Kako testiramo blokiranje zlonamerne programske opreme

Vsak protivirusni izdelek in varnostni paket naj prepreči napad virusov in druge zlonamerne programske opreme. Takšne izdelke izzivam s tem, da namerno poskušam okužiti zaščiten testni sistem z uporabo znanih vzorcev zlonamerne programske opreme. Nato izračunam oceno blokiranja zlonamerne programske opreme glede na to, kako uspešno je izdelek zaznal in preprečil te napade. Preverim tudi sposobnost protivirusa, da prepreči okužbo z blokiranjem URL-jev, ki gostijo zlonamerno programsko opremo.

Blokiranje zlonamernih URL-jev

Skoraj vsa sodobna zlonamerna programska oprema doseže vaš sistem iz interneta. Številni protivirusni izdelki preprečijo okužbo z blokiranjem vseh dostopov do URL-jev, ki gostijo zlonamerno programsko opremo. Drugi preverjajo datoteke med prenosom ali takoj po njem. Lani sem uvedel test, ki je posebej namenjen merjenju uspešnosti izdelka, ki blokira zlonamerne URL-je.

Začnem z virom izjemno novih zlonamernih URL-jev, ki jih je posredoval MRG-Effitas. Vsak dan obdelajo več tisoč URL-jev; navadno tisti, ki jih uporabljam, niso stari več kot štiri ure. Seznam filtriram tako, da natančno zajemam URL-je, ki kažejo na izvršljivo datoteko.

Postopek testiranja je precej preprost. S preprostim pripomočkom, ki sem ga sam kodiral, zaženem URL-je v Internet Explorerju, pri čemer je IE-jeva lastna varnost izključena. Za vsak URL obstajajo trije možni rezultati. Varnostna programska oprema lahko blokira ves dostop do URL-ja, datoteko lahko med prenosom ali takoj po njej izbriše ali pa ne naredi ničesar. Poročam o skupnem odstotku blokiranih, bodisi na ravni URL-ja ali med prenosom.

Ta test izvajam od novembra 2013; Nimam podatkov za izdelke, ki so bili pregledani pred tem datumom.

Namerni napad zlonamerne programske opreme

Moji vzorci zlonamerne programske opreme se sčasoma spreminjajo, vendar bo zbirka običajno vsebovala oglaševalsko, vohunsko programsko opremo, viruse, črve, zastrašujočo programsko opremo (ločena varnostna programska oprema), rootkite in trojanske programe.

Izdelek namestim na čisti testni sistem in ročno zaženem posodobitev, da se prepričam, da ima najnovejše definicije virusov. Nato preprosto odprem mapo z zbirko vzorcev in zabeležim, kako izdelek reagira. V mnogih primerih je minimalen dostop, ki se pojavi, ko Windows Explorer prikaže ime datoteke, dovolj za sprožitev zaščite v realnem času. Vsako datoteko kliknem tudi z enim klikom, saj se v nekaterih izdelkih zaščita v realnem času ne začne s klikom.

Točkovanje

Seveda izdelek za vsako grožnjo, ki jo odpravi na vidnem mestu, doseže polnih deset točk. Z nadaljevanjem testa sprostim vse vzorce, ki so preživeli prvotno odstranjevanje, in opazim, kako izdelek reagira. Običajno bom sprožil tri ali štiri od njih in nato zagnal svoja lastniška orodja za analizo, da bom ugotovil, ali jim je grožnjo uspelo postaviti v datoteko.

• Kako se izogniti prestrašujoči opremi?
• Virusi, vohunska programska oprema in zlonamerna programska oprema: v čem je razlika? Virusi, vohunska programska oprema in zlonamerna programska oprema: v čem je razlika?

Če grožnja ne bi namestila nobene izvršljive datoteke in jo namestila od nič do 20 odstotkov njene neizvršljive datoteke in neželnega registra, dodelim deset točk, enako kot če bi jo antivirus izbrisal na vpogled. Antivirus, ki je omogočil grožnjo, da je na testni sistem dal 20 do 80 odstotkov svojega smeta, še vedno dobi devet točk. Če se na testnem sistemu pristane 80 odstotkov ali več smeti, se to zmanjša na osem točk.

Ko antivirus odkrije grožnjo, ki poskuša namestitev, bi moral preprečiti namestitev vseh izvršljivih datotek. Če se izvršljiva datoteka prebije, ponudim pet točk ali polovično dobropis. Če kljub najboljšim prizadevanjem protivirusnega programa komponenta zlonamerne programske opreme uspe zagnati, se to zmanjša na tri točke. Seveda popolno odkritje grožnje zasluži nič točk. Skupni rezultat blokiranja je preprosto povprečje vseh posameznih rezultatov. Razčlenim tudi ločene rezultate za blokiranje rootkitov in strašljive programske opreme.

Končna ocena izdelka nima medsebojne povezave z rezultati blokiranja in odstranjevanja zlonamerne programske opreme. Drugi dejavniki lahko pridejo v poštev, vključno z rezultati neodvisnih laboratorskih testov, toda točkovanje mojih blokad zlonamerne programske opreme in testi zlonamernih URL-jev zagotovo pomagajo dobiti dobro oceno.