Come testiamo il blocco del malware

Ogni prodotto antivirus e suite di sicurezza dovrebbe prevenire attacchi da virus e altri malware. Sfido tali prodotti cercando deliberatamente di infettare un sistema di test protetto utilizzando campioni di malware noti. Ho quindi calcolato un punteggio di blocco del malware in base al successo del prodotto rilevato e prevenuto questi attacchi. Controllo anche la capacità dell'antivirus di prevenire l'infezione bloccando gli URL che ospitano malware.

Blocco di URL dannosi

Quasi tutti i malware moderni raggiungono il tuo sistema da Internet. Molti prodotti antivirus impediscono l'infezione bloccando l'accesso a URL che ospitano malware. Altri controllano i file durante o immediatamente dopo il download. L'anno scorso ho introdotto un test mirato specificamente a misurare la capacità di un prodotto di bloccare gli URL dannosi.

Comincio con un feed di URL dannosi estremamente nuovi forniti da MRG-Effitas. Elaborano molte migliaia di URL ogni giorno; in genere quelli che uso non hanno più di quattro ore. Filtro l'elenco per acquisire in modo specifico gli URL che puntano a un file eseguibile.

Il processo di test è abbastanza semplice. Usando una semplice utility che mi sono codificato, lancio gli URL in Internet Explorer, con la sicurezza di IE disattivata. Per ogni URL, ci sono tre possibili risultati. Il software di sicurezza potrebbe bloccare tutti gli accessi all'URL, potrebbe cancellare il file durante o subito dopo il download o potrebbe non fare nulla. Riporto la percentuale complessiva bloccata, a livello di URL o durante il download.

Eseguo questo test da novembre 2013; Non ho dati per i prodotti esaminati prima di quella data.

Attacco deliberato di malware

I miei campioni di malware cambiano nel tempo, ma la raccolta in genere includerà adware, spyware, virus, worm, scareware (software di sicurezza canaglia), rootkit e trojan.

Installo il prodotto su un sistema di test pulito ed eseguo manualmente un aggiornamento, per assicurarmi che abbia le definizioni dei virus più recenti. Quindi apro semplicemente una cartella contenente la raccolta di campioni e noto come reagisce il prodotto. In molti casi, l'accesso minimo che si verifica quando Windows Explorer visualizza il nome file è sufficiente per attivare la protezione in tempo reale. Faccio anche un singolo clic su ciascun file, poiché la protezione in tempo reale in alcuni prodotti non si attiva fino a quando non si fa clic.

punteggio

Naturalmente il prodotto ottiene dieci punti per ogni minaccia che elimina a vista. Continuando il test, lancio tutti i campioni sopravvissuti alla selezione iniziale e noto come reagisce il prodotto. In genere ne avrò tre o quattro e quindi eseguirò i miei strumenti di analisi proprietari per determinare se le minacce sono riuscite a posizionare file sul sistema di test.

• Come evitare lo Scareware Come evitare lo Scareware
• Virus, spyware e malware: qual è la differenza? Virus, spyware e malware: qual è la differenza?

Se la minaccia non ha impiantato alcun file eseguibile e installato dallo zero al 20 percento del file non eseguibile e della posta indesiderata del Registro di sistema, conferisco dieci punti, come se l'antivirus lo avesse cancellato a vista. Un antivirus che ha consentito alla minaccia di inserire dal 20 all'80 percento della sua posta indesiderata sul sistema di test ottiene ancora nove punti. Ciò scende a otto punti se l'80% o più della posta indesiderata è atterrato sul sistema di test.

Una volta che l'antivirus ha rilevato una minaccia nel tentativo di installazione, dovrebbe davvero impedire il posizionamento di qualsiasi file eseguibile. Se viene superato un file eseguibile, offro cinque punti o mezzo credito. Se, nonostante i migliori sforzi dell'antivirus, un componente malware riesce a funzionare, si riduce a tre punti. Naturalmente un totale fallimento nel rilevare la minaccia guadagna zero punti. Il punteggio di blocco complessivo è semplicemente la media di tutti i punteggi individuali. Ho anche pubblicato punteggi separati per il blocco di rootkit e scareware.

La valutazione finale del prodotto non ha una correlazione individuale con i punteggi di blocco e rimozione di malware. Altri fattori possono entrare in gioco, inclusi i risultati di test di laboratorio indipendenti, ma segnare bene sul blocco del malware e sui test di blocco degli URL dannosi sicuramente aiuta a ottenere una buona valutazione.