Эффективность антивирусов с учетом распространения угроз

О тестировании

Этот дополнительный отчет был инициирован компанией Microsoft. Финансовая поддержка, оказанная корпорацией из Редмонда помогла AV-Comparatives создать новую модель расчета эффективности антивирусной защиты с учетом распространенности вредоносных программ. Microsoft предоставила данные телеметрии по распространенности угроз.

Эффективность антивирусов с учетом распространения угроз учитывается по критерию распространенности. Естественно, некоторые вредоносные программы представляют большую угрозу среднестатистическому пользователю, чем другие, из-за широкой распространенности. Некоторые зловреды могут быть нацелены на отдельные компании и пользовательские базы и при этом будут представлять меньший риск для обычных пользователей. Некоторые вредоносные программы можно обнаружить только на определенных сайтах, они нацелены на конкретные страны и регионы и могут работать только на определенных операционных системах и при выборе определенных языков интерфейса.

Инициатива Microsoft заключалась в использовании глобальных данных телеметрии для учета влияния пользователя на пропущенные обнаружения. Вредоносные файлы, проигнорированные антивирусами, оценивались с учетом весовых коэффициентов, зависящих от распространенности семейства вредоносного ПО. Результаты взвешенных значений с учетом распространенности в данном отчете представлены совместно с обычными результатами испытания на обнаружение угроз. Данные результаты предназначены для более точного представления о пользовательском влиянии на пропущенные зловреды. Кроме учета распространенности, в отчете использовались данные геолокации для дифференциации пользовательского влияния в различных странах.

Общая информация

Данный отчет является дополнением к результатам тестирования AV-Comparatives на файловое обнаружение, проводимого в марте 2016 года на платформе Windows 10 64-Bit. Никаких вспомогательных испытаний не проводилось. Был осуществлен дополнительный анализ полученных результатов с учетом вероятности столкновения с вредоносными образцами пользователями ПК из различных стран.

Для формирования наиболее релевантных результатов тестирования использовалась статистика безопасности Microsoft Intelligent Security Graph из более, чем 100 стран по всему миру.

В то время как традиционные антивирусные тесты равнозначно оценивают каждый вредоносный файл, данное испытание предоставляет более объективную информацию за счет усиления значений угроз, которые имеют самое широкое распространение среди корпоративных пользователей и конечных потребителей.

В реальном мире, пользователи не сталкиваются со всеми угрозами с идентичной степенью вероятности. Некоторые вредоносные семейства широко распространены в мире, в то время как другие зловреды встречаются относительно редко. Кроме того, многие вирусы могут концентрироваться в определенных регионах или языковых зонах, не воздействуя на другие географические области. Когда дело доходит до реального пользовательского взаимодействия, все угрозы имеют разную степень распространенности и распределения. Тем не менее, они на общих равнозначных основаниях рассматриваются в традиционных тестах на обнаружения файлов.

Антивирусная индустрия усиленно влияет на развитие модели распространенности с помощью данных реального представления угроз Realtime Threat List (RTTL) под эгидой AMTSO. Результаты испытаний, взвешенные с учетом распространенности, представляют новый шаг в сторону стандартизации подобных методик тестирования и представляют реальную картину риска безопасности для конечного пользователя. Информация, используемая в испытании, основана на телеметрических данных Microsoft Intelligent Security Graph, которая получена от нескольких миллионов устройств из более 100 стран по всему миру с Защитников Windows в качестве инструмента безопасности.

В реальной жизни, при определенных обстоятельствах, продукт, получивший меньший результат в испытании может лучше защитить среднестатического пользователя, чем первоначально более успешный продукт. Условный продукт А с уровнем обнаружения в 99 процентов пропускает 1 процент широко распространенных угроз. Продукт B проигнорировал 2 процента зловредов, но их распространенность крайне мала. Таким образом, для конечного пользователя защита, предоставляемая продуктом B, может быть более эффективной.

В своих тестах AV-Comparatives использует преимущественно широко распространенные угрозы и принимает во внимание различные данные о распространенности от разных источников, но в данном дополнительном отчете использовалась только информация, предоставленная Microsoft.

Тестируемые антивирусы

В данный отчет включены следующие продукты, протестированные в марте 2016 года:

• Avast Free Antivirus 11.1
• AVG Internet Security 2016
• AVIRA Antivirus Pro 15.0
• Bitdefender Internet Security 20.0
• BullGuard Internet Security 16.016.0
• Emsisoft Anti-Malware 11.0
• eScan Internet Security 14.0
• ESET NOD32 Smart Security 9.0
• F-Secure SAFE 14.150
• Fortinet FortiClient 5.2
• Kaspersky Internet Security 16.0
• Lavasoft Ad-Aware Pro Security 11.10
• McAfee Internet Security 18.0
• Microsoft Windows Defender 4.9
• Quick Heal Total Security 16.0
• Sophos Endpoint Security and Control 10.3
• Tencent PC Manager 11.2
• ThreatTrack Vipre Internet Security Pro 9.3
• Trend Micro Internet Security 10.0

Тестовый набор был сформирован на базе анализа телеметрических данных от различных источников (не только Microsoft) с целью включения преимущественно распространенных вредоносных образцов за последние несколько недель или месяцев до начала тестирования из числа угроз, представленных в реальных средах.

Обнаружение и защита

Уровень обнаружения угроз является лишь одним аспектом защиты полноценного антивирусного продукта, хотя и очень важным. Почти все антивирусы включают дополнительные компоненты, в частности веб-защиту и поведенческий анализ, которые могут защищать пользователя без необходимости идентификации каждого вредоносного файла.

AV-Comparatives также проводит динамическое тестирование продуктов, которое учитывает другие аспекты защиты продуктов. Тем не менее, уровень обнаружения файлов остается самым важным и определяющим фактором защиты, предлагаемой антивирусным продуктом.

Тестовый набор

Коллекция вредоносных образцов, использованная в марте 2016 года содержала 163 763 вредоносных образца. Количество столкновений с вредоносными образцами, применяемыми в тесте согласно телеметрическим данным Microsoft равнялось 2 931 597. Семейства вредоносных программ, используемые в тесте, насчитывают около 60 миллионов столкновений. На карте ниже можно увидеть страны, в которых данные семейства имеют наибольшее влияние.

Данные Microsoft по 150 странам были построены на анализе менее 10 000 компьютеров, что является статистически не релевантным значением, когда вероятность ошибки велика. Эти страны на карте отображены белым цветом. Влияние на оставшиеся ~100 стран представлено оттенками синего на карте.

Уровни обнаружения и влияние распространенности угроз

В зависимости от пропущенных образцов и уровня обнаружения всего тестового набора, Microsoft рассчитала уровень обнаружения с учетом распространенности. Данные представлены в таблице ниже:

Таблица ниже показывает приведенные уровни обнаружения для крупных рынков согласно данным Microsoft, т.е. для стран, где Microsoft получили данные от более чем 6 миллионов машин:

С полным отчетом вы можете ознакомиться по этой ссылке (pdf, английский).