Антивирусы - выбор, обсуждение, особенности

[Nikol]

Альтернативное голосование : Анти выбор Антивируса

Результаты до сброса (26.11.2007)

Касперский          235         33,6%
Norton Antivirus    152         21,7%
Dr. WEB             107         15,3%
NOD32                82         11,7%
Другой               77         11,0%
Panda Antivirus      30          4,3%
Никакого             17          2,4%
Всего - 700 человек

Просьба воздерживаться от фанатских не аргументированных заявлений (например: "Касперский - рулезз!").

[AlexLob]

Сэмпл - это пример
короче - сам вирус
берешь сам файл вируса (только аккуратно :-)) и идешь с ним на сайт

[Foreigner]

stroom
Я так понял, что именно наличие команд, а не действий... получается ты прав, кардинально не отличается, но что считать кардинальным отличием?...
celsus
Sample - образец, образчик, экземпляр. Его можно отправить на исследование в AVERT (Anti Virus Emergency Response Team) как это сделать здесь: http://vil.nai.com/vil/submit-sample.asp (только для зарегистрированных пользователей) в ответе получишь информацию о файле, а так же метод решения проблемы, если это необходимо.
Только зачем это тебе? Указанная проблема уже решена, просто обнови базу, если до сих пор этого не сделал.

[Spectator-X]

stroom

Цитата

То есть? Ты хочешь сказать, что эвристика анализирует файлы на наличие исполняемых команд?

Сейчас в основном анализируется код. Например, в коде программы такие команды : анализ адресной книги MS Outlook, прикрепление файла Х, отправка письма всем, кто в списке, содержания письма : "Запусти эту программу ,и ты получишь бесплатно видео ХХХ" - проанализировав эти команды, антивирус может отнести программу к червям.

Цитата

Или, что эвристика отслеживает именно сами действия?

В некоторых программах (к примеру, Safe N Sec.) анализируется не код, а действия.

Foreigner

Цитата

Я так понял, что именно наличие команд, а не действий... получается ты прав, кардинально не отличается, но что считать кардинальным отличием?...

В первого метода (поиск по сигнатурам) антивирусные компании анализируют каждый поступивший к ним вирус и создают соответствующую сигнатуру , по которой будет обнаруживаться только этот вирус. + Для каждого вируса создаётся своё "лекарство" . А метод эвристического поиска позволяет определять неизвестные вирусы, сигнатуры которых ещё не были внесены в базу – это и есть кардинальное отличие.

[Foreigner]

Spectator-X
В первом случае описывается конкретный вирус, во втором потенциальный... В первом случае по коду содержащемуся в теле известного вируса, во втором по коду который может содержаться в теле неизвестного вируса... Вот, если анализируются именно действия - это уже кардинальные отличия, а вообще, инфа полезная и давайте не будем цепляться к мелочам. А кстати, какие еще программы анализируют именно действия, и насколько разработчики продвинулись в этом направлении, уже интересно...

[Stroom]

Foreigner солидарен. оставим кардинальность в покое. в общем, остаюсь при мнении, что эвристика и анализ действий ничего общего не имеют.

Цитата (Spectator-X) »

В некоторых программах (к примеру, Safe N Sec.) анализируется не код, а действия

эти некоторые программы уже относятся к классу IPS. Мы тут говорили за эвристику, а это уже совсем другой разговор. Тут их к антивирусам в нашем обычном понимании и не относят (они даже лечить зараженные файлы не умеют), у них всё основано именно на анализе действий и не только вредоносных вирусов, но любых программ (криво сделанных), которые могут нарушить работу системы, даже защищают от неосторожных действий самих пользователей. Термин эвристика в контексте продуктов этого класса уже не употребляется. Кстати, имхо, за такого рода программами будущее
P.S. http://www.spidersash.ru/page.php?id=1 вот первое попавшееся под руку. пункт 6. буду рад, если кто-то еще выложит че-нить про эвристику

[Гхост-цзы]

Цитата (stroom) »

в общем, остаюсь при мнении, что эвристика и анализ действий ничего общего не имеют.

нахрен тогда ссылку выкладываешь, где утверждается обратное

Цитата

буду рад, если кто-то еще выложит че-нить про эвристику

http://www.bytemag.ru/Article.asp?ID=1550

[Spectator-X]

Foreigner
Вы хоть цитируйте слова?
Раз вам не нравится мой язык речи, то вот подтверждение моих же слов : "Он [Эвристический анализатор] анализирует содержимое файла и ищет не сигнатуру, а последовательности операций, типичные для "зверей". Таким образом можно обнаружить "зверей", которые никогда не попадали вирусным аналитикам, и сигнатуры которых не присутствуют в базах антивируса." И где я ошибся ?
Кстати, вот ещё ссылка на вирусную энциклопедию: www.viruslist.ru , там можно найти информацию о различных вирях, классах, технологиях антивирусной защиты.

Цитата (Spectator-X) »

А метод эвристического поиска позволяет определять неизвестные вирусы, сигнатуры которых ещё не были внесены в базу – это и есть кардинальное отличие.

stroom

Цитата (stroom) »

Мы тут говорили за эвристику, а это уже совсем другой разговор.

Извините, ошибся. Просто я с другом разговаривал о поведенческих блокираторах, вот и приплёл Safe N Sec.
Ниже пойдёт фантазия .
Мне, кажется, что если к эвристики прибавить и анализ реальных действий, т.е. поведенческий блокиратор, то получится достаточно эффективный метод. К примеру, программа “windows f*ck” пытается “изнасиловать” MS Outlook – блокируем, дальше анализируем код, видим, что программа собиралась отправить письма всем знакомым с файликом (servak kozel.com), спрашиваем пользователя: “Планируете ли Вы отправлять письмо всем знакомым? С файлом [servak kozel] ” , “Знаком ли вам фаил “servak kozel.com”” (или другие контрольные вопросы), ответы характеризируют “windows f*ck”, как вирус, “гасим”, а лучше карантин, далее запоминаем “конфигурацию”, чтобы в дальнейшем можно было бы легко отсеять “братьев”

Цитата

что эвристика и анализ действий ничего общего не имеют

Не согласен, т.к. анализировать план, по которому что-то будет выполнятся ( в нашей теме - это 100%), это и есть анализировать будущие действия.

P.S. Извините за русский.
P.P.S. Если заметили неточность или ошибку, то обязательно скажите об этом.

[Stroom]

Гхост-цзы сэнкс , ссылка хорошая (по крайней мере много вопросов уже отпало). Вот это я имел ввиду

Цитата

История эвристиков насчитывает два поколения. Первое поколение было впервые внедрено голландской компанией ThunderByte (впоследствии поглощена норвежской компанией Norman Defense Systems). Эти эвристики сканируют код приложения и, обнаружив соответствующий набор команд, считают файл инфицированным.

это цитата с той статейки. Я вишь с очень старой статьи видать читал про первое поколение эвристик, где согласись, она ничем от сигнатурного метода в техническом плане не отличается. Вот, а так называемое второе поколение, впервые с ним только что вкратце ознакомился, действительно

Цитата

Суть алгоритма такова: вирус запускается в безопасной среде, полностью эмулирующей поведение реальной среды (аналог мини-эмулятора процессора и ОС). Далее анализируются действия вируса - его поведение и активность.

я был не прав абсолютно

stroom добавил :

Цитата (Spectator-X) »

P.S. Извините за русский.

да не парься насчет этого. у тебя как раз далеко не самые плохие знания языка.

[Spectator-X]

stroom

Цитата

я был не прав абсолютно

Не совсем, т.к. для Windows систем применяется "статическая" эвристика.

Цитата

Windows-эвристик анализирует лишь код приложения: секции флагов, точку входа и другие параметры.

[Stroom]

Цитата

Поведенческий блокиратор - это резидентная программа, следящая за всеми действиями запущенных приложений и проверяющая их на допустимость

А вот это я имел ввиду, когда говорил про анализ действий. Как видим, это уже к эвристике не принадлежит

stroom добавил :

Цитата (Spectator-X) »

Не совсем, т.к. для Windows систем применяется "статическая" эвристика.

Цитата:

Windows-эвристик анализирует лишь код приложения: секции флагов, точку входа и другие параметры.

А это откуда взято?

stroom добавил :

Цитата (Гхост-цзы) »

нахрен тогда ссылку выкладываешь, где утверждается обратное

Вот цитата из моей ссылки.

Цитата

Он анализирует содержимое файла и ищет не сигнатуру, а последовательности операций, типичные для "зверей"

Что же тут обратное мною сказанному?? ищет последовательности, а как? да так же как сигнатуры, выходит это эвристика первого поколения?! и что-то я опять запутался

stroom добавил :

Spectator-X

Цитата (stroom) »

А это откуда взято?

уже нашел.

[Spectator-X]

stroom
Цитата Ваших слов и цитата из ссылки Гхост-цзы .

Цитата

Он анализирует содержимое файла и ищет не сигнатуру, а последовательности операций, типичные для "зверей"

Ключевое слово. Прочитаёте мой пост на 30й странице. Проще по сигнатурам - это когда нутро вируса совпадает с сигнатурой, а сигнатура соответствует вирусу, как антитело антигену (я даже знаю откуда черпал идею создатель способа ) . А эвристический анализатор анализирует секции флагов, точки входа и другие параметры - на их вирусность.

[Potapicus]

Люди, посоветуйте антивирь для сервера под управлением Win2003 Server EE SP1 плиз!!!!!!!!!!

[Гхост-цзы]

Цитата (Spectator-X) »

Не совсем, т.к. для Windows систем применяется "статическая" эвристика.

Цитата

Windows-эвристик анализирует лишь код приложения: секции флагов, точку входа и другие параметры.

Из той же статьи:

Цитата

Сейчас эвристики первого поколения не используются.

Потому цитата про "Windows-эвристик", возможно, имеет иную трактовку, нежели прямолинейная "статическая эвристика".
С точки зрения формальной логики - для антивируса нет разницы, что запускать в буфере эмуляции - com-файлы или ехе-файлы. Если у него, конечно, имеется эмулятор.

Гхост-цзы добавил :

Цитата (stroom) »

и что-то я опять запутался

немудрено, поскольку тема нетривиальна

[A-Kit]

А как насчет Нортон 2004? у меня есть возможность скачать либо его, либо Панду "Титаниум" v.3. Но про Панду я где-то читала что сильно грузит компьютер. Вообще хотела найти касперского, но здесь почитала и решила что не стоит, что-то его не хвалит никто. Посоветуйте, пожалуйста.

A-Kit добавил :

Упс... прочитала только первую страницу форума, извиняюсь, если не в тему написала.

A-Kit добавил :

У меня Win XP

[andr001]

A-Kit imho касперский покачественнее защищать будет, только систему тормозит - врагу не посоветуешь
нортон пошустрее будет, можно и его... пандой не пользовался - сказать ничего не могу.
сам я сижу с касперским, тяжело, но зато спокойнее както.

[Foreigner]

A-Kit
Из всех антивирусов, что я попробывал, мне Касперский больше всех понравился (ver 5.0.388) Проверяет систему долго - да, но зато качественно, а что Вам важнее скорость или качество решать - Вам. Сечас Касперский не тот что был раньше, в режиме мониторинга новый Касперский систему почти не грузит, если комп достаточно мощный и не заметите, а если слабый во время игр можно и отключить. Norton пробывал 2002 давно было - не понравился, 2004 не пробывал, а вот 2006 - вроде ничего, можно юзать, мой "отчет" на странице 27, про Panda полностью согласен с Varg'ом см. стр 25. Кстати у касперского всегда было больше всех проблем с совместимостью и если все нормольно было у меня, не факт, что так же будет у вас, кроме того, если Вы не собираетесь покупать Касперского, следует иметь ввиду что, защита продуктов Касперского на высоте.
Пока жду Касперского 2006, сижу за AVG - тоже ничего, однако с каждым разом систему проверяет все дольше и дольше... странно, в инете читал про него, что качество защиты на уровне Касперского, однако как то подозрительно молчит, за 2 недели ничего не нашел.

Spectator-X
По поводу эвристика я и не говорил, что Вы не правы...

[Spectator-X]

Potapicus
NOD32 2.50.26 (Administrator Edition). А firewall рекомедую - ZoneAlarm Pro: 6.0.667.000

[WestGott]

A-Kit
По поводу Касперского солидарен с Foreigner.
Систему у меня не тормозит, так как я отрубаю постоянную проверку.
Весь мой основной софт с ним не конфликтует.
А то, что там некоторые игрушки и программы могут конфликтовать, IMHO некритично.

[Bazel]

Spectator-X а не страшно такие проги на сервер-то ставить ?

Цитата (WestGott) »

А то, что там некоторые игрушки и программы могут конфликтовать, IMHO некритично.

Для дома возможно для офиса >10 компов уже сильно критично.

Цитата (WestGott) »

так как я отрубаю постоянную проверку.

а зачем тогда антивирус-пакет вообще ставить ? есть бесплатные/безинтерфейсные лечилки у нортона, у каспера, у макафи... да практически у всех.
чиста крута у меня в сарае подводная лодка смотрится, ну и что, что я посреди сахары сарай поставил ? \m/ \m/

[Foreigner]

Bazel
А зачем Вам постоянный мониторинг, если Вы играете например в Need for speed на локальной машине, не подключенной к сети?