Microsoft verklaart slechte prestaties Security Essentials
Microsoft heeft uitleg gegeven waarom de eigen virusscanner die het gratis aan legitieme Windows-gebruikers geeft, bij een recente anti-virustest zo dramatisch scoorde. Het Duitse onderzoeksbureau AV-Test.org hield onlangs een grote test met 25 virusscanners, waarbij de producten maximaal 18 punten konden scoren. Microsoft kwam niet verder dan 10 punten, te weinig voor een certificering.
Niet alleen viel de score tegen, vooral de detectie van malware liet ernstig te wensen over. In deze categorie kon de virusscanner 6 punten verdienen, maar het kwam niet verder dan 1,5 punt. Daarmee presteerde Security Essentials het slechtst van alle geteste virusscanners.
Gemist
Volgens Microsoft vallen de cijfers mee en zijn die minder erg dan ze op het eerste gezicht lijken. De detectietest bestond uit drie onderdelen; het detecteren van 100 niet eerder waargenomen malware-exemplaren, het detecteren van 216.000 'recente' malware-exemplaren van de laatste 2 a 3 weken en het detecteren van 5.000 algemeen voorkomende malware-exemplaren.
Bij deze laatste categorie miste Microsoft geen enkel exemplaar. Wat betreft de recente malware werd maar liefst 9% gemist. Uit eigen onderzoek van Microsoft blijkt dat 94% van deze gemiste exemplaren nooit tegen Windows-gebruikers is ingezet.
De detectie van 'zero-day' malware verliep nog slechter voor Security Essentials. De virusscanner liet 28 van de 100 malware-exemplaren door. "Toen we de resultaten controleerden, ontdekten we dat voor vier procent van de gemiste exemplaren al signatures waren uitgegeven", zegt Joe Blackbird, Program Manager van het Microsoft Malware Protection Center.
Impact
De gemiste malware-exemplaren zouden 0,003 procent van de Windows-gebruikers hebben getroffen. "Voor de gemiste bestanden gebruikten we een retrospectieve analyse om te zien of onze gebruikers hiermee te maken hadden gekregen. We troffen 2% van deze bestanden bij 0,003% van onze gebruikers aan", aldus Blackbird.
"De overige 94% van de exemplaren komt niet overeen met wat onze gebruikers tegenkomen. Toen we nadrukkelijk naar deze bestanden zochten, konden we ze niet op de machines van onze gebruikers vinden."
Lees ik dit nou goed? Heeft Microsoft alle Windows PC's met Securtiy Essentials doorzocht op bepaalde bestanden?
Als dat echt zo is, dan is dit product zelf het virus. Hebben ze er soms ook botnet functionaliteit ingebouwd?
Bij overige malware testen van de 2 andere grote testorganen (vb100 en av-comparatives) komt mse volgens mij niet zo slecht uit de tests als bij die van av-test.org.
En dan? 100 euro moeten dokken voor dikke software waar ik niet op te wachten sta.
Geef mij maar liever iets wat zijn taak 99% van de gevallen doet en daarmee mijn computer niet zo traag maakt als een slak.
De meeste malware komt toch door je zelf niet door je virusscanner. Dit is puur een beveiliging op je eigen stom doen.
Ik heb al in geen tijden meer een virusmelding gehad.
Als dat echt zo is, dan is dit product zelf het virus. Hebben ze er soms ook botnet functionaliteit ingebouwd?
AVs sturen een vingerafdruk (hash) van een bestand op naar hun data center. Zo bepalen ze hoeveel verschillende mensen bepaalde bestanden hebben. Dit zegt o.a. iets over de reputatie van bestanden, origine (waar komen bestanden het meest voor), etc.
Ook de web browsers Chrome (Safe Browsing), Internet Explorer (SmartScreen), Firefox (Safe Browsing) doen dit om gebruikers te waarschuwen voor nauwelijks in omloop zijnde bestanden. En in Windows 8 zit bestandsreputatie in het OS geïntegreerd.
* Vergelijk nokia, waar ook hele goede mensen werken maar waar innovatie in een product gieten gewoon onmogelijk was, tot aan brandende platformen nog aan toe. Probleempje met de managementscultuur.
Vorig jaar was onder andere nu.nl en facebook.com te klos omdat een van hen adverteerders was gehacked en dingen liep te verspreiden.
Dus het is zeer zeker niet dat je alleen een virus krijgt als je stom doet.
Je kan "bijna" de oceaan over zwemmen, maar als je in de laatste kilometer verzuipt ben je nog steeds dood. Het maakt niet uit hoe ver je gekomen bent, dood is dood. MicroSoft maakt het minste kans om de overkant te halen, als je naar de statistiek kijkt, dus als je moet gaan gokken op antivirussoftware, kan je het beste je inzet verdelen over meerdere andere zwemmers, omdat de kans dat een van hen gaat slagen groter is dan een enkeling. Gokken op zwakke deelnemers is sowieso onhandig, tenzij ze echt andere methodieken gebruiken en daardoor de missers van degenen die goed scoren op kunnen vangen. Ook daar faalt MicroSoft, dus ook dat is geen reden om ze alsnog te gaan gebruiken.
MicroSoft, je bent een slechte verliezer als je met dit soort argumenten je slechte score probeert te verdedigen. Geef gewoon toe dat je nog veel te verbeteren hebt. Nu maak je jezelf alleen maar belachelijk.
Ik zeg niet dat MSE een top product is, want de tests uit het verleden laten zien dat MSE niet tot de top behoord, maar zo slecht als ze nu wordt afgeschilderd is het inderdaad niet. Er is namelijk wel wat te zeggen voor de reactie van Microsoft, al valt er ook voldoende op aan te merken.
Ik wil eigenlijk naar een andere testmethode. Je ziet regelmatig cijfers van de Top-zoveel malware. Waarom worden die cijfers niet gekoppeld aan het op die machine gebruike AV-product? Dat zijn pas nare cijfers waar je wat mee kan. Het is vrij zinloos om een AV-product te testen met exotische malware die in het wild blijkbaar niet los loopt.
Dat is een bewering die Microsoft niet kan doen. Tenzij Microsoft denkt een almachtige te zijn.
Als malware bestaat heeft dat heel waarschijnlijk een doel gehad. Hoe meer slachtoffers, hoe belangrijker de malware, maar dat betekent niet dat malware in lage circulatie onbelangrijk is.
Denk maar eens aan een targeted attacks met exploits. Die zijn belangrijk voor de aangevallenen, meestal ook voor de samenleving vanwege het strategische karakter, maar ook om nieuwe exploits te herkennen en er patches voor te maken.
Veel gebruikers doen dat, en op basis van die gegevens kan Microsoft berekenen in welke mate bepaalde malware daadwerkelijk op Windows systemen voorkomt. En die informatie wordt gebruikt om te bepalen welke malware prioriteit krijgt bij het onderzoek en het maken en distribueren van signatures.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Chief Information Security Officer
Utrecht heeft jou nodig! Als Chief Information Security Officer speel jij een cruciale rol in de bescherming van de digitale informatie van de gemeente Utrecht. Als geen ander weet jij welke dreigingen er zijn en kun je deze vertalen naar risico's die de gemeente en haar inwoners lopen. Solliciteer nu!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
