AVLab: Тестирование бесплатных антивирусных сканеров

В современном мире как обычные потребители, так и корпоративные пользователи пользуются программным обеспечением, представленным в отчете. Из-за постоянно растущего числа угроз и развития вредоносных программ, роль традиционных сканеров стала менее значительной, чем раньше. Все антивирусные сканеры, протестированные AVLab, позволяют выбирать целевое местоположения для проверки зараженных файлов. В программу тестирования не включены сканеры, которые предлагают только так называемую быструю проверку наиболее важных системных областей, поскольку в нее не включены личные папки пользователя, а значит проверка реакции на тестовую коллекцию вредоносных образцов невозможна.

Разработчики вредоносного кода, которые имеют доступ к передовым инструментам, готовым руководствам и даже специализированным сервисам, не упрощают задачу экспертам, которые привыкли к жесткой аналитической работе. С другой стороны, разработчикам сканеров очень сложно оптимизировать производительность этих решений и постоянно увеличивать количество антивирусных сигнатур. Традиционные методы сканирования постепенно сходят на нет в пользу более совершенных автоматизированных методов обнаружения с возможностью изучения шаблонов угроз. Кроме того, некоторые разработчики полностью отказываются от сканеров по требованию и переходят на облачную модель, оставляя функциональность сканирования только самых важных системных областей (драйверов, реестра и запущенных процессов).

Стоимость поддержки инфраструктуры и доступа к высокоскоростным Интернет-соединениям, которые необходимы для правильной и быстрой работы таких приложений, могут представлять финансовое бремя для мелких разработчиков. По этой причине можно наблюдать угасающий интерес к традиционным антивирусным сканерам, которые очень тщательно проверяют каждую часть операционной системы, сохраняя при этом приемлемую производительность. Имея это в виду, эксперты AVLab решили, что это последний тест в данном формате. В следующем году методология будет развиваться в направлении обнаружения угроз в уже зараженных системах, включая обнаружение вредоносных процессов и ключей реестра, а также запущенных системных служб.

При обнаружении нескольких тысяч вредоносных приложений, которые были собраны за 24 часа до каждого тестового дня, наилучшие результаты показали следующие решения: Emsisoft Emergency Kit, Trend Micro HouseCall, Dr.Web CureIt!, Kaspersky Virus Removal Tool, ESET Online Scanner и Comodo Cleaning Essentials. Ни один из тестируемых продуктов не превысил порог обнаружения в 95%, но с учетом свежести зараженных файлов (с использованием локальных сигнатур или облака) статический уровень обнаружения около 90% можно считать удовлетворительным.

Серьезным недостатком тестов сканирования по требованию является их длительность. Теоретически сканирование нескольких тысяч зараженных файлов не должно занять слишком много времени. Опыт показывает, что он может занять весь рабочий день: время сканирования всех файлов по отдельным приложениям варьировалось от нескольких минут (Emsisoft Emergency Kit, ClamAV Free Antivirus, Dr.Web CureIt!) до десятков минут (ESET Online Scanner). В течение первых двух дней тестирования рекордная задержка в несколько часов принадлежала Arcabit Online Scanner. К сожалению, на третий день разработчик внедрил автоматическое обновление, которое не позволило возобновить проверку - сканер был обновлен до новой версии, что позволяет сканировать только системные области. Изменение способов сканирования Arcabit Online Scanner во время теста исключает приложение из теста.

Методология тестирования

Чтобы проверить уровень обнаружения самых популярных антивирусных сканеров, был подготовлен виртуальный образ Windows 10 Professional x64 с последними обновлениями. В первой части испытания тестовая коллекция состояла из 18562 образцов, полученных от независимых исследователей. При выборе образцов для тестирования AVLab не сотрудничает с разработчиками антивирусного программного обеспечения. Таким образом, нет никаких подозрений, что тестируемое приложение искусственно обнаруживает угрозы, предоставляемые его разработчиком.

Во время тестирования каждое приложение было установлено с настройками по умолчанию. Для Dr.Web Cureit и Kaspersky Virus Removal Tool автоматическое обновление сигнатур не было доступно, поэтому тестировщик загружал новую версию сканера каждый день.

Сканирование коллекции угроз:

1. Образ операционной системы был восстановлен до исходного состояния для каждого тестируемого приложения.
2. Образцы угроз были отобраны за один день до каждого испытания.
3. Прежде чем выбирать папку с зараженными файлами для сканирования, сигнатуры обновлялись до последней версии или загружались новые версии сканеров (если это было необходимо).

Результаты тестирования

[1] На третий день тестирования функция сканирования пользовательских папок стала недоступна в Arcabit Online Scanner, поэтому продолжение тестирование сканера стало невозможно.

Награды

• 100% - 90%: BEST+++
• 89% - 80%: BEST++
• 79% - 70%: GOOD+
• 69% - 0%: ONLY TESTED