我们如何测试恶意软件拦截

每个防病毒产品和安全套件都应防止受到病毒和其他恶意软件的攻击。 我通过故意尝试使用已知的恶意软件样本感染受保护的测试系统来挑战此类产品。 然后，根据产品检测和阻止这些攻击的成功程度，计算恶意软件阻止得分。 我还通过阻止恶意软件托管URL来检查防病毒软件防止感染的能力。

阻止恶意URL

几乎所有现代恶意软件都通过Internet到达您的系统。 许多防病毒产品通过阻止对恶意软件托管URL的所有访问来阻止感染。 其他人在下载过程中或下载后立即检查文件。 去年，我推出了一项旨在专门衡量产品处理阻止恶意URL的性能的测试。

我首先从MRG-Effitas提供的极其新的恶意URL的提要开始。 它们每天处理成千上万个URL。 通常我使用的不超过四个小时。 我过滤列表以专门捕获指向可执行文件的URL。

测试过程非常简单。 使用我自己编写的简单实用程序，我在Internet Explorer中启动了URL，同时关闭了IE自身的安全性。 对于每个URL，都有三种可能的结果。 该安全软件可能阻止所有对该URL的访问，它可能会在下载期间或下载后立即清除文件，或者可能什么也不做。 无论是在URL级别还是在下载过程中，我报告的总体阻止百分比。

自2013年11月以来，我一直在进行此测试； 在此日期之前，我没有产品审核的数据。

蓄意的恶意软件攻击

我的恶意软件样本会随着时间而变化，但是该集合通常包括广告软件，间谍软件，病毒，蠕虫，恐吓软件（恶意安全软件），rootkit和木马。

我将产品安装在干净的测试系统上并手动运行更新，以确保它具有最新的病毒定义。 然后，我简单地打开一个包含样本集合的文件夹，并注意产品的反应。 在许多情况下，Windows资源管理器显示文件名时进行的最小访问足以触发实时保护。 我还要单击每个文件，因为某些产品的实时保护要等到单击后才能生效。

计分

自然地，产品消除了其所看到的每种威胁，满分为10分。 继续测试，我发布了在最初剔除后仍然存活的所有样品，并记录了产品如何反应。 通常，我将启动其中的三个或四个，然后运行我的专有分析工具来确定威胁是否设法在测试系统上放置了任何文件。

• 如何避免Scareware如何避免Scareware
• 病毒，间谍软件和恶意软件：有什么区别？ 病毒，间谍软件和恶意软件：有什么区别？

如果威胁没有植入任何可执行文件，并且安装了非可执行文件的百分之零到百分之二十，并且注册表垃圾，我将奖励10分，就像杀毒软件将其清除一样。 允许威胁将20％到80％的垃圾放入测试系统的防病毒软件仍可获得9分。 如果80％或更多的垃圾降落在测试系统上，则该分数下降为8分。

一旦防病毒软件检测到尝试安装的威胁，它实际上应该阻止放置任何可执行文件。 如果可执行文件通过，我会提供5分或半分。 尽管尽了最大的努力，但尽管运行了恶意软件，但恶意软件组件仍然可以运行，所以可以归结为三点。 自然，完全检测不到威胁可获得零分 。 总体封锁分数只是所有单个分数的平均值。 我还针对阻止Rootkit和Scareware单独得分。

产品的最终评分与恶意软件拦截和清除分数没有一一对应的关系。 其他因素也可以发挥作用，包括独立实验室测试的结果，但是在我的恶意软件阻止和恶意URL阻止测试中获得良好的评分肯定有助于获得良好的评价。