получи по-добри резултати при независими лабораторни тестове. "Казах им да продължат напред", каза той. "Дайте ми този екип. Но няма да ги използвам за преминаване на тестове. Ще ги възложа за по-добра защита на нашите клиенти."

Сега разбирам…

По-рано тази година отчетох за факта, че Microsoft подготви тест от Dennis Technology Labs, спечелвайки резултат под нулата и също не успя да сертифицира от AV-Test. Microsoft се завърна с изявление, че въпросният тест не е в реалния свят, че „99, 997 процента от нашите клиенти, ударени с всеки 0-дневен ден, не са срещнали проби от зловреден софтуер, тествани в този тест“.

По онова време, когато чувствах, че това твърдение трябва да е хипербола, в най-добрия случай. Как е възможно те да знаят това? След като видях какво получава Microsoft в телеметрията от своите продукти, трябва да кажа, аз вярвам в това.

Имайки предвид огромните ресурси на Microsoft обаче, защо да не работим в двата края на уравнението? Защо да не създадете продукт, който върши добра работа и също така да премине всички тестове? Batchelder обясни, че целта на Microsoft е да осигури защита за клиентите на Windows, а не да бъде най-големият, най-лошият антивирус наоколо. От негова гледна точка, колкото по-разнообразен е инсталираният защитен софтуер, толкова повече информация получава Microsoft и по-добре те могат да защитят своите клиенти.

По време на презентацията той посочи графика, показваща лек спад на активните инсталации на антивирусните продукти на Microsoft. "Това искаме", каза той на видимото ужас на някои присъстващи. "Нуждаем се от разнообразна колекция от методи за защита, за да можем всички да свършим по-добре." Той се завъртя, напомняйки ни за важен момент от основната си бележка. Има огромна екосистема от злонамерен софтуер от престъпници и подкрепящи участници, работещи срещу сигурността на всички. Ако антимадуерната индустрия не работи също като екосистема, ако всяка компания настоява за индивидуален успех за сметка на конкуренцията, ние сме обречени.

Гледайки напред, Batchelder се надява да сподели възможно най-много от събраните данни на Microsoft със заинтересованите изследователи. Това потенциално може да доведе до някои много интересни доклади на конференцията Malware 2014. Ще видим!