Microsoft Defender: czy w Windowsie potrzeba innego antywirusa?

Temat wbudowanego w Windows antywirusa okresowo wraca, opatrzony krzykliwymi nagłówkami ze słowami "najlepszy" lub "najgorszy". Czasem obie diagnozy, publikowane w różnych miejscach, pojawiają się na przestrzeni kilku dni. Co o tym myśleć?

Powierzchowne, acz jednoznaczne w wydźwięku wiadomości na temat poziomu ochrony oferowanej przez Defendera, mają swoje źródło w testach. Najważniejsze są dwa: AV-TEST oraz AV-Comparatives. Testy te dotyczą aktualnych w momencie badania próbek, przez co wyniki mogą ulegać radykalnym zmianom na przestrzeni kilku miesięcy. Czasem Defenderowi uda się wspiąć na szczyt, a czasem spaść na dno. Zazwyczaj jest średniakiem w swojej klasie. Wystarczy jednak "zaliczyć" jedno z ekstremów, by w rezultacie pojawić się w wiadomościach.

Sprawa jest szczególnie zabawna, gdy u dwóch testerów ten sam Defender znajdzie się na przeciwległych krańcach osi wyników. Tak było w listopadzie tego roku, dzięki czemu czytanie branżowych aktualności na temat Defendera było ciekawym doświadczeniem. Możemy sobie wybrać "co jest prawdą" - a raczej wybrać metodykę, którą uznajemy za poprawną.

Gdyby wyniki były zbieżne w każdych testach, możliwe byłoby wysnuwanie średniej lub szukanie trendu. Jednak gdy wyniki różnią się od siebie wręcz krańcowo, a w dodatku zmieniają się z miesiąca na miesiąc, formułowanie rzetelnych wniosków jest znacznie trudniejsze. W dalszym ciągu możliwe jest dokonywanie selekcji negatywnej, odrzucającej rozwiązania zdyskwalifikowane lub konsekwentnie zlokalizowane na dole rankingów. Ale kwestia kolejności na podium to już mocno niejednoznaczna sprawa.

Okazuje się jednak, że większość opinii na temat tego antywirusa (i zapewne wielu pozostałych) opiera się na "legendach" i głośnych wiadomościach sprzed dekady. Wszak po zintegrowaniu z Windows 8, Defender przejściowo mocno zanurkował w rankingach. Microsoft, w obawie przed postępowaniem antymonopolowym, wykazywał schizofreniczne podejście do swojego produktu, nie eksponując go, a momentami czasem wręcz zaniedbując.

Szamotanina osiągnęła apogeum w Windows 10, gdzie pierwsze wersje systemu czyniły Defendera niemal niewidzialnym, podczas gdy następne wyprowadzały w GUI dedykowany panel i ikonę w zasobniku. Dzięki temu użytkownicy mieli zauważyć, że już mają antywirusa i nie instalować kolejnego. Jednak inne miejsca wskazują na integrację z systemem na poziomie o wiele wyższym.

Nie należy jednak wnioskować na tej podstawie, że sam Defender działa w sposób niekonsekwentny lub niejednoznaczny. Program ten wykorzystuje mechanizmy systemu przeznaczone dla oprogramowania anti-malware i świadczy z ich pomocą kompleksową ochronę już od najwcześniejszych momentów po rozruchu. Interfejs i nazewnictwo (proszę zerknąć, jak nazywa się zapora!) nie mają tu znaczenia.

Ponieważ rankingi dają chaotyczne wyniki (możemy jednak dzięki nim stwierdzić, że Microsoft Defender jest sensownym i godnym zaufania programem), a artykuły na portalach IT notorycznie dostarczają bajędy zamiast konkretów, spróbujmy poszukać odpowiedzi na inne pytanie z zakresu skuteczności antywirusów: czy Defender ma jakąś "nieuczciwą" przewagę nad konkurentami?

Wiele lat temu, Microsoft wykorzystywał nieudokumentowane funkcje Windowsów, by jego programy działały na Okienkach lepiej, niż konkurencja. Ponieważ dziś skończyłoby się to pozwem od producentów AV, a nieudokumentowane mechanizmy ktoś i tak by rozgryzł, taka praktyka wydaje się nie mieć już miejsca. Defender pracuje jako "oprogramowanie antywirusowe". Oznacza to następujące mechanizmy (pozostałe, jak SmartScreen i Zapora, są Defenderem tylko z nazwy):

• Sterownik wczesnego ładowania ELAM (WdBoot)
• Sterownik filtra systemu plików (WdFilter)
• Silnik antywirusowy (MsMpEng)
• Baza definicji z analizatorem (mpavbase i mpengine)

Mechanizm ELAM jest udokumentowany i istnieje proces dla twórców oprogramowania antywirusowego, pozwalający aplikować o podpis cyfrowy potrzebny do ładowania sterownika podczas startu systemu. Zestaw filtr FS - silnik AV to klasyczny zestaw u wszystkich dostawców. Windows zapewnia ochronę przed naruszeniami, ale inni producenci implementują ją samodzielnie. Defender jest więc antywirusem jak każdy inny.

Pozostaje jednak kwestia, powiedzmy, logistyczna. Posiadanie jednorodnego łańcucha zaufania oznacza, że ufamy jednemu dostawcy i zapewniamy stabilną łączność wedle wytycznych jednego producenta. Zestawienie infrastruktury w WSUS, AAD lub innym ConfigMgr oznacza, że Defender jest pilnowany w ten sam sposób, co Windows i aktualizacje. Można odpuścić kolejny centralny serwer i jego wytyczne, co zawsze jest jednym problemem z głowy.

Użytkowników indywidualnych też to dotyczy. Choć Microsoft Defender pracuje na takich samych prawach, co inne programy antywirusowe, nastrzykując instalację Windowsa dodatkowym skanerem, ufamy de facto dwóm podmiotom, a nie jednemu. W przypadku zaufania ogólna reguła mówi, że im mniejsze grono, tym lepiej. Wszak jeszcze są sterowniki...

Jeżeli decydujemy się na Defendera, możemy mu trochę pomóc. Przegląd ustawień zwiększających ochronę opisywaliśmy w naszej serii na temat tego programu.