Сканеры также делятся на «резидентные» (мониторы, сторожа), производящие сканирование «налету», и «нерезидентные», обеспечивающие проверку системы только по запросу. Как правило, «резидентные» сканеры обеспечивают более надежную защиту системы, поскольку они немедленно реагируют на появление вируса, в то время как «нерезидентный» сканер способен опознать вирус только во время своего очередного запуска. С другой стороны резидентный сканер может несколько замедлить работу компьютера в том числе и из-за возможных ложных срабатываний.
К достоинствам сканеров всех типов относится их универсальность, к недостаткам – относительно небольшую скорость поиска вирусов.
Блокировщики. Блокировщики – это резидентные программы, перехватывающие «вирусо-опасные» ситуации и сообщающие об этом пользователю. К «вирусо-опасным» относятся вызовы на открытие для записи в выполняемые файлы, запись в boot-сектора дисков или MBR винчестера, попытки программ остаться резидентно и так далее, то есть вызовы, которые характерны для вирусов в моменты из размножения. Иногда некоторые функции блокировщиков реализованы в резидентных сканерах.
К достоинствам блокировщиков относится их способность обнаруживать и останавливать вирус на самой ранней стадии его размножения. К недостаткам относятся существование путей обхода защиты блокировщиков и большое количество ложных срабатываний.
Необходимо также отметить такое направление антивирусных средств, как антивирусные блокировщики, выполненные в виде аппаратных компонентов компьютера. Наиболее распространенной является встроенная в BIOS защита от записи в MBR винчестера. Однако, как и в случае с программными блокировщиками, такую защиту легко обойти прямой записью в порты контроллера диска, а запуск DOS-утилиты FDISK немедленно вызывает «ложное срабатывание» защиты.
Существует несколько более универсальных аппаратных блокировщиков, но к перечисленным выше недостаткам добавляются также проблемы совместимости со стандартными конфигурациями компьютеров и сложности при их установке и настройке. Все это делает аппаратные блокировщики крайне непопулярными на фоне остальных типов антивирусной защиты.
2.4 Сравнение антивирусных пакетов
Вне зависимости от того, какую информационную систему нужно защищать, наиболее важный параметр при сравнении антивирусов – способность обнаруживать вирусы и другие вредоносные программы.
Однако этот параметр хотя и важный, но далеко не единственный.
Дело в том, что эффективность системы антивирусной защиты зависит не только от ее способности обнаруживать и нейтрализовать вирусы, но и от множества других факторов.
Антивирус должен быть удобным в работе, не отвлекая пользователя компьютера от выполнения его прямых обязанностей. Если антивирус будет раздражать пользователя настойчивыми просьбами и сообщениями, рано или поздно он будет отключен. Интерфейс антивируса должен быть дружественным и понятным, так как далеко не все пользователи обладают большим опытом работы с компьютерными программами. Не разобравшись со смыслом появившегося на экране сообщения, можно невольно допустить вирусное заражение даже при установленном антивирусе.
Наиболее удобен режим антивирусной защиты, когда проверке подвергаются все открываемые файлы. Если антивирус не способен работать в таком режиме, пользователю придется для обнаружения вновь появившихся вирусов каждый день запускать сканирование всех дисков. На эту процедуру могут уйти десятки минут или даже часы, если речь идет о дисках большого объема, установленных, например, на сервере.
Так как новые вирусы появляются каждый день, необходимо периодически обновлять базу данных антивируса. В противном случае эффективность антивирусной защиты будет очень низкой. Современные антивирусы после соответствующей настройки могут автоматически обновлять антивирусные базы данных через Интернет, не отвлекая пользователей и администраторов на выполнение этой рутинной работы.
При защите крупной корпоративной сети на передний план выдвигается такой параметр сравнения антивирусов, как наличие сетевого центра управления. Если корпоративная сеть объединяет сотни и тысячи рабочих станций, десятки и сотни серверов, то без сетевого центра управления эффективную антивирусную защиту организовать практически невозможно. Один или несколько системных администраторов не смогут обойти все рабочие станции и серверы, установив на них и настроив антивирусные программы. Здесь необходимы технологии, допускающие централизованную установку и настройку антивирусов на все компьютеры корпоративной сети.
Защита узлов Интернета, таких как почтовые серверы, и серверов служб обмена сообщениями требует применения специализированных антивирусных средств. Обычные антивирусы, предназначенные для проверки файлов, не смогут найти вредоносный программный код в базах данных серверов обмена сообщениями или в потоке данных, проходящих через почтовые серверы.
Обычно при сравнении антивирусных средств учитывают и другие факторы. Государственные учреждения могут при прочих равных условиях предпочесть антивирусы отечественного производства, имеющие все необходимые сертификаты. Немалую роль играет и репутация, полученная тем или иным антивирусным средством среди пользователей компьютеров и системных администраторов. Немалую роль при выборе могут играть и личные предпочтения.
Для доказательства преимуществ своих продуктов разработчики антивирусов часто используют результаты независимых тестов. При этом пользователи зачастую не понимают, что конкретно и каким образом проверялось в данном тесте.
В данной работе сравнительному анализу подверглись наиболее популярные на данный момент антивирусные программы, а именно: Антивирус Касперского, Symantec/Norton, Доктор Веб, Eset Nod32, Trend Micro, McAfee, Panda, Sophos, BitDefender, F-Secure, Avira, Avast!, AVG, Microsoft.
Одним из первых тестировать антивирусные продукты начал британский журнал Virus Bulletin. Первые тесты, опубликованные на их сайте, относятся к 1998 году. Основу теста составляет коллекция вредоносных программ WildList. Для успешного прохождения теста необходимо выявить все вирусы этой коллекции и продемонстрировать нулевой уровень ложных срабатываний на коллекции «чистых» файлов журнала. Тестирование проводится несколько раз в год на различных операционных системах; успешно прошедшие тест продукты получают награду VB100%. На рисунке 1 отражено, сколько наград VB100% было получено продуктами различных антивирусных компаний.
Безусловно, журнал Virus Bulletin можно назвать старейшим антивирусным тестером, но статус патриарха не избавляет его от критики антивирусного сообщества. Во-первых, WildList включает в себя только вирусы и черви и только для платформы Windows. Во-вторых, коллекция WildList содержит небольшое число вредоносных программ и очень медленно пополняется: за месяц в коллекции появляется всего несколько десятков новых вирусов, тогда как, например, коллекция AV-Test за это время пополняется несколькими десятками или даже сотнями тысяч экземпляров вредоносного программного обеспечения.
Все это говорит о том, что в настоящем своем виде коллекция WildList морально устарела и не отражает реальной ситуации с вирусами в сети Интернет. В результате тесты, основанные на коллекции WildList, становятся все более бессмысленными. Они хороши для рекламы продуктов, которые их прошли, но реально качество антивирусной защиты они не отражают.