Za nami marzec 2021 roku, w którym przez cały miesiąc testowaliśmy produkty bezpieczeństwa w ramach systematycznie przeprowadzanych testów o nazwie „Advanced In The Wild Malware Test”, które są zgodne z procedurami i technikami cyberataków opisanymi w bazach MITRE ATT&CK.
Te modele zagrożeń, które zostały przedstawione w postaci macierzy, zawierają informacje na temat technik cyberprzestępczych, i są wykorzystywane do opracowywania konkretnych metod zapobiegawczych przed atakami ukierunkowanymi ATP. Baza MITRE jest uzywana do celów badawczych i rozwojowych przez rządy i korporacje związane z usługami cyberbezpieczeństwa, a także przez naszą organizację AVLab – zgromadzoną w bazie MITRE wiedzę na temat technik hakerów przekładamy na praktykę podczas testowania produktów ochronnych.
Marcowa analiza 10 produktów zabezpieczających trwała nieprzerwanie przez cały miesiąc, 24 godziny na dobę. Jest to możliwe dzięki zaprogramowanemu systemowi, który za człowieka wykonuje żmudne obliczenia i wyznaczone zadania w systemie Windows, automatyzując całą procedurę testów (agregowania logów, analizowania logów, wydawania werdyktu). Budowę i działanie tego systemu opisaliśmy w tym artykule oraz w metodologii.
W teście wzięliśmy pod uwagę te wersje programów, które zostały zaproponowane przez ich producentów. Oto pełna lista testowanych rozwiązań (w kolejności alfabetycznej):
- Avast Free Antivirus
- Avira Antivirus Pro
- Comodo Advanced Endpoint Protection
- Comodo Internet Security
- Emsisoft Business Security
- Microsoft Defender
- NortonLifeLock Security
- Panda Dome
- SecureAPlus Pro
- Webroot Antivirus
Ustawienia produktów i Windows 10: codzienny cykl testów
Testy przeprowadzane są w systemie Windows 10 Pro x64. Kontrola konta użytkownika (UAC) jest wyłączona, ponieważ celem testów jest sprawdzenie skuteczności ochrony produktu przed szkodliwym oprogramowaniem, a nie reagowanie systemu testującego na komunikaty Windows. Pozostałe ustawienia Windows są bez zmian.
System Windows 10 zawiera zainstalowane oprogramowanie: pakiet biurowy, przeglądarkę dokumentów, klient poczty oraz inne narzędzia i pliki, stwarzające pozory zwykłego środowiska roboczego.
Automatyczne aktualizacje systemu Windows 10 są wyłączone w danym miesiącu testów. Ze względu na możliwość awarii aktualizacje Windows 10 są dokonywane co kilka miesięcy pod ścisłą kontrolą.
Produkty zabezpieczające są aktualizowane jeden raz w ciągu doby. Zanim testy zostaną uruchomione następuje aktualizacja bazy danych wirusów i plików produktu ochronnego. Oznacza to, że każdego dnia testowane są zawsze najnowsze wersje oprogramowania. Podczas testów wszystkie programy antywirusowe zawsze mają dostęp do Internetu.
Złośliwe oprogramowanie
W marcu do testu wykorzystaliśmy 1155 próbek złośliwego oprogramowania, na które składały się m.in.: trojany, ransomware, backdoory, downloadery i makrowirusy. W przeciwieństwie do dużych instytucji badawczych nasze testy są transparentne — udostępniamy publicznie pełną listę próbek szkodliwego oprogramowania.
VirusTotal vs prawdziwe środowisko robocze
Korzystamy z prawdziwych środowisk roboczych Windows 10 w trybie graficznym, dlatego wyniki dla poszczególnych próbek mogą się różnić od tych zaprezentowanych przez serwis VirusTotal. Zwracamy na to uwagę, ponieważ dociekliwi użytkownicy mogą porównywać nasze testy z wynikami skanowania na portalu VirusTotal. Okazuje się, że różnice są znaczne pomiędzy rzeczywistymi produktami zainstalowanymi w Windows 10, a silnikami skanującymi w VirusTotal.
Poziomy blokowania próbek złośliwego oprogramowania
Dla badaczy i miłośników bezpieczeństwa udostępniamy sumy kontrolne szkodliwego oprogramowania z podziałem na technologie ochronne, które przyczyniły się do wykrycia i zablokowania zagrożenia. Według niezależnych ekspertów tego typu podejście do porównywania zabezpieczeń pomaga lepiej zrozumieć rozbieżności pomiędzy dostępnymi produktami na rynku.
Blokowanie każdej próbki szkodliwego oprogramowania przez testowane rozwiązanie ochronne zostało podzielone na kilka poziomów:
- Poziom 1 (L1): Poziom przeglądarki, czyli wirus został zatrzymany przed albo tuż po pobraniu na dysk.
- Poziom 2 (L2): Poziom systemu, czyli wirus został pobrany, ale nie dopuszczono do uruchomienia.
- Poziom 3 (L3): Poziom analizy, czyli wirus został uruchomiony i zablokowany przez testowany produkt.
- Niepowodzenie (F): Niepowodzenie, czyli wirus nie został zablokowany i zainfekował system.
Najnowsze wyniki zablokowania każdej próbki są dostępne na stronie https://avlab.pl/en/recent-results w tabelce:
Podsumowanie
W marcu 2021 roku tylko jedno rozwiązanie, Panda Dome, nie uzyskało maksymalnego wyniku ochrony. Według naszej metodologii ten antywirus dla Windows 10 nie zdołał zablokować 2 próbek złośliwego oprogramowania. Pozostałe produkty do ochrony stacji roboczych charakteryzowały się maksymalnym poziomem wykrywania i blokowania szkodliwego oprogramowania.
Niekiedy różnice pomiędzy technologiami prewencyjnymi i behawioralnymi w produktach są na tyle znaczące, że musieliśmy je pokazać w tabelkach, oznaczając odpowiednio poziomami L1, L2 i L3.
Chcemy podziękować wszystkim zainteresowanym producentom za współpracę na zgłaszane szczegóły techniczne oraz pomoc w bezproblemowym zautomatyzowaniu naszych testów z produktami ochronnymi.
