Perché microsoft non necessita di test di laboratorio antivirus indipendenti

Dennis Batchelder, direttore del Microsoft Malware Protection Center (MMPC), ha presentato il discorso chiave per l'ottava conferenza internazionale sul software dannoso e indesiderato (abbreviato in Malware 2013). Al termine della conferenza principale, ha incontrato un gruppo selezionato per una presentazione post-conferenza sul modo in cui Microsoft valuta il proprio successo antimalware. Non posso entrare nei dettagli, poiché parti della presentazione sono state rese disponibili in condizioni di non divulgazione, ma posso dirti che quello che fanno è piuttosto sorprendente.

Il giocatore chiave dell'autocontrollo di Microsoft è qualcosa che hai visto ogni martedì, lo strumento di rimozione del software dannoso. MSRT viene eseguito brevemente durante Windows Update e poi scompare, fino al mese successivo. Come parte del suo lavoro, riporta a Microsoft una raccolta di informazioni di sistema interamente non personali. Aggregando i molti milioni di report così generati, Microsoft può imparare molto. Puoi consultare un sommario limitato dei loro risultati sul sito Web MMPC, ma internamente hanno molte, molte più informazioni.

Chi non è protetto?

È un gioco da ragazzi per qualsiasi programma scoprire la versione esatta di Windows in cui è in esecuzione. Un semplice calcolo reso possibile dal rapporto di MSRT è una scomposizione sulla prevalenza delle versioni di Windows. Ciò è particolarmente significativo con la prossima scomparsa ufficiale di Windows XP. Ancora più importante, Windows riferirà anche sulla sicurezza a qualsiasi programma che lo richieda. In particolare, identificherà l'eventuale programma antivirus registrato e indicherà se tale programma è aggiornato.

Batchelder ha riferito che circa il 21 percento dei sistemi esaminati non erano protetti da antivirus, in calo dal 40 percento prima dell'avvento di Windows 8. Ciò non significa che non siano installati antivirus. Tra questo 21 percento vi sono sistemi il cui antivirus non è aggiornato o è presente ma è scaduto. Ciò include anche i sistemi in cui l'utente ha disattivato la protezione. Il numero effettivo senza protezione è una frazione minuscola di quelli non protetti.

Cosa ci siamo persi?

Lo scopo dello strumento di rimozione di software dannoso è quello di rilevare e cancellare una piccola ma attiva raccolta di malware prevalente, ovvero i malware che la ricerca Microsoft ha segnalato come i più importanti. Se MSRT cancella una di queste minacce su un sistema in cui è installata la protezione antivirus, significa che l'antivirus non è riuscito a prevenire l'infezione.

Sì, ciò significa che Microsoft è in grado di identificare chiaramente i guasti di specifici prodotti antivirus, incluso il proprio. Si tratta di informazioni molto sensibili, naturalmente, e… ma non posso aggiungere altro. Ciò significa che la banda Microsoft Malware Protection Center riceve un feedback estremamente accurato ogni mese sulle installazioni antimalware di Microsoft. Ciò consente loro di vedere esattamente come stanno andando, senza bisogno di test di laboratorio.

Naturalmente, ogni volta che viene pubblicato un risultato negativo del test, i Powers That Be di Microsoft chiedono di sapere perché. Batchelder mi ha detto che gli hanno offerto una squadra che avrebbe potuto assegnare al compito di ottenere punteggi migliori nei test di laboratorio indipendenti. "Ho detto loro di andare avanti", ha detto. "Dammi quella squadra. Ma non li userò per superare i test. Li assegnerò per proteggere meglio i nostri clienti."

Ora vedo…

All'inizio di quest'anno ho riferito sul fatto che Microsoft ha superato un test da parte di Dennis Technology Labs, ottenendo un punteggio inferiore allo zero, e inoltre non ha superato la certificazione di AV-Test. Microsoft ha risposto affermando che il test in questione non era nel mondo reale, secondo cui "il 99, 997 per cento dei nostri clienti colpiti da 0 giorni non ha riscontrato i campioni di malware testati in questo test".

All'epoca pensavo che questa affermazione dovesse essere iperbole, nella migliore delle ipotesi. Come potevano saperlo? Visto quello che Microsoft riceve in telemetria dai suoi prodotti, devo dire che ci credo.

Date le immense risorse di Microsoft, però, perché non lavorare ad entrambe le estremità dell'equazione? Perché non creare un prodotto che fa un buon lavoro e supera anche tutti i test? Batchelder ha spiegato che l'obiettivo di Microsoft è garantire la protezione dei clienti Windows, non essere l'antivirus più grande e più cattivo in circolazione. Dal suo punto di vista, tanto più diversificato è il software di protezione installato, tanto più informazioni Microsoft riceve e tanto meglio può proteggere i propri clienti.

Durante la presentazione ha indicato un grafico che mostra un leggero calo delle installazioni attive dei prodotti antivirus Microsoft. "Questo è quello che vogliamo", ha detto, con costernazione visibile di alcuni partecipanti. "Abbiamo bisogno di una raccolta diversificata di metodi di protezione in modo che tutti possano fare un lavoro migliore". Ha finito per ricordarci un punto importante del suo keynote. Esiste un enorme ecosistema di malware di criminali e attori di supporto che lavorano contro la sicurezza di tutti. Se l'industria antimalware non funziona allo stesso modo come un ecosistema, se ogni azienda insiste sul successo individuale a spese della concorrenza, siamo condannati.

In prospettiva, Batchelder spera di condividere il maggior numero possibile di dati raccolti da Microsoft con i ricercatori interessati. Ciò potrebbe potenzialmente portare ad alcuni articoli molto interessanti alla conferenza Malware 2014. Vedremo!