Jak testować antywirusa

Skuteczność oprogramowania antywirusowego zależy od mechanizmów bezpieczeństwa poszczególnych warstw oprogramowania, które zapewniają optymalną ochronę. Zaawansowana heurystyka, to znacznie więcej niż wysoki odsetek zablokowanych ataków. Niewielkie różnice w skuteczności poszczególnych modułów, są decydujące dla bezpieczeństwa internautów.

Polityka testowania to skomplikowany proces technologiczny, polegający na infekowaniu systemu za pomocą „próbek” złośliwego oprogramowania, rzeczywiście występującego w sieci. Baza malware na bieżąco aktualizowana jest przez niezależne instytuty badawcze, które za pomocą różnych narzędzi dokonują symulacji potencjalnych ataków. Metodyka stosowana przez różne organizacje i instytuty badawcze różni się od siebie w niektórych aspektach.

Niemniej jednak niemal zawsze, kryterium oceny poszczególnych etapów skupia się na odsetku skutecznie zablokowanych adresów URL oraz powiązanych z nim plików, a także na ustaleniu wartości procentowej wykrytych i zneutralizowanych ataków w stosunku do wszystkich poddanych badaniu próbek wirusów. „Testy dynamiczne, opierając się między innymi na systemie behawioralnym, wykorzystują w badaniu najbardziej popularne formy ataku, jak na przykład drive – by – download, phishing czy rozsyłanie wiadomości SPAM” wyjaśnia Tomasz Zamarlik z G Data Software dostarczającej oprogramowanie antywirusowe. Pod uwagę bierze się również tak zwane testy retrospektywne, weryfikujące zdolność ochrony przed nieznanymi atakami (zero-day attack) na niezaktualizowanym produkcie. Test pozwala sprawdzić skuteczność pakietów działających w modelu cloud computing na podstawie analizy wektorów infekcji.

Rozpoznawanie zagrożenia zanim nastąpi infekcja ma kluczowe znaczenie dla bezpieczeństwa systemu. Jeżeli szkodnikom udało się przedostać do sieci lokalnej, a antywirus zablokował skażony plik dopiero wtedy, gdy został on pobrany na komputer, to ryzyko związane z zainstalowaniem malware wzrasta. „Ma to szczególne znaczenie w dobie polimorficznych zagrożeń, coraz więcej Trojanów jest w stanie obejść mechanizmy służące do blokowania zachowań nowej generacji. Poddana badaniu próbka malware, w ‘naturalnych warunkach’ podlega rekompilacji kodu nawet co kilkanaście minut, a sam proces infekcji rozbity jest na kilka etapów, których celem jest uśpić czujność antywirusa. Dlatego w przypadku oceniania skuteczności programu, błędne jest koncentrowanie się jedynie na współczynnikach wykrywalności ataków, pomijając przy tym systemy bezpieczeństwa samego antywirusa” zauważa Łukasz Nowatkowski z G Data Software.

Nie mniej kontrowersji wzbudzały również badania nad skutecznością oprogramowania, którego szkielet opierał się na wykorzystywaniu tak zwanej chmury. W tym przypadku zakładając „naturalne warunki” pracy oprogramowania, bazy sygnatur są stale aktualizowane, dzięki czemu nowe zagrożenia są identyfikowane niemal natychmiast. Jak wskazują organizacje zajmujące się testowaniem oprogramowania, miesięcznie pojawia się w sieci około 100 milionów nowych próbek skażonego kodu. Oznacza to, że co godzinę baza wirusów wzbogaca się o kilkaset tysięcy aktualnie występujących zagrożeń. Rzeczywisty problem pojawia się w momencie, gdy dany antywirus posiada tylko kilka mechanizmów bezpieczeństwa. W tym przypadku, wysoce prawdopodobne jest, ze ukrycie się polimorficznego malware przed mechanizmami wykrywania, będzie oznaczało obejście systemu ochrony całego produktu.

Dla użytkowników Internetu rankingi antywirusów to obecnie jedyne wiarygodne źródło informacji o faktycznym poziomie skuteczności oprogramowania. O niezależności wyników decyduje filozofia instytutów dokonujących testów, jak również skomplikowana metodologia wykorzystywana podczas prowadzonych badań. Do tej pory zasadą było, że organizacje zajmujące się testowaniem antywirusów nie ujawniały sum kontrolnych plików ani kilkuset tysięcy próbek szkodliwego oprogramowania, które wykorzystywano podczas testów. Dzięki temu, końcowy wynik analizy każdego pojedynczego produktu był rzetelny i niezależny od jego producenta.