Однак з троянськими програмами, які поширюються не самі по собі, а за допомогою інших програм, у тому числі вірусів та "хробаків", справа йде гірше: якщо сканери McAfee і Norton затримують відповідно 99% і 95% "троянців", то AVG - всього 23,5%, що навряд чи можна вважати достатнім захистом. Крім того, троянські програми не включаються в список WildList, через що за ними важче стежити. Нарешті, дуже бажано, щоб антивірусний сканер не піднімав помилкову тривогу, підозрюючи в наявності вірусу звичайні файли. У цьому сенсі найкраще йдуть справи у PC-cillin, де тест пройшов без помилкових спрацьовувань; на іншому кінці шкали - Eset NOD32 2, з 32 з 20000 файлів. Звичайно, це настільки мало, що навіть не варто перераховувати у відсотках, а й одного такого випадку достатньо, якщо в результаті замість вірусу буде видалено потрібний файл.
Що робити з новими "мікробами"?
У своїй роботі антивірусні сканери спираються в основному на точну відповідність відомим зловмисних програм, сигнатури яких зберігаються в базі даних. Втім, іноді вони "ловлять" і нові віруси, яких а базі немає, використовуючи евристичні алгоритми. Строго кажучи, слово "евристичний" тут означає можливість ідентифікувати невідомий вірус на підставі якихось характерних ознак - наприклад, коду, що використовує відому "діру" в операційній системі або додатку. На практиці в евристичних алгоритмах пошуку вірусів використовуються різні "нечіткі" схеми розпізнавання нових модифікацій вже відомих вірусів з використанням їх спільних ознак - наприклад, знаючи ознаки вірусу Netsky.gen, можна "відловити" його нові варіанти на зразок Netsky.R.
За даними тестів, з розглянутих програм найбільш вдалими евристичний алгоритм володіють McAfee і AVG, що ідентифікують 70,1% і 65,6% файлів, заражених невідомими вірусами; найгірший результат виявився у NOD32 - 41,4%. І в будь-якому випадку, це набагато менше і повільніше, ніж при розпізнаванні відомих вірусів, тому що основним засобом своєчасного лікування, як і раніше залишається регулярне оновлення антивірусних баз.
Всі програми тестувалися в режимі максимально ретельного сканування. Особливий випадок був NOD32: у цій програмі передбачений підвищений у порівнянні з жорстким диском рівень евристичного сканування Advanced Heuristics для електронної пошти та веб-трафіку, цих основних джерел інфекцій. Для сканування жорсткого диска цей режим теж можна використовувати, але не засобами графічного інтерфейсу, а за допомогою недокументовані команди nod32.exe / AH. У режимі Advanced Heuristics якість сканування NOD32 зростає до 53,5%.
На жаль, всі розглянуті антивіруси успішно розпізнають нові інфекції тільки в тому випадку, якщо останні належать до вже відомих на вірусний "домами", але виявляються безсилі при зустрічі з абсолютно новим вірусом. Наприклад, жоден з сканерів не розпізнав хробака Netsky, поки його сигнатура не була внесена до бази даних.
Таким чином, евристичне розпізнавання вірусів, як і раніше ненадійно. Доводиться спиратися на інші рівні захисту, такі як міжмережеві екрани і власний здоровий глузд.
Найбільш зручний сканер
Якби головним в антивірусному сканері було зручність інтерфейсу, то кращим пакетом напевно був би визнаний McAfee. Правда, в іншому у McAfee багато недоліків - наприклад, помилки в сценарії оновлення, в результаті яких програма повідомляє, що сканер вже був оновлений, у той час як насправді це не так.
McAfee, звичайно, не єдиний пакет з "глюками" - хоча їх у нього й багато. Жодна з розглянутих програм не пройшла гладко тест на видалення вірусу CTX, "троянського коня" Optix і хробака Mydoom.A. Найкраще впорався з очищенням комп'ютера PC-cillin - інфекція була повністю знято, а система не пошкоджена. Після спроб McAfee, NOD32 й Panda видалити CTX (безуспішно) система прийшла в непридатність.
Найбільшим недоліком пакету Norton виявилася його повільність. Коли в системі встановлений цей пакет, вона запускається і відключається удвічі повільніше, ніж при використанні Panda або NOD32, вплив яких на швидкодію найменш помітно. Norton повільніше всіх виконує повне сканування жорсткого диска - перевірка диска зі швидкістю обертання 5400 об / хв, дані на якому займають 575 Мб, на комп'ютері з Windows XP, Pentium III 800 МГцб 256 Мб RAM, триває близько 12 хв. Найшвидша з програм огляду, NOD32, виконує цю операцію всього за 52 с. (Щоправда, Norton краще розпізнає віруси.) Наступним за швидкістю після NOD32 був сканер Panda, впорався із завданням трохи більше ніж за 2,5 хв.
Кращим антивірусом огляду був визнаний пакет Trend Micro PC-cillin Internet Security 2004: ця програма відрізняється не тільки якісним скануванням і розумною ціною, але також логічним і зрозумілим інтерфейсом.
Заповнюючи прогалини: програми-антишпигуни
Безперечно, міжмережеві екрани і антивірусні сканери відіграють значну роль у захисті комп'ютерної системи. Однак іноді вони пропускають програми, породжені специфічними попитом, а саме програми-шпигуни. Втім, до цієї категорії входять не тільки звичайні сканери мишки і клавіатури, а й, наприклад, "викрадачі браузера" - рід adware (програм для розповсюдження реклами), завданням якого є зміна записів системного реєстру без відома користувача так, щоб замість звернення до домашньої сторінці або стандартного пошукового сервера (наприклад, при помилковому введенні URL) браузер переходив на сторінку з рекламною інформацією.
Багато такі "викрадачів", звані також програмами примусової завантаження, використовуючи недостатню захист системи, часто самоінсталліруются при відвідуванні веб-сторінки. Наприклад, сумно відома утиліта Surfbar (вона ж Junkbar і Pornbar) використовує той факт, що Internet Explorer допускає завантаження виконуваних файлів на комп'ютер користувача. Потім вона заміняє початкову сторінку браузера на www.surferbar.com, завалює робочий стіл сотнею-другий посилань на порносайти і встановлює панель з ще кількома десятками посилань того ж роду. Інші програми-"викрадачів" питають дозволу на початок роботи, але в такий спосіб, щоб обманом змусити користувача погодитися.
Чисті" програми-шпигуни простежують використання інтернету - здебільшого для того, щоб визначити, які що користувач робить в онлайні, і запропонувати йому відповідну рекламу. Як правило, програми-шпигуни супроводжують умовно-безкоштовні та безкоштовні програми. Часто справжня вартість таких "безкоштовних" програм прихована в їх ліцензійній угоді: не читаючи його, користувач погоджується на віддалений моніторинг свого комп'ютера службами, які збирають маркетингові дані або розсилати спрямовану рекламу. Різні країни зараз розробляють закони проти такої діяльності, проте поки що найкращим захистом є сканери-антишпигуни.
Ми досліджували п'ять спеціальних "антішпіонскіх" пакетів:
Auria Spyware Eliminator,
InterMute SpySubtract Pro 2,
Lavasoft Ad-aware 6 Plus,
Network Associates McAfee AntiSpyware,
Spybot Search & Destroy.
Також були розглянуті можливості по "вилову" програм-шпигунів за допомогою антивірусних сканерів і інших утиліт, що входять до складу таких пакетів:
Network Associates McAfee Internet Security Suite 6,
Panda Platinum Internet Security 3,
Symantec Norton Internet Security 2004,
Trend Micro PC-cillin Internet Security 2004.
На жаль, навіть найкращі з них розпізнають ледь більше половини з усіх запропонованих ним зразків шпигунських утиліт. В даний час найкращою стратегією є використання відразу декількох сканерів.
Сканер Norton ідентифікував лише два із запропонованих семи шпигунських утиліт, PC-cillin і Panda - по одній. При установці антивірусів на вже інфікований комп'ютер був виявлений виконуваний файл, яка породжувала інфекцію Surfbar, але видалити вже встановлену панель посилань і піктограми порносайтів, а також повернути на місце первісну домашню сторінку не вдалося. Утиліта McAfee Privacy Service точно розпізнає спроби змінити реєстр і настійно радить користувачеві не піддаватися на провокації, але не виявляє в оперативній пам'яті процеси, які породжують ці дії. Таким чином, не встигне користувач відбити одну атаку, як накочує наступна, і його життя перетворюється на суцільну низку попереджень і відмов, до тих пір, поки він нарешті не вирішить, що краще один раз інфікувати комп'ютер, ніж постійно відриватися від справ.
На відміну від антивірусів, що виявляють інфіковані шляхом порівняння їх з сигнатурами зловмисних програм з бази даних, антишпигунські сканери спираються головним чином на ключі системного реєстру. Найбільш надійні результати в тестах показали Spybot Search & Destroy і Lavasoft Ad-aware 6 Plus, але Spybot краще видаляв пошкоджені файли і відновлював значення реєстру.
Сканер McAfee AntiSpyware виявив три з семи інфекцій - Gator, Huntbar і MyFast Access, - але повністю видалити зміг тільки дві останні. Слабкіше всіх виявився InterMute SpySubtract Pro 2, який знайшов тільки один зразок програми-шпигуна - широко відому панель Gator.
Хорошу захист у реальному часі забезпечує компонент Ad-watch з Lavasoft Ad-aware 6 Plus. Він перекривав шлях всім "викрадачам браузерів", які намагалися змінити параметри доступу до інтернету. (Щоправда, Ad-watch не входить до розповсюджується безкоштовно спрощену версію Ad-aware.)
На жаль, як з'ясувалося, ні один з протестованих сканерів не забезпечує 100-процентного розпізнавання і видалення інфекції. Найкраще справляються із завданням Spybot Search & Destroy і Lavasoft Ad-aware 6 Plus. У Ad-aware краще організований моніторинг шпигунських утиліт і зручніше інтерфейс, зате Search & Destroy краще знаходить і чистить інфіковані файли.
Висновки
В ідеальному випадку захист від нападів з інтернету не повинна бути багаторівневою. У майже ідеальному випадку можна було б обійтися одним пакетом із забезпечення безпеки або хоча б комплектом програм одного виробника. На жаль, жоден з протестованих пакетів не закриває усі вразливі місця досить надійно. Зокрема, жоден з них не забезпечує надійне виявлення і видалення шпигунських програм.
В цілому, кращим з розглянутих пакетів можна визнати Trend Micro PC-cillin Internet Security 2004 - за кращий антивірусний сканер і один з кращих міжмережевих екранів. У комбінації з безкоштовним Spybot Search & Destroy він забезпечив би достатню безпеку. Для посилення захисту від шпигунських програм можна скористатися Lavasoft Ad-aware 6 Plus (усі три програми добре поєднуються один з одним і працюють без конфліктів). Можливостей брандмауера PC-cillin повинно бути достатньо для більшості користувачів. Якщо ж захочеться чогось міцніше, можна відключити міжмережевий екран PC-cillin і встановити Zone Labs ZoneAlarm Pro 4.5 (наприклад, спрощену безкоштовну версію).