DATA DA PUBLICAÇÃO 03/11/2009 | Informática
Especialista diz que testes de antivírus no mundo estão mudando
O antivírus é um software básico na proteção do PC. Escolher o programa adequado é uma tarefa difícil e, para nos ajudar no processo de seleção, surgiram testes de revista e laboratórios especializados na tarefa de avaliar a qualidade destes produtos. No entanto, como testar um antivírus de tal maneira que seu real desempenho esteja sendo considerado? Essa dúvida, somada à mudança constante nas ameaças e na criação de novas tecnologias para remover as pragas digitais mais sofisticadas, gera desafios na elaboração de uma metodologia de teste que consiga apontar qual é o melhor antivírus.
A coluna de hoje explica como são realizados os testes de antivírus e expõe as principais dificuldades e desafios na realização dos mesmos com o objetivo de facilitar a análise da validade de um teste na escolha de um bom produto.
Se você tem alguma dúvida sobre segurança da informação (antivírus, invasões, cibercrime, roubo de dados, etc), vá até o fim da reportagem e utilize a seção de comentários. A coluna responde perguntas deixadas por leitores todas as quartas-feiras.
>>>Não existe um banco de dados com todos os vírus
Para testar um antivírus, é necessário fazê-lo analisar uma coleção de pragas digitais com o recurso de exame sob demanda. A partir disso, é possível saber quantos vírus o software detecta e quantos ele deixa passar. Essa é a essência dos testes de antivírus.
Testes sem qualidade usam coleções pequenas de vírus – 50 mil ou menos. Os melhores usam de 500 mil a um milhão de diferentes de códigos maliciosos para testar o desempenho dos softwares, tanto na velocidade do exame como na capacidade do programa em detectar os vírus.
O problema com isso é que a coleção de códigos maliciosos utilizada, independentemente do seu tamanho, não conta com 100% dos vírus existentes. A coleção é composta por aquilo que o próprio laboratório conseguiu coletar. Assim como alguns dos vírus usados no teste podem não ser detectados por antivírus, pode haver vírus que os antivírus detectam, mas que não são testados.
Em outras palavras, os resultados podem ser tanto favoráveis ou desfavoráveis, injustamente, com os softwares. Com um volume suficientemente grande de pragas, a margem deve ser mínima a ponto de tornar-se insignificante. Mas ela ainda existe.
>>>Não há método pronto para avaliar novas tecnologias de proteção
A proteção com base no bloqueio de comportamento, cada vez mais comum nos antivírus, é um dos problemas para os testadores. Os vírus precisam estar em execução para que o antivírus consiga detectá-lo por meio desse recurso – e não é fácil executar cada praga digital e esperar pelo comportamento que poderia fazer o antivírus indicar o problema.
Peter Stelzhammer, do laboratório austríaco de testes AV-Comparatives, explica que a solução está no desenvolvimento de um sistema que automatize parte do processo de análise. “O teste dos recursos de comportamento requer muita atenção individual. Não é possível testar uma quantidade estatisticamente significativa de amostras manualmente. Nós estamos desenvolvendo um sistema que faz o trabalho automaticamente, necessitando apenas de supervisão humana”, explica.
O especialista ainda cita outras questões. “Os testes estão mudando completamente. Os códigos maliciosos estão mais agressivos e o principal vetor de infecção agora é a web. Sites infectados e antivírus fraudulentos estão ficando comuns. Então, as melhorias dependem de uma proteção completa, e não apenas no exame sob demanda realizado nos testes, embora ele ainda seja necessário”, diz Stelzhammer.
Em outras palavras, os testes terão de considerar as funções de proteção preventiva dos softwares. Esses recursos buscam proteger o internauta contra ataques específicos na web, por exemplo. Um vírus pode ser “perdoado” por não detectar um vírus que jamais teria infectado o computador graças aos seus outros recursos de segurança.
Se vários testes antivírus pecam por não contar com nenhuma verificação na taxa de falsos positivos de um antivírus, ou seja, identificar quantos arquivos legítimos o produto classifica erroneamente como maliciosos, novas proteções baseadas em “whitelisting” (“listagem branca”) pioram ainda mais o problema.
Em listagem branca, os antivírus mantêm, além das informações necessárias para detectar vírus, um banco de dados com programas legítimos. Com isso, evitam-se falsos positivos e também se acelera a análise dos arquivos. No entanto, esse recurso também pode apresentar falsos positivos e outros problemas.
>>> Ameaças localizadas podem tornar índices globais menos relevantes
Os ataques das pragas digitais estão cada vez mais localizados. No Brasil, por exemplo, os vírus mais comuns são os cavalos de troia “Banker”, responsáveis pelo roubo de credenciais de acesso ao internet banking. Mesmo quando há roubo de senhas bancárias em outros países, os vírus usados são outros, sem relação com os brasileiros. Da mesma forma, na China, existem mais ladrões de senhas de jogos on-line.
Embora os brasileiros estejam correndo muito mais risco de serem infectados por vírus de seu País, assim como os chineses serão alvo das pragas de lá, os testes antivírus limitam-se a uma realidade “global”. Tal realidade simplesmente não existe atualmente, a não ser que o usuário visite sites do mundo todo regularmente. Alguns antivírus são notoriamente melhores em detectar vírus de um ou de outro país, e isso não aparece nos testes.
Stelzhammer acredita que o índice global ainda é o mais relevante, mas não discorda que a localização das ameaças é uma tendência. “Todo dia nós capturamos mais de 40 mil amostras de vírus a partir dos nossos sistemas no mundo todo e, sim, é possível descobrir sua localização. Mas apenas um vírus que conseguir chegar ao seu PC, de qualquer lugar mundo, pode matar o seu sistema. Eu prefiro uma detecção global”.
Com todos esses fatores, testes de qualidade são raros. Segundo o especialista da AV-Comparatives, há apenas “três ou quatro outros laboratórios no mundo que realizam bons testes”. Os resultados dos testes realizados pela AV-Comparatives podem ser obtidos no site oficial do laboratório.
A coluna Segurança para o PC – que reconhece os desafios de testes antivírus e a necessidade de uma infraestrutura específica para a tarefa, e que, por isso, não publica testes – recomenda que a metodologia destas análises seja avaliada para verificar se ela dá conta de todos esses problemas. O importante é saber identificar se os testadores consideraram cada um desses aspectos para que o resultado reflita o desempenho real do produto.
Uma organização foi criada especificamente para auxiliar na elaboração de metodologistas de teste justas, a Anti-Malware Testing Standards Organization (AMTSO). Ela é formada por desenvolvedores de antivírus e laboratórios de testes. A última reunião do grupo se deu em maio de 2009, quando regras para a avaliação de tecnologias de antivírus nas “nuvens” – outro desafio – foram publicadas.
Por hoje é só. Volto na quarta-feira (4) com o pacotão de respostas, tratando das perguntas deixadas pelos leitores na área de comentários da coluna. Se você tem alguma dúvida, sugestão de pauta ou crítica, escreva na área de comentários, logo abaixo. Até a próxima!
* Altieres Rohr é especialista em segurança de computadores e, nesta coluna, vai responder dúvidas, explicar conceitos e dar dicas e esclarecimentos sobre antivírus, firewalls, crimes virtuais, proteção de dados e outros. Ele criou e edita o Linha Defensiva, site e fórum de segurança que oferece um serviço gratuito de remoção de pragas digitais, entre outras atividades. Na coluna “Segurança para o PC”, o especialista também vai tirar dúvidas deixadas pelos leitores na seção de comentários. Acompanhe também o Twitter da coluna, na página http://twitter.com/g1seguranca.
A coluna de hoje explica como são realizados os testes de antivírus e expõe as principais dificuldades e desafios na realização dos mesmos com o objetivo de facilitar a análise da validade de um teste na escolha de um bom produto.
Se você tem alguma dúvida sobre segurança da informação (antivírus, invasões, cibercrime, roubo de dados, etc), vá até o fim da reportagem e utilize a seção de comentários. A coluna responde perguntas deixadas por leitores todas as quartas-feiras.
>>>Não existe um banco de dados com todos os vírus
Para testar um antivírus, é necessário fazê-lo analisar uma coleção de pragas digitais com o recurso de exame sob demanda. A partir disso, é possível saber quantos vírus o software detecta e quantos ele deixa passar. Essa é a essência dos testes de antivírus.
Testes sem qualidade usam coleções pequenas de vírus – 50 mil ou menos. Os melhores usam de 500 mil a um milhão de diferentes de códigos maliciosos para testar o desempenho dos softwares, tanto na velocidade do exame como na capacidade do programa em detectar os vírus.
O problema com isso é que a coleção de códigos maliciosos utilizada, independentemente do seu tamanho, não conta com 100% dos vírus existentes. A coleção é composta por aquilo que o próprio laboratório conseguiu coletar. Assim como alguns dos vírus usados no teste podem não ser detectados por antivírus, pode haver vírus que os antivírus detectam, mas que não são testados.
Em outras palavras, os resultados podem ser tanto favoráveis ou desfavoráveis, injustamente, com os softwares. Com um volume suficientemente grande de pragas, a margem deve ser mínima a ponto de tornar-se insignificante. Mas ela ainda existe.
>>>Não há método pronto para avaliar novas tecnologias de proteção
A proteção com base no bloqueio de comportamento, cada vez mais comum nos antivírus, é um dos problemas para os testadores. Os vírus precisam estar em execução para que o antivírus consiga detectá-lo por meio desse recurso – e não é fácil executar cada praga digital e esperar pelo comportamento que poderia fazer o antivírus indicar o problema.
Peter Stelzhammer, do laboratório austríaco de testes AV-Comparatives, explica que a solução está no desenvolvimento de um sistema que automatize parte do processo de análise. “O teste dos recursos de comportamento requer muita atenção individual. Não é possível testar uma quantidade estatisticamente significativa de amostras manualmente. Nós estamos desenvolvendo um sistema que faz o trabalho automaticamente, necessitando apenas de supervisão humana”, explica.
O especialista ainda cita outras questões. “Os testes estão mudando completamente. Os códigos maliciosos estão mais agressivos e o principal vetor de infecção agora é a web. Sites infectados e antivírus fraudulentos estão ficando comuns. Então, as melhorias dependem de uma proteção completa, e não apenas no exame sob demanda realizado nos testes, embora ele ainda seja necessário”, diz Stelzhammer.
Em outras palavras, os testes terão de considerar as funções de proteção preventiva dos softwares. Esses recursos buscam proteger o internauta contra ataques específicos na web, por exemplo. Um vírus pode ser “perdoado” por não detectar um vírus que jamais teria infectado o computador graças aos seus outros recursos de segurança.
Se vários testes antivírus pecam por não contar com nenhuma verificação na taxa de falsos positivos de um antivírus, ou seja, identificar quantos arquivos legítimos o produto classifica erroneamente como maliciosos, novas proteções baseadas em “whitelisting” (“listagem branca”) pioram ainda mais o problema.
Em listagem branca, os antivírus mantêm, além das informações necessárias para detectar vírus, um banco de dados com programas legítimos. Com isso, evitam-se falsos positivos e também se acelera a análise dos arquivos. No entanto, esse recurso também pode apresentar falsos positivos e outros problemas.
>>> Ameaças localizadas podem tornar índices globais menos relevantes
Os ataques das pragas digitais estão cada vez mais localizados. No Brasil, por exemplo, os vírus mais comuns são os cavalos de troia “Banker”, responsáveis pelo roubo de credenciais de acesso ao internet banking. Mesmo quando há roubo de senhas bancárias em outros países, os vírus usados são outros, sem relação com os brasileiros. Da mesma forma, na China, existem mais ladrões de senhas de jogos on-line.
Embora os brasileiros estejam correndo muito mais risco de serem infectados por vírus de seu País, assim como os chineses serão alvo das pragas de lá, os testes antivírus limitam-se a uma realidade “global”. Tal realidade simplesmente não existe atualmente, a não ser que o usuário visite sites do mundo todo regularmente. Alguns antivírus são notoriamente melhores em detectar vírus de um ou de outro país, e isso não aparece nos testes.
Stelzhammer acredita que o índice global ainda é o mais relevante, mas não discorda que a localização das ameaças é uma tendência. “Todo dia nós capturamos mais de 40 mil amostras de vírus a partir dos nossos sistemas no mundo todo e, sim, é possível descobrir sua localização. Mas apenas um vírus que conseguir chegar ao seu PC, de qualquer lugar mundo, pode matar o seu sistema. Eu prefiro uma detecção global”.
Com todos esses fatores, testes de qualidade são raros. Segundo o especialista da AV-Comparatives, há apenas “três ou quatro outros laboratórios no mundo que realizam bons testes”. Os resultados dos testes realizados pela AV-Comparatives podem ser obtidos no site oficial do laboratório.
A coluna Segurança para o PC – que reconhece os desafios de testes antivírus e a necessidade de uma infraestrutura específica para a tarefa, e que, por isso, não publica testes – recomenda que a metodologia destas análises seja avaliada para verificar se ela dá conta de todos esses problemas. O importante é saber identificar se os testadores consideraram cada um desses aspectos para que o resultado reflita o desempenho real do produto.
Uma organização foi criada especificamente para auxiliar na elaboração de metodologistas de teste justas, a Anti-Malware Testing Standards Organization (AMTSO). Ela é formada por desenvolvedores de antivírus e laboratórios de testes. A última reunião do grupo se deu em maio de 2009, quando regras para a avaliação de tecnologias de antivírus nas “nuvens” – outro desafio – foram publicadas.
Por hoje é só. Volto na quarta-feira (4) com o pacotão de respostas, tratando das perguntas deixadas pelos leitores na área de comentários da coluna. Se você tem alguma dúvida, sugestão de pauta ou crítica, escreva na área de comentários, logo abaixo. Até a próxima!
* Altieres Rohr é especialista em segurança de computadores e, nesta coluna, vai responder dúvidas, explicar conceitos e dar dicas e esclarecimentos sobre antivírus, firewalls, crimes virtuais, proteção de dados e outros. Ele criou e edita o Linha Defensiva, site e fórum de segurança que oferece um serviço gratuito de remoção de pragas digitais, entre outras atividades. Na coluna “Segurança para o PC”, o especialista também vai tirar dúvidas deixadas pelos leitores na seção de comentários. Acompanhe também o Twitter da coluna, na página http://twitter.com/g1seguranca.
Assine nosso Feed RSSAs últimas | Informática
19/09/2018 | Grupo Renault Nissan terá sistema operacional Android em seus carros
18/09/2018 | A corrida para a criação do computador mais poderoso da história
11/06/2018 | Google tira ovos de emoji de salada para agradar veganos
As mais lidas de Informática
Relação não gerada ainda
As mais lidas no Geral
Relação não gerada ainda