[防毒] 各防毒軟體資源消耗研究

[PianoGuys (Piano Guys)]

本篇研究緣起是因為寫完論文了也畢業了，過年前整理一下環境，發現我的實驗環境還留著

故在Proxmox VE 還沒更新到8的時候，要把實驗環境清理掉，想說在清理之前來做點簡單的實驗

這個實驗針對各防毒軟體所消耗的CPU、Memory來做個系統化的收集

避免有人說
"某某防毒軟體很吃資源"

來做個實驗證明 "大家都說某某防毒軟體很吃資源"

研究限制如下：

只使用虛擬環境建立的Windows 10 Home版

單純只測試各防毒軟體消耗資源，沒有在各環境下測試（遊戲中、執行各類程式軟體）

由於防毒軟體版本眾多，只選擇Internet Security 版 (因為各防毒軟體都有這個版本)

為了不被各防毒軟體更新病毒碼與引擎，影響資源收集，直接使用Firewall 阻擋連線

使防毒軟體病毒碼停留在0201上

實驗流程如下

https://i.imgur.com/qmUeP8Q.png


CPU使用資源(每分鐘收集一次;以十分鐘繪製成曲線圖)
https://i.imgur.com/GyeryqF.png

Memory使用資源(每分鐘收集一次;以十分鐘繪製成曲線圖)
https://i.imgur.com/mSkNYvG.png


匯入資料繪製成平均長條圖
https://i.imgur.com/MVJeZN7.png

CPU撇開不看
使用記憶體前三名為
1.F-secure
2.BitDefender
3.Kaspersky

由於只收集使用資源略顯單薄，故使用病毒樣本測試

各防毒軟體使用0201更新來偵測0201、0206、0212 所下載的病毒樣本

病毒樣本是使用MalwareBazaar 會將每一日上傳的樣本打包成ZIP，供大家下載

https://i.imgur.com/PDDSrxq.jpeg

以各防毒軟體的偵測率，比較訝異的是Trend Micro跟F-secure偏低

如果就0201的病毒樣本來講，各家應該可以接近六成至八成

越往後因無法更新，偵測率越低，是非常正常。

比較有可能的是上傳雲端檢測，因為我使用硬體防火牆將所有的測試機阻擋掉對外連線

導致這兩家偏低。

後來把硬體防火牆打開，讓各防毒軟體更新到0216

檢測出來的效果如下
https://i.imgur.com/CnQthmU.jpeg


其實還有一個是將各個病毒樣本依副檔名分類去算檢測率

但忘記抓出來了，之後再來補圖。


病毒樣本研究限制：

因樣本是公開上傳，並且有經過多方資安廠商檢測收集，無法過濾該樣本是新樣本還是舊樣本

會導致檢測率不一，導致檢測不見得準，再來樣本會有一些無法檢測出來的檔案

譬如SH、PS1，這一些都是執行才"有可能"檢測得出來，單純全機掃描不見得檢測得出來

就算執行也有可能檢測不出來，能做得到的應該是EDR、XDR了吧。

可以參考這篇文章。

Deep Dive Into Endpoint Security: EPP vs. EDR vs. XDR

https://cloudscale365.com/deep-dive-into-endpoint-security/

另外未測試URL偵測。

這篇玩意應該是過完年之後就要ＰＯ上來

好死不好忙工作，忙完之後又得流感，最近比較有時間PO上來

請恕我不想弄reference list，格式也亂七八糟，畢竟只是簡單的實驗而已

本簡單實驗沒心力討論各個資安廠商的強項，單純測試消耗電腦資源而已

病毒樣本只是順便測試而已，至於樣本有無過濾辨識重複，不在此篇研究中。


免責聲明：
本研究無推薦防毒軟體，請勿依照上述內容選購。
本研究病毒樣本為Open Data 偵測率參考性不高。
本研究只是用家裡的老電腦架設虛擬環境測試，不代表該防毒軟體優劣。

※ 編輯: PianoGuys (114.33.68.45 臺灣), 03/23/2025 15:20:02
推 crazycy: 推測試
→ hn9480412: 我只知道最近F-secure一堆誤判
推 noname123: 推
推 Kitakami: 其實還可以加入Sophos Home
→ Kitakami: 但就我體感使用上 Sophos吃硬體效能蠻重的 尤其是RAM
我以為Sophos home 已經放棄免費的防毒市場了
沒想到還有

推 DINJIAPC: 最低是咖啡 與Webroot
推 DINJIAPC: 很吃資源是多半用戶根本不知道全機掃描會建立存檔快取
→ DINJIAPC: 從而降低監控的壓力
推 DINJIAPC: 與其要騷護士不如多投入AVAST
推 Farufa: 卡巴更新之後，偵測率反而沒多少提升，諾頓甚至下降?
要看是什麼，開源病毒樣本類型沒歸類，就只是撈出來偵測而已，有些更新完之後

反而不認為這個是有害的，譬如是exe檔案對windows，是有危害，但elf只對linux有危害

反之windows，也有可能是這樣運作的原理


推 canandmap: 推這篇測試
推 DINJIAPC: 這個測試沒有參考性只是圖各樂而已
我引頸期盼DINJIAPC兄的大作，身為防毒版的扛霸子，要出點大作應該不難。

→ styyu1281: 聯網趨勢偵測率大於Bitdefender，我有沒有看錯。
說不一定趨勢辨識不出來的檔案往雲端丟，偵測率可能會比Bitdefender單純只靠病毒碼去辨識

來的高

推 canandmap: 對啦，只有某人說的話有參考性，但怎麼有水桶紀錄呢?
※ 編輯: PianoGuys (114.33.68.45 臺灣), 04/09/2025 12:19:42
→ tedcat: sophos介面都導到瀏覽器頁面 不推薦