› 看板 AntiVirus 關於我們 聯絡資訊
作者YuQilin (神獸)
看板AntiVirus
標題Re: [情報] WanaCrypt0r勒索病毒：19款防毒主防測試
時間Sun May 14 20:47:50 2017
比特前一陣子被Cerber的變種虐得不要不要的, 當時每隔幾天就出一個變種,每一個變種都過比特的預設主防. 主防調到最高可以擋住幾個變種,但是有些變種即使擋住, 還是有部分檔案被加密,比特的主防沒有回滾, 不能復原這些檔案. 當時弄得很多人對比特都失去信心了. 這個測試的作者也承認測試有侷限性, 有些防毒的主防是和雲端連動的,例如sonar, 斷網等於主防就廢了,所以根本測不出這種主防的能力, 可是不斷網測又沒辦法單獨測主防, 所以無奈之下只好這樣測,但是這樣測試的結果就不一定能反應真實的情況. 而且防毒的防護能力不是只有主防,而是一個整體, 例如這次的wannacry是由port445利用SMB的漏洞入侵進來的, 沒有SMB的漏洞入侵就沒有後續的感染, 有些防毒的防火牆預設就阻擋外網的445連入, 有些防毒有入侵預防,早就有SMB漏洞入侵的特徵庫, 即使作業統沒有打補丁,入侵預防/防火牆也能先一步阻擋. 所以即使後面的主防沒能測出來,也一點都不重要, 因為真實使用情況,wannacry根本無法主動進來. 有的防毒雖然預設沒有防火牆阻擋,但是有很強大的雲端鑑識, 雖然是未見過的病毒,但是可以由雲端評估先行判斷阻擋. 有些防毒就算防火牆都關了,而且雲端鑑識不突出, 病毒庫更新速度更是緩慢,別人都入庫十幾天了防毒還是掃不出來, 即使看起來這麼恐怖,wannacry還是無法破壞這個系統, 因為這個防毒有強大的自動沙盒系統, 而且別人家不能防的, 這個測起來最差的防毒運用自動沙盒還通通都能防, 幾乎不會失守. 這個測試可以告訴我們,在半年前的時候, 各家主防對於wannacry的主動防禦成果, 但這是半年前的結果,經過了半年,各家主防更新以後結果是否再有變化, 我們不得而知,而且有些主防斷網後完全無法測試出實力, 所以這些主防到底能不能攔下,我們也不得而知. 我並不是要說比特不好,事實上比特是最好的幾個防毒之一, 真的是最好的選擇之一,這篇回文的主要目的是要釐清測試的侷限性, 理解和如何運用從這個測試中獲得的資訊. -- ※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 61.219.36.56 ※ 文章網址: https://www.ptt.cc/bbs/AntiVirus/M.1494766072.A.730.html
→ sa12e3: https://www.youtube.com/watch?v=uVLDIynuaL4 05/14 20:49
→ gwofeng: 上面是自動回文機器人了吧 05/14 20:51
→ gwofeng: 一直貼很妨礙閱讀耶 05/14 20:52
推 fcshden: 推 05/14 20:52
推 winddriver: 借文問一下 win7關掉SMB之後 還有需要關掉445嗎 05/14 20:54
→ gwofeng: 其實卡巴也是對Cerber猛變種沒轍 05/14 20:55
→ sa12e3: 此風不可長 速速解毒重要 希望大家不要因此煩惱>< 05/14 20:59
噓 xiaoyao: 講那麼多 05/14 20:59
→ shyangs: 你用哪一款 05/14 20:59
→ xiaoyao: 跟防火牆阻擋445 Port無關吧 05/14 21:00
→ xiaoyao: 原測試是直接運行樣本，不是用漏洞系統讓Port445 開給勒 05/14 21:02
→ xiaoyao: 索溜進來 05/14 21:02
→ gwofeng: 這隻毒就是445Port進來的 05/14 21:02
→ smtp: 沒中過毒的軟體就一直用下去,應該探討有裝的情況哪些還中招. 05/14 21:03
→ smtp: 我7年多前裝Avira, 中了別隻病毒, 之後換Avast就沒再中過毒. 05/14 21:04
推 xiaoyao: 我知道是Port445，問題是中國網友是拿樣本運行 05/14 21:04
→ xiaoyao: 你要不要看清楚XD 05/14 21:05
→ gwofeng: 他意思是實際上有防火牆的防毒，可能就直接擋門外了 05/14 21:06
推 iWRZ: 沒裝防毒軟體的路過 05/14 21:06
→ gwofeng: 用不到主防 05/14 21:06
→ Shissoufubi: 原PO是在講跟實際情況的差異，你沒看懂原PO的意思吧? 05/14 21:06
推 xiaoyao: 虛擬機+斷網 是要怎麼靠防火牆 擋......都沒網路了耶XDD 05/14 21:08
→ YuQilin: @xiaoyao 你可能看太快沒有看清楚我的意思 05/14 21:20
→ YuQilin: 我知道作者是直接拿sample測試的 05/14 21:20
→ YuQilin: 我的意思是防毒是一個整體 能抵禦病毒的不是只有主防 05/14 21:21
→ YuQilin: 有些防毒主防弱但靠其他防禦方法仍然可以檔下病毒 05/14 21:21
→ YuQilin: 這個測試的重點只在主防 而且有些主防斷網下無法測 05/14 21:21
→ YuQilin: 所以測試有侷限性 不是代表「真實的使用情況」 05/14 21:21
→ YuQilin: 研究防毒的人從這個測試可以得知半年前「部分」主防 05/14 21:21
→ YuQilin: 對於wannacry的防禦效果 05/14 21:21
→ YuQilin: 但是一般人無法運用這個測試來判斷 05/14 21:22
→ YuQilin: 這些防毒究竟能不能檔下未知的病毒 並以此來選擇防毒 05/14 21:22
推 xiaoyao: 本來就無法面面俱到 05/14 21:22
→ YuQilin: 測試有侷限性 我想說的重點是這個 05/14 21:22
推 peatle: 可是很多人是用基本防毒沒有帶防火牆的耶 05/14 21:22
→ xiaoyao: 斷網+舊病毒碼 已經很嚴苛測試了 05/14 21:24
推 HowLeeHi: 這篇要講的是不能只單靠有沒有偵測到病毒來判斷防毒能力 05/14 21:24
→ HowLeeHi: 有些AV雖然沒有pattern,但是用其它方法一樣保護系統安全 05/14 21:25
推 xiaoyao: 原測試就是在講不用病毒碼 也能靠行為分析啟發攔截 05/14 21:26
→ xiaoyao: BD 卡巴 F-Secure 斷網都能攔了，連網更新病毒碼更能抵 05/14 21:29
→ xiaoyao: 禦更多惡意病毒，不是嗎？ 05/14 21:29
→ YuQilin: 我知道 測試本來就不能面面俱到 05/14 21:31
→ YuQilin: 我不是在貶抑這個測試的價值 05/14 21:31
→ YuQilin: 這個測試對我來說非常的有趣 沒有人花時間去測 05/14 21:31
→ YuQilin: 我根本不會知道半年前主防對於wannacry的行為 05/14 21:31
→ YuQilin: 會做出怎麼樣的判斷 我想說的只是 05/14 21:32
→ YuQilin: 測試有侷限性 有適用的範圍 不一定能反應真實情況 05/14 21:32
→ YuQilin: 一般人不能看了少數的測試 就以此判斷防毒的防禦效果 05/14 21:32
推 xiaoyao: BD 卡巴 已經是AV 測試多年常勝軍了耶 05/14 21:34
→ xiaoyao: 少數測試？科科 ...多去卡飯論壇逛逛吧XDD 05/14 21:35
推 xiaoyao: 板上很多測試文章，甚至是專業評測機構...... 05/14 21:38
推 xiaoyao: 我怎麼沒看到你出來反應：無法反應真實情況呢？ 05/14 21:40
我覺得你真的是誤解我的意思了 我本文裡都寫了「BD絕對是最好的防毒之一」 你以為我是在說客套話嗎XD 真的就是最好的啊 雖然我舉了BD前陣子被Cerber變種過的例子 但那是在舉反面的例子 要說明任何防毒都有被過的時候 如果長時間觀察樣本測試 會發現不論再強的防毒 都會有失守的時候 所以我們不能僅從一個二個的單一測試 或者是少數幾個測試 就結論真實世界裡 防毒對未知威脅的防禦能力 尤其是當測試有很大的侷限性的時候 即使是各家機構的測試 短時間的成績也經常有變動 又例如因為測試方法的因素 comodo在圖表上的成績看起來都不太好 但真實情況卻可以抵禦大多數病毒 如果只看圖表而沒有閱讀測試說明 會誤以為comodo無法很好的防禦病毒 所以我想說明的是這篇測試的侷限性 以及要如何看待和運用這篇測試的結果 你可能誤會我是在否定測試裡防禦成功的BD、卡巴這些防毒 所以沒有看清楚我本文裡所想表達的意思
噓 f59952: 1F ... 05/14 21:52
→ f59952: 你好歹發個文說明啊 只貼網址跟散佈的人有啥差別 05/14 21:55
推 nk950357: 不是阿我說 人家開頭就寫說測試主防了 05/14 21:59
※ 編輯: YuQilin (61.219.36.56), 05/14/2017 22:02:31
噓 xiaoyao: 人家說測試主防了，你在那邊扯防火牆 05/14 22:05
→ xiaoyao: 斷網測試 是跟 防火牆擋 wannacry 入侵Port445 有何關？ 05/14 22:07
推 smtp: 秀才遇到兵, 辛苦原po了, 無視就好...XD 05/14 22:10
推 xiaoyao: 有效文章一篇......嗯嗯 算我浪費時間 05/14 22:10
推 xiaoyao: 某人快移除Avast 改裝BD哦...嘻嘻 05/14 22:14
→ Azrael: 呃，原po一直都知道這是在測試主防吧= = 05/14 22:15
→ gwofeng: 嘻嘻嘻嘻嘻嘻 金價歡納尼 05/14 22:16
推 xiaoyao: #19qsbCs6 (AntiVirus) 05/14 22:19
→ xiaoyao: 科科呢XD 05/14 22:20
推 gwofeng: 科科耶 你怎不問版主當天怎沒刪我文去檢舉阿 05/14 22:21
→ Azrael: 都提到卡飯了，怎不提提AV-C真實世界測試和3月的惡意軟體 05/14 22:21
→ Azrael: 測試呢 05/14 22:21
推 xiaoyao: 這麼有水準的文章，怎麼敢檢舉呢？科科 05/14 22:22
→ smtp: 等我Avast中毒再換BD,目前用7年沒中過,免費+不吃資源. 05/14 22:23
→ xiaoyao: 推 xiaoyao: 板上很多測試文章，甚至是專業評測機構.... 05/14 22:23
→ xiaoyao: ..有啊，怎麼沒有，要每家點名嗎？ 05/14 22:23
推 gwofeng: 當天防毒版是什麼情況 八卦板來的科科怎可能知道呢科科 05/14 22:24
→ xiaoyao: 我的電腦中了BBS病毒了XDDDD 05/14 22:25
→ xiaoyao: 勒索病毒輸慘慘 05/14 22:26
→ smtp: 我挑防毒先考慮免費,其次不吃資源,然後有效,Avast都符合 05/14 22:29
推 pop0311: Avast好用+1，本來也有考慮加裝bitdefend，但要裝一定要 05/14 22:33
→ gwofeng: #19qkqVia 當天本版還放卡卡獸出來惡搞 05/14 22:33
→ pop0311: 移除Avast，而且試用期只有30天，所以還是用avast好了 05/14 22:33
→ gwofeng: 又不是有病整天科科嘻嘻又XDDD 看不懂文章算了還一堆毛 05/14 22:34
推 xiaoyao: 原來是八卦板來的啊XDD Google能力有待加強。 05/14 22:39
推 miamodo: 只是1個樣本. 05/14 22:57
→ gowaa: 我比較希望各版友好好測試跟推薦 而不是那戰來戰去 05/14 23:01
→ gowaa: 雖然基本上 本就沒有絕對安全的系統與防毒 只能勤備分0rz 05/14 23:01
推 purplvampire: 別小看avast,他也是都送測Free版跟BD,KS拚前三的 05/14 23:07
→ purplvampire: 我在公司就是佈署avast business free,它讓我很安心 05/14 23:08
→ smtp: 本來就是備份為王, 只是每次備份間會有數週的空窗期... 05/14 23:09
→ purplvampire: BD企業版也試用過,跟KS一樣能力強大但太吃資源,公司 05/14 23:09
→ smtp: 不重要的我間隔2~3個月, 重要的我用即時雲端同步... 05/14 23:12
→ purplvampire: 的電腦沒一台吃得下中等程度以上的防護,用avast即可 05/14 23:12
→ purplvampire: 防禦工事是整體的概念,沒什麼才是王道,我的電腦沒外 05/14 23:13
→ purplvampire: 接硬碟備份,靠系統更新,內建防毒,區隔系統與資料碟 05/14 23:15
→ purplvampire: 再配上免費FW+防勒索一樣活得好好的,合理配置才重要 05/14 23:16
→ gwofeng: 就算病毒不來，硬碟也有機率老化故障，備份才算留有後路 05/14 23:19
推 purplvampire: 沒錯,是後路,所以我真的該買台NAS來備份才對,哈哈 05/14 23:29
推 boygene: BD 不是也有free 版？跟 avast 比選哪個好？ 05/15 00:47
推 jeffin: 這篇文說得清楚啊~~~很認同 05/15 03:12
推 LT26i: http://i.imgur.com/eK84TtT.png 05/15 03:31
推 LonyIce: 推 05/15 04:10
推 Scutum: 不錯的觀點 05/15 16:54
推 dupd8017: 推 05/16 01:46