вторник, 29 марта 2011 г.

Рейтинг обнаружения антивирусными продуктами "свежего" вредоносного кода

Служба рассылок MailList.ru компании АГАВА
Архив рассылки Серверы, сетевое оборудование, тесты, советы Не показываются картинки?



Сумма Технологий - Серверные Системы

информационно-аналитический электронный журнал
stss.3dn.ru

Вторник, 29 марта 2011 года (1936 год - состоялся перелёт советского летчика, Героя Советского Союза, генерала-майора авиации М.В.Водопьянова "Москва ≈ Земля Франца-Иосифа ≈ Москва".)

Рейтинг обнаружения антивирусными продуктами "свежего" вредоносного кода

Однажды после очередной беседы в нашей компании о том, какой антивирус лучше всего справляется с обнаружением новых разновидностей вирусов, у меня появилось желание провести некое изучение по этому вопросу самостоятельно. Не спорю, вопрос не новый, и множество независимых групп проводит свои экспертизы (например, отличная подборка подобных рейтингов сведена на форуме группы Anti-Malware.ru, а также советую взглянуть на последнюю, в смысле самую свежую, картинку VirusBulletin). Однако, сильное желание состояло именно в том, чтобы провести такой анализ своими силами, тем более что на просторах Интернета существует практически готовый источник информации по этому вопросу – замечательный сервис VirusTotal.

Как это было сделано и что из этого вышло —

Первой моей идеей было воспользоваться очень интересной табличкой «Top10 file submissions (Yesterday)» на странице Stats самого VirusTotal-а. Статистики, скажем, за 3 месяца ежедневного опроса этой таблицы на самом деле вполне хватило бы для описанных целей. Но увы, таблица непредумышленно или предумышленно не работает, т.е. отображает изменяющиеся только примерно раз в месяц значения по какой-то своей внутренней логике. Недельная переписка с представителями самого VirusTotal-а закончилась тем, что факт наличия «problem» был признан, но в вольном переводе «приоритет его исправления на фоне других более актуальных проблем весьма невысок». На самом деле такому замечательному сервису можно простить и это, хотя я бы на их месте просто скрыл указанный блок со страницы статистики до момента починки.

Пришлось идти по более сложному пути: с помощью Google, wget, grep и пары самодельных скриптов с просторов Интернета (в подавляющем большинстве — с форумов с просьбами «поставить диагноз» или «рассказать как лечить») было собрано 3630 ссылок на реально проведенные с 1.1.2010 анализы VirusTotal-ом.

Что из себя представляют указанные ссылки? Специфика обращения с вопросом о вирусе на форумы в Интернет в основном такова, что анализируемый экземпляр совсем недавно начал свое распространение. Чаще всего это либо первая треть либо середина активной фазы обработки его антивирусными компаниями. Если провести анализ этих же экземпляров на текущий момент качество срабатывания будет несомненно лучше — я полагаю, близким к 80-90% — но напомню, что в моем распоряжении только ссылки (по факту — хеш-суммы), а не сами экземпляры вирусов.

Ну что же, середина жизненного цикла вируса — тоже не самое плохое время для анализа в рамках поставленной цели. В список обнаруживающих данный экземпляр антивирусов попадут продукты либо с очень быстрой обратной связью либо с хорошими эвристическими алгоритмами. Нас устраивает и то и другое. Количество антивирусов, обнаруживавших экземпляры выборки, на тот исторический момент приведено на гистограмме (ось X – количество сработавших антивирусных движков, ось Y – количество вирусных экземпляров):

= Гистограмма частоты детектирования =

График подводит к следующему неотъемлемому вопросу процесса поиска вирусов – ложным срабатываниям. Несомненно, в области графика, близкой к нулю, наряду с малоизвестными на текущий момент, но всё-таки вирусами, размещается множество ложных срабатываний (false positive):
  • неоправданных подозрений со стороны эвристических алгоритмов,
  • упакованных исполнимых файлов (как совершенно справедливо уточнил хабраюзер gjf)
  • других неумышленных ошибок антивирусных программ.
OLS

Читать продолжение подробнее >>>

Последние публикации в разделе "Новости и обзоры":

Обзор полезного программного обеспечения с возможностью скачать:

  • Fm chat - простой способ общения по локальной сети, 3.00 build 150
    Программа LIC(Fm Chat) позволяет общаться по локальной сети. Общаться можно двумя способами: Отправлять отдельныe сообщения пользователю, при этом он получает сообщения мгновенно, Общаться в чате, В программе существуют два вида чата Общий чат, Персональный чат...
  • LANWork, 1.28
    Программа для мониторинга и управления соединениями локальной сети. Основные функции: Наблюдение за подключениями, управление подключениями (отключение, запрет доступа и т.п.), ведение лога открытых файлов, ограничение доступа с нежелательных компьютеров и пользователей, получение основной информации (комментарии, сервисы и пр.) по подключившемуся компьютеру, получение статистической информации по работе сервисов Workstation и Server, пингование компьютеров и отправка сообщений типа "net send"...
  • SolarWinds IP Address Tracker, 1.0
    IPAT сканирует, записывает и объединяет всю информацию об IP адресах в одном надежном месте...
  • Polygon SNMP Manager, 0.8.3.0
    Система управления сетевыми элементами, реализующая функции управления отказами, конфигурацией, учетом, производительностью и безопасностью...
  • 10-Страйк: Мониторинг Сети, 1.7
    Программа для мониторинга сети и серверов. "10-Страйк: Мониторинг Сети" следит за работоспособностью сети и оповещает о неполадках. Узнайте вовремя о произошедшем сбое (разрыв связи, завершение места на диске сервера, останов службы, и т.п.) и устраните проблему с минимальными потерями времени. Программа сигнализирует о неполадках с помощью звука, экранных сообщений, по e-mail, может запускать внешние программы и службы...

Новые темы форума для обсуждения

Серверы и серверное оборудование
  Тема Ответы Просмотры Автор темы Обновления↓
Серверная мать S845WD1-E 0 1 DownOfMorale Сегодня, 11:20
Сообщение от: DownOfMorale
Посоветуйте RAID-SCSI и стриммер 1 35 wertal 15.03.2011, 15:06
Сообщение от: Сарториус
В глюках РЭЙДА виновен ASUS!!! Ваше мнение??? 4 123 Arrexturl16577 09.03.2011, 18:08
Сообщение от: Arrexturl16577
Двухпроцессорный сервак 7 380 Arifurafarm 26.01.2011, 15:50
Сообщение от: boubDruth
Обзоры железа 1 208 Cosinus1024 30.12.2010, 08:07
Сообщение от: singletone
Нужна помощь
Помогите определиться с сервером
 1 749 AK-47 24.11.2010, 08:20
Сообщение от: singletone
Арендованый сервер 1 278 ariftinia 24.11.2010, 08:19
Сообщение от: singletone
Server для mailbox 1 308 Aleftinatochca 24.11.2010, 08:18
Сообщение от: singletone
Как увеличить количество дисков в массиве 1 271 actiteprigise 24.11.2010, 08:14
Сообщение от: singletone
Проблема с AMD Phenom II X6 1090T BE. 0 285 AgennaLem 09.11.2010, 14:59
Сообщение от: AgennaLem
FastTrak TX26508 определяется со второго раза, после горячей
перезагрузки
 0 225 wertal 19.10.2010, 12:59
Сообщение от: wertal
Прошивка матушки Intel S5000PAL на SR2500 0 281 NightBeast 12.10.2010, 19:50
Сообщение от: NightBeast
Сетевой сниффер
Сетевой сниффер
 2 1175 sipitron 26.07.2010, 13:16
Сообщение от: sipitron
Сервер Dell PE2900 Two, за что отвечает частота шины? 2 2361 ariftinia 04.07.2009, 19:41
Сообщение от: HectFoetkeelf
Насчет серверного оборудования. 3 1127 Ортем 26.05.2009, 16:28
Сообщение от: Anstep
RAID Контроллеры 3 2510 Daniel 25.05.2009, 11:04
Сообщение от: Daniel
Помощь владельцам выделенных серверов
Советы, помощь, заметки по администрированию выделенных серв
 0 2310 stss 23.01.2008, 15:33
Сообщение от: stss

Последние публикации из рубрики "Полезные советы по работе с компьютером":

Microsoft Office - Word

Бороться с размером файла Word можно ещё одним способом. Для этого, заканчивая работу с документом (или просто периодически во время работы), надо выбрать команду "Файл" – "Сохранить как" и выполнить сохранение, не меняя предложенных в диалоговом окне ни имени (будет предложено имя этого же документа), ни места расположения.

Борис Матвеев

Другие публикации и советы тут >>>

Новости наших друзей:

"31 марта 2011 года Завершение работы выставки Александра Подколзина"
Всего несколько дней осталось до завершения работы выставки произведений живописи и графики Александра Подколзина в музее "Новый Иерусалим". Выставка открылась в декабре 2010 года в Выставочном комплексе музея. Многие посетители впервые познакомились с работами мастера

Читать далее на http://ierusaleem.ru >>>

Отдохни (анекдоты, забавные истории):

- Скажите, а эти карпы живые?
- Да, конечно, они же плавают!
- А они свежие?...

*****

В один американский цирк пришел наниматься артист.
- Что вы умеете делать? - спросил его директор.
- Во время своего выступления я съедаю сто куриных, сто гусиных и пятьдесят страусиных яиц. Мое прозвище Яичный Король.
- Но в воскресные дни у нас по четыре представления.
- Согласен.
- Да, но скоро начнутся рождественские праздники. И мы будем давать представления через каждый час.
- Но когда же я буду обедать?...

*****

- Я ль на свете всех милее, всех красивей и добрее?
- Конечно, только опусти свой пистолет....

Другие анекдоты тут >>>

Внимание! Если хотите, чтобы мы посвятили рассылку Вам или вашему сайту, то пишите на почту: altvix@mail.ru

Вы можете добавить свою новость, статью или программу по адресу (необходимо зарегистрироваться): stss.3dn.ru
По вопросам размещения Ваших статей и информации в наших рассылках - пишите нам: altvix@mail.ru
Вы можете добавлять информацию в наше сообщество: http://my.mail.ru/community/stssru/
Путеводитель по городу Истра и экскурсии в монастырь Новый Иерусалим. Информация здесь >>> >


Архив рассылки | RSS версия | Настройки | Отписаться: На сайте / По почте
Автор: на

Комментариев нет:

Отправить комментарий

Подписаться на: Комментарии к сообщению (Atom)