Zautomatyzowane antywirusy nie radzą sobie z nietypowymi zagrożeniami

Antywirus lub pakiet typu Internet Security jest najczęściej pierwszą linią obrony przed szkodliwym oprogramowaniem. Jak jednak tego typu programy spisują się w praktyce? Niewielki test jednego z internautów pokazuje, że niektóre programy chwalą się rozbudowanymi technologiami, a tak naprawdę nie są w stanie zdać nawet prostych sprawdzianów.

Oczywiście w sieci znaleźć można wiele najróżniejszych laboratoriów zajmujących się testowaniem oprogramowania antywirusowego. Wyniki przez nie publikowane są nieco dyskusyjne – w takich sytuacjach zawsze padają argumenty, iż testy mogły zostać opłacone, że wykonano je w nieprawidłowy sposób (np. badając jedynie już dobrze znane próbki) lub że twórcy oprogramowania przygotowali je specjalnie pod testy, jak to miało zresztą miejsce w przypadku chińskiego Qihuu.

Interesujące są więc testy niezależne, wykonywane przez zwykłych śmiertelników. Choć nie mogą oni równać się z laboratoriami, czasami pokazują coś, co porusza całym rynkiem. Jeden z użytkowników Reddita, man_on_the_train, jest tego dobitnym przykładem. Postanowił on przebadać niektóre popularne programy przy pomocy kilku narzędzi testowych: Comodo Leak Test umożliwiającego sprawdzenie, jak programy i system radzą sobie z popularnymi podatnościami, pakietu Security Software Testing Suite przeznaczonego do testów ochrony proaktywnej i udostępnianego przez grupę Matousec, a także własnego keyloggera. Całość przeprowadzono na najnowszym Windows 10 w wersji 64-bitowej – ta ostatnia informacja ma tu ogromne znaczenie, pamiętajmy bowiem o tym, że mechanizm Kernel Patch Protection „upośledza” niektóre antywirusy, jeżeli ich producenci nie zajmą się tą kwestią z odpowiednia uwagą.

Wyniki widzicie w powyższej tabelce i nie da się ukryć, że dominuje tu kolor czerwony, oznaczający niezaliczenie danego testu. Fatalnie wypadł w nich Avast!, pakiet McAfee, Avira, ale także Norton czy znany ze swojego świetnego silnika BitDefender. Pojedyncze testy zaliczyły aplikacje Zone Alarm, Kaspersky, a także ESET. Niemal wszystkie z nich osiągnęły fatalne wyniki w teście CTL: warto bowiem zauważyć, że sam Windows 10 zapewnia w tym przypadku 210 punktów. Instalacja niektórych pakietów niczego pod tym względem nie zmieniła. Nieco lepiej wypadł Comodo Internet Security, osiągając łącznie 60% zakładanych wyników. Tutaj należy się pewne uwaga: dwa testy zostały niezaliczone, ponieważ program uznaje narzędzia testujące Matousec za bezpieczne. Obecnie nie znajdują się one już na białej liście, wynik powinien więc być jeszcze większy, podobnie ma się sprawa z reakcją na realne, niezaufane zagrożenia.

Zwycięzcą okazał się SpyShelter Firewall – polskie oprogramowanie łączące w sobie funkcje antyloggera, a także zapory sieciowej. Jak to możliwe? Od producenta wiemy, że mechanizmy, jakie znalazły się w 64-bitowych odmianach Windows, znacznie utrudniają odpowiednie monitorowanie akcji i reagowanie na zagrożenia. Im jednak udało się je ominąć, oferując tym samym odpowiednią ochronę i moduł odpowiadający nieco możliwościom HIPS-a. Oczywiście ktoś mógłby zarzucić, że przecież w takiej sytuacji keylogger nie powinien być testowany. Przypominamy jednak, że producenci na ogół informują nas o tym, że są w stanie ochronić swoich klientów przed zagrożeniami każdego typu. Skoro więc są w stanie działać tak aktywnie w sferze marketingu, powinni również odpowiednio reagować na nietypowe przypadki ingerencji w system. Część z nich próbuje to robić, na przeszkodzie znajdują się jednak wygoda i przyzwyczajenia użytkowników, a także coraz większe ograniczenia nakładane przez system Windows.

Jak ważna jest to kwestia pokazuje także oficjalny podręcznik udostępniany przez firmę Kaspersky. Choć jej najnowszy pakiet jest z Windows 10 zgodny i można go na nim zainstalować, tak naprawdę ochrona jest znacznie ograniczona. Wszystkie zaawansowane moduły kontroli aplikacji i monitoringu nie działają i czekają na poprawki ze strony producenta. Test nie obrazuje oczywiście walki z typowym szkodliwym oprogramowaniem, należy do niego podchodzić z rezerwą. W wielu przypadkach sygnatury i systemy reputacji, jakie stanowią podstawę ochrony w antywirusach, będą w stanie wykryć i zneutralizować zagrożenie.

Zarówno SpyShelter, jak i Comodo wymagają natomiast nieco więcej uwagi od użytkownika, nie są to aplikacje w pełni automatyczne i skierowane dla osób, których kwestie techniczne kompletnie nie interesują. Postawienie wszystkiego na automatykę ma jednak swoją cenę, cenę bardzo wysoką: nie jest to pierwszy test, który uświadamia nam, że popularne aplikacje niewymagające uwagi użytkownika nie spisują się w walce z nietypowymi zagrożeniami. Czy wybierzemy wiec automat i złudne poczucie bezpieczeństwa, czy może samodzielnie będziemy o wszystkim decydować, narażając się tym samym na ryzyko pomyłki, lub po prostu ludzkiego znużenia? Najlepsze rozwiązanie leży gdzieś pośrodku.