(轉載) 謹慎對待殺毒軟件測評

看著滿天飛的各類殺毒軟件測評,早想寫這樣的文章了,由于比較忙從10月份開始一直斷斷續續地寫.今天終于寫完了
在網上經常可以看到所謂的殺軟的排名,對應的 殺軟後面有個查毒率，而後就是**殺毒軟件是第一等等.
對于普通網民 一般就以這個作為選擇殺軟的標准了.殊不知這類的測評是很片面的.有的甚至是完全錯誤的.
全面評價一個殺毒軟件需要從以下的方面進行測評(排名不分先後)
一 樣本的檢出率以及測試樣本庫的組成
樣本的檢出率是指殺毒軟件發現測試樣本庫中病毒的比例.
測試樣本庫裏面大有文章可作,關鍵是樣本的分布,從社會調查學的角度說,樣本的分布必須是有一個相當大的時間跨度.也就是說樣本的選擇必須從最老的DOS 病毒到最新的病毒全面選擇.中間盡可能地不要出現斷檔.然而如果你不想全面調查的話,在同一時期/種類的病毒中隨機抽樣一定量的病毒來構成你的測評樣本庫

二 樣本的誤報率
似乎現在的公開測評都沒有檢測這項項目,實際上這個非常重要,很多殺軟通過在特征提取上做手腳以誤報率為代價從而提高檢測率.對于這方面,我們在檢測對象中還需要加入一定量的接近病毒的正常程序和其他非病毒程序.

三 樣本的脫殼率
這點沒啥好多說的,對于脫殼要看 普通壓縮殼 還要看驅動殼等等.
還有看的一點是脫殼以後是否出現了無法識別的現象.因為某些殺軟在特征提取的時候定位不准,導致脫殼後出現無法識別的現象

四 樣本感染後的清除率
這點好像很少有人公開測評過,這點分做兩部分
第一部分感染型的病毒
在感染EXE以後殺軟是否能夠修複EXE為標准(如威金等感染後的修複)

第二部分木馬(如灰鴿子)植入能否徹底的清除他,

五 安全公司對樣本的處理速度
隨著木馬/蠕蟲/常規病毒的危害越來越大,安全公司能否對樣本進行快速處理是很關鍵的一步.只有快速的處理才能把病毒的破壞範圍降低到最低.

六 殺毒軟件的自我保護能力
隨著病毒開始具備中止殺毒軟件的能力,殺毒軟件自身的保護至關重要.被破壞了的殺毒軟件等于沒有殺毒軟件.

七 殺毒軟件的文件特征和內存查殺的區別
從目前看,所有的測評僅僅測試了文件特征的查殺,尚未看到內存特征的查殺的測評
文件特征是指這個病毒體無論是運行或尚未運行時候對于病毒的本體(exe/com/pif等)文件進行查殺.內存特征是病毒運行後在內存中的特征.很多病 毒如灰鴿子等殺毒軟件的文件特征無法查殺,但是在植入系統後內存監控會報警.雖然現在有針對內存監控的免殺但是內存特征查殺依舊是評價殺毒軟件好壞的標准 之一.

八 未知病毒的檢出率以及誤報率
對于一些未知病毒殺軟應該具有一定的檢測能力,當然這個檢出率必須和誤報率進行挂鈎.從目前看很多看似有名的殺軟有著極強的未知病毒檢出率
但是是以驚人的誤報為條件.所以這個檢出率必須和誤報率做一個換算.也就是說 檢出率為正 誤報率為負
評分的時候正負相加.

九 特殊的文件檢測
由于某些殺毒軟件漏洞對一些特殊構造的文件查殺的時候會造成崩潰或者死循環的情況.當然這個檢測不是普通的測評機構能夠做的.但是我這裏還是提了一下

十 病毒庫的數量(不含加殼病毒)
一般而言病毒庫越大,查殺的病毒越多 但是這裏的數量加殼病毒不算.

十一 殺毒軟件廠商的監測網的分布以及合作對象的數目實力
殺毒軟件的廠商要想快速獲得最新的病毒需要的是廣泛的檢測網以及與合作夥伴之間的樣本交流.只有第一時間獲得樣本才能第一時間進行處理.

十二 與系統的兼容性/可卸載性
殺毒軟件其代碼要插入系統底層,其穩定性至關重要.這個穩定的標准以完整版的系統為准,各類精簡版的修改版的系統不算.其次殺毒軟件要容易卸載, 卸載後是否殘留在系統或破壞系統的完整性也是評判的重要標准之一.
可能有人又要說你漏了引擎的比較,其實我沒有忘記,第1,2,3,4,6,7,8,9 就是對引擎的檢測

看待已有排名/測評
除了上述測評的十二個方面外,對于外界的排名/測評我們可以這麽對待.
1 不存在檢出率為100%的殺毒軟件,否則要麽就是測評的樣本庫出問題了,要麽這個測評不全面(極高的誤報率)或者出于商業的目的進行虛假的測評.

2 除非殺毒軟件廠商的産品升級換代或采用了新技術否則測評結果並不會有較大的差異.如果沒有增加新的殺毒軟件那麽測評的排名上下浮動不應該超過1名

3 極端的測試沒有必要,也說明不了什麽 比如1000層的壓縮文件 或者加殼1000層的 文件完全不能說明什麽.實際生活中基本沒見 1000層的 壓縮文件,至于1000層殼的程序 估計是沒法運行了.

4 對于加殼的文件的測評要注意 文件有沒有被破壞 一切以 程序是否能夠運行為准.

5 測評過程除了上文的12個方面以外還應匹配相應的圖片進行說明

6 對于不完整的測評不宜作為選擇殺毒軟件的標准.

本文到此就結束了,希望大家以後能夠正確地對待測評和正確地選擇殺毒軟件.
本文作者:taylor0577---------轉自:杭州市志願者論壇