AVLab: Тестирование защиты от шифровальщиков

2016-11-15 | Автор | комментарии
Польская лаборатория AVLab в октябре 2016 года провела тестирование защиты от шифровальщиков на платформе Windows 10 Pro 64-bit. Испытанию подверглись более 50 антивирусов и решений безопасности

AVLab: Тестирование защиты от шифровальщиков

Общая информация

Целью данного тестирования, проведенного AVLab в октябре 2016 года, была проверка защиты реального времени антивирусов против троянов-шифровальщиков для домашних пользователей и организаций малого и среднего бизнеса. Результаты, представленные в отчете, отражают реальную эффективность антивирусного ПО при использовании всех доступных компонентов защиты, включая эвристические и поведенческие методы при противодействии неизвестным шифровальщикам.

Хотя некоторые протестированные продукты позволяют пользователям создавать отдельную папку, любые изменения файлов в которой непрерывно отслеживаются антивирусом, основная цель испытания заключалась в проверке реакции на современные неизвестные виды троянов-вымогателей. Данный вид вредоносных программ приносит значительный ущерб, часто приводит к финансовым потерям, что в свою очередь негативно сказывается на продуктивности бизнеса.

Лучшая защита от шифровальщиков

Ниже представлены продукты безопасности в категориях домашние и корпоративные продукты, которые показали лучшие результаты защиты от шифровальщиков в данном тестировании.

Антивирусы и продукты безопасности для дома

AVLab: Лучшие 1

AVLab: Лучшие 2

AVLab: Лучшие 3

Продукты для малого и среднего бизнеса

AVLab: Лучшие 1

AVLab: Лучшие 2

AVLab: Лучшие 3

Результаты тестирования

Антивирусы и продукты безопасности для дома

Нажмите на изображение, чтобы увеличить

AVLab: Тестирование защиты от шифровальщиков:  Антивирусы для дома

  • 0/0: файлы были зашифрованы, защита была неэффективной.
  • 0/1: файл был запущен и явно заблокирован проактивной защитой.
  • 1: файл был запущен и заблокирован сканером по доступу.
  • * VoodooShield Pro тестировался в двух режимах: AutoPilot и ApplicationWhitelist (SMART, ALWAYS ON). Были получены идентичные результаты в обоих случаях.
  • * Comodo Internet Security Pro 10 BETA проигнорировал настройки модуля автоматической песочницы, который является основной защиты от неизвестных угроз. Во время тестирования не была доступна стабильная версия, поэтому нельзя сравнивать результаты BETA и будущей стабильной версии Comodo Internet Security Pro 10.

Продукты для малого и среднего бизнеса

Нажмите на изображение, чтобы увеличить

AVLab: Тестирование защиты от шифровальщиков:  Корпоративные продукты

  • 0/0: файлы были зашифрованы, защита была неэффективной.
  • 0/1: файл был запущен и явно заблокирован проактивной защитой.
  • 1: файл был запущен и заблокирован сканером по доступу.

Методология

Для того, чтобы соблюсти принципы идентичности испытаний, AVLab решила проводить тест со стандартными настройками продуктов в одинаковой среде тестирования. В тестировании принимали участие известные антивирусные продукты для обычных потребителей и два независимых приложения: Foltyn SecurityShield и Voodoo Shield Pro, которые по своему принципу действия отличается от традиционных антивирусов. Каждое приложение было протестировано в одинаковых условиях и против идентичной коллекции угроз.

Тестовая коллекция включала 28 файлов шифровальщиков, включая Cerber, CryptXXX, DetoxCrypto, Hitler Ransomware, HolyCrypt, Locky, Numecod, Petya, Jigsaw, Vipasana, Stampado и другие зловреды. Тестовые образцы были собраны в сотрудничестве с независимыми исследователями.

AVLab получила образцы без каких-либо консультаций с разработчиками антивирусов. Таким образом, подозрения, что тестируемое приложение обнаруживает угрозу, предложенную вендором, считаются необоснованными.

Единственный справедливый метод сравнительного тестирования заключается в проверке всех продуктов в одинаковых условиях и на одном и том же основании - в данном случае настройки по умолчанию. На рынке представлены антивирусы, которые имеют специальные механизмы защиты для папок и файлов против шифрования, но не во всех из них эти компоненты включены по умолчанию. Не исключены подозрения, что данные механизмы могут в целом влиять на общую производительность антивируса, что приведет к пониженным результатам в тестах производительность.

Чтобы проверить эффективность защиты самых популярных антивирусов для организаций и домашних пользователей, AVLab подготовила образ Windows 10 Professional x64 с последними обновлениями. Таким образом, все продукты были протестированы в идентичной тестовой среде с доступом к Интернету.

Алгоритм испытания:

  1. Специалисты лаборатории восстанавливали образ операционной системы для каждого протестированного приложения и таким образом воспроизводили идентичную рабочую среду для каждого приложения.
  2. В случае необходимости вредоносная программа получала права администратора, если появлялся соответствующий запрос.
  3. Протестированные антивирусы должны были предотвратить шифрование подготовленной коллекции файлов на рабочем столе.

Толкование результатов

Как уже отмечалось цель тестирования заключалась в выявлении самого эффективного антивируса для защиты против троянов-шифровальщиков. Чтобы тест проводился в равных условиях, все приложения использовали стандартные настройки по умолчанию, но некоторые разработчики решили отключить защиту от троянов-вымогателей в базовой конфигурации.

Долгое время специалисты лаборатории рассматривали вариант добавления еще одной категории оценки - восстановление файла после атаки шифровальщиками. После тщательного анализа выяснилось, что такой подход был бы несправедливым по отношению к некоторым продуктам. Arcabit Internet Security получил бы подавляющее преимущество, а истинная картина защитных механизмов других продуктов была бы искажена из-за стандартной конфигурации. Благодаря SafeStorage, пользователи Arcabit Internet Security Suite могут получить полные возможности без дополнительной конфигурации.

Таким образом, лаборатория не принимала во внимание специализированные инструменты для расшифровки файлов, потому что их эффективность зависит от слишком большого количества факторов. Данный тип инструментов позволяет восстанавливать файлы в случае успешной эксплуатации некорректной реализации функций шифрования или использования закрытого ключа, полученного при тесном сотрудничестве правоохранительных органов и специалистов по компьютерной безопасности. Данный тест сложно подготовить, а его проведение займет длительное время, что несоразмерно с динамикой развития троянов-шифровальщиков.

С полным отчетом вы можете ознакомиться по этой ссылке (английский, pdf).

Комментарии и отзывы

Добавляя комментарий, ознакомьтесь с Правилами сообщества

Ошибка в тексте? Выделите ее и нажмите CTRL+ENTER

Система Orphus