Які антивіруси мають ефективну самозахист?
Ви зазвичай покладаєтеся на антивірусні продукти для захисту ваших даних і ваших пристроїв. Але наскільки ефективно антивіруси захищають самих себе?
Антивірусні програми є, перш за все, програмним забезпеченням, що має свої недоліки, як і будь-які інші види програм. Програмісти можуть зробити прості кроки для того, щоб істотно знизити схильність експлойт-атакам. Проте, останній звіт німецької лабораторії AV-Test наочно демонструє, як вендори антивірусного ПО захищають свої продукти від прямих атак.
просте рішення
звіт лабораторії AV-Test показує, що навіть найкращі програми мають як мінімум одну помилку на 2000 рядків коду. Проблема полягає в тому, що основна версія антивірусної програми містить не тисячі, а мільйони рядків коду. А це гарантує велику сукупна кількість помилок. Звичайно, не кожна помилка представляє уразливість для шкідливих атак, але певна їх частина все ж містить реальну загрозу безпеці.
Для того щоб атака була успішною, експлойт повинен змусити програму-жертву виконати шкідливий код. Деякі шкідливі техніки передбачають впровадження шкідливого коду в якості даних і примусове його виконання. В інших видах атак використовується стек і зони оперативної пам'яті, які використовуються програмами в якості тимчасового сховища. Вставка більшої кількості даних в буфер, ніж це дозволяє фактичний обсяг пам'яті (перенаповнення буфера) є ще одним способом виконати довільний код у пам'яті конкретної програми.
Існують дві визнані технології, які дозволяють перешкодити більшості експлойтів. Запобігання виконання даних (Data Execution Prevention, DEP) просто блокує виконання коду в зонах пам'яті, розмічених спеціально для зберігання даних. Ця функція сама по собі вже обмежує можливості експлойтів.
Рандомизация адресного простору (Address Space Layout Randomization, ASLR) - ще одна технологія, яка випадковим чином перераспредлеяет сектори пам'яті, використовувані програмою. Таким чином, атакуюча програма не може визначити місцезнаходження потрібного сектора для виконання уразливого коду. Обидві методики широко використовуються ОС Windows. Для більшості сучасних компіляторів впровадження кожної з цих захисних технологій відбувається дуже швидко і просто.
Методика тестування
Дослідники AV-Test зібрали 24 антивірусних продукту для домашніх користувачів і 8 рішень корпоративного рівня. Для кожного продукту фахівці виконували прості записи. Вони перераховували всі виконувані файли, бібліотеки DLL, драйвера і файли .sys, асоційовані з конкретної програми, а також наявність або відсутність технологій DEP і ASLR. 32-бітові та 64-бітові програми оцінювалися окремо.
Результати тестування варіюються в широкому діапазоні. ESET NOD32 Smart Security виявився єдиним споживчим продуктом зі 100-відсоткових покриттям. Symantec Endpoint Protection став єдиним рішенням корпоративного рівня з повним впровадженням технологій DEP і ALSR. Avira, G Data, McAfee і AVG повністю захищають свої продукт за допомогою технік DEP і ALSR. Проте, покриття 32-бітних версії варіюється в діапазоні від 90 до 100 відсотків.
З протилежного боку підсумкової таблиці розташувався eScan Internet Security з 17,5-процентним покриттям і Kingsoft Antivirus з 19-процентним покриттям. Крім того, Kingsoft не використовує DEP для захисту 64-бітових версій продуктів.
З огляду на, що реалізацію даних захисних механізмів зробити дуже просто на стадії компіляції, дивно, що деякі вендори ігнорують їх. AV-Test отримав численні пояснення з цього приводу. Деякі вендори використовують сторонні бібліотеки, що не були компілювати компанією-розробником. Інші вендори повідомили про використання запатентованих технологій безпеки, які несумісні з DEP і ALSR. А представники деяких компанії пояснили, що певні файли не використовуються активно програмою, тому їх захист необов'язкова.
Захист, Продуктивність, Юзабіліті
Крім звіту про самозахист антивірусів, AV-Test оприлюднила результати останнього тестування захисту, продуктивності і юзабіліті. Результати тестування Ви можете подивитися в таблиці .
Загальна кількість балів, набраних в тестуванні захисту, продуктивності і юзабіліті
Kaspersky Internet Security набрав максимальні 18 балів, повторивши свій минулий результат. Avira Antivirus Pro також приєдналася до Kaspersky і отримала на 1,5 бала більше, ніж минулого разу. Серед падінь можна виділити ZoneAlarm і Vipre, які набрали на 3,5 бала менше, ніж в минулий раунд тестування. ZoneAlarm провалив тест на продуктивність, його показник у випробуванні впав з 6 балів до 2,5. Vipre втратив бали в усіх трьох категоріях оцінки. Підсумковий результат в 8,5 балів не дотягує до порогового значення в 10 балів і не дозволяє продукту пройти сертифікацію.
AV-Test розширює спектр тестувань, проводячи нові випробування, як наприклад, перевірка самозахисту антивірусних продуктів. Отримані дані дозволять вендорам задуматися про впровадження технологій DEP і ALSR. Можливо, існують причини пропустити включення механізмів для певних файлів, але в інших випадках потрібно просто клацнути перемикачем!
Переклад Comss.ru . За матеріалами блогу SecurityWatch
Знайшли друкарську помилку? Виділіть і натисніть Ctrl + Enter
Але наскільки ефективно антивіруси захищають самих себе?