« 2006年8月 | トップページ | 2007年4月 »

2006年11月

買ってはいけない!ソースネクストのウイルスセキュリティ

ソースネクストウイルスセキュリティZEROを使っている人にとっては衝撃的な記事。内容は『日経パソコン』2006年11月13日号で行われたウイルス対策ソフトテストの話で、ウイルスセキュリティZEROの検出力がダントツで悪い、というもの。

以下ブログ記事より引用。

 今回テストしたウイルス対策ソフトは5製品。使用したウイルス検体は、最近、複数の感染例が確認されたウイルスを中心に719種類。The WildList Organization Internationalという国際団体が所有するウイルス検体を使いました。

 結果を見て、がく然……。5製品中3製品の検出率は100%、1製品は99.6%。しかし、残りの1製品であるソースネクストの「ウイルスセキュリティZERO」の検出率は81.2%。719種類のウイルス中、135ものウイルスを見逃したのです。これほどの差が付くとは、私も担当記者も想定の範囲外。予想をはるかに超えていました(詳細は『日経パソコン』2006年11月13日号をご覧ください)。


実際の記事は日経パソコンオンラインのWebでも読むことが出来る。
検出率に関する具体的な数字部分は(2)の検出率には差があるに記載されていた。

日経パソコンの記事については既に何人かの読者の方が記事にされているようで、みな衝撃を受けているようだ。

自分自身はここ一~二ヶ月ほどウイルス対策ソフトの乗換を検討していたこともあって、この記事を見るよりも大分前にウイルスセキュリティZERO レビュー - 頼ると危険?無いより入れよう -勝手に ウィルステストのテスト内容などを読んでいたので、やはりそうだったかという印象しかないのだが、あらためて紙媒体でも記事にされるのを見ると、いかに酷いのかということが理解できる。なお、PC Japan 12月号で行ったテストでも同様のテスト結果が出ているようだ。

Nortonマカフィーウイルスバスターの御三家は100%検出、キングソフトが99.6%、というのは妥当なところ。ただ、やさしいセキュリティ講座(9) Anti-Virusの性能評価でも述べられているように、WildListとは「現在特に出回っているウイルスをまとめたリスト」である。リストにあるのが既知の流行のウイルスである以上、2割も検出できないのは問題外といってよい。WildListを一度も100%クリアできていないソフトというのは正直に言ってあまり使えないと考えた方がよさそうである。

記事中で出てきたWildListについてはVirus Bulletin社によるテストでも使用されており、これをクリアしたと認められた製品については「Virus Bulletin 100% award(VB100%)」の[100%]のロゴを製品につけることが認められているとのこと。このVB100%、御三家やKasperskyNOD32F-Secureなどは過去に何度もクリアしたことがある。

Virus Bulletin 100% awardについてはやさしいセキュリティ講座(9) Anti-Virusの性能評価の解説が非常に詳しいのでそちらも参照されるとよいだろう。

上記のテスト以外にも、West Coast LabsによるCHECK MARKテストやICSALabsのテストが存在するが、ウイルスセキュリティはいずれも一度もクリアしたことがないようで、ソースネクストのページにはクリアした証のテストロゴが無い。

また、他のセキュリティベンダーでは定義ファイルの更新ごとに対応したウイルスの種類や詳細情報について掲載するのが一般化しているのだが、ソースネクストにおいては定義ファイルの対応内容に関する情報が皆無である。このような姿勢はセキュリティベンダーとして失格といってよい。

そのためかどうかはわからないが、マイクロソフトのページにあるウイルス対策ソフトウェア ベンダの一覧Microsoft Windows セキュリティ センター ウイルス対策パートナーにソースネクストや開発元であるインドの会社の名前はない。現状ではマイクロソフトにもセキュリティベンダーとして認めてもらえていないようだ。

残念ながら、現状のウイルスセキュリティは購入を選択するに値しないといって差し支えないのではないだろうか。

他のソフトを選ぶ必要のある人は上記の記事や以下のWebサイトを参考にされるのがよいだろう。

個人的な見解としては、最新のPCを使っている初心者であれば御三家を、検出力最重視ならばF-SecureやKasperskyを、かなり前のPCでも検出力を維持したいなら動作の軽いNOD32をお薦めしておく。

Kaspersky Internet Security 6.0 12+3ヶ月 特別優待版
ジャストシステム (2006/11/17)
売り上げランキング: 10
おすすめ度の平均: 4.5
5 軽やか
5 Nortonから乗り換えてみた感想
5 世界最強のセキュリティ



NOD32 アンチウイルス V2.5 32/64bitOS両対応版
キヤノンシステムソリューションズ (2006/07/21)
売り上げランキング: 125
おすすめ度の平均: 4.5
5 パソコンに弱い家族がいるかたにもお勧めです。
4 軽快・確実で“質実剛健”
4 古い型のPCを使っているならノートンよりこちらがお薦め



F-Secure インターネットセキュリティ 2007
.. (2006/11/18)
売り上げランキング: 497
おすすめ度の平均: 4.0
4 1本で3台、ライセンス移動もOK



ノートン・インターネットセキュリティ 2007
シマンテック (2006/09/30)
売り上げランキング: 6
おすすめ度の平均: 3.0
2 短気は損気
5 重さが大幅改善
4 軽くなりました


ウイルスバスター2007 トレンド フレックス セキュリティ 優待版 1年
トレンドマイクロ (2006/09/22)
売り上げランキング: 96
おすすめ度の平均: 3.0
2 軽さ、快適性、使い勝手ともにいまいち><
1 重すぎる
1 やっぱり『重い』



マカフィー・インターネットセキュリティスイート 2007 優待版
マカフィー (2006/09/30)
売り上げランキング: 242
おすすめ度の平均: 2.5
1 うちのシステムには不適
4 機能強化しても決して「重く」しないのが良いところ


P.S.ウイルスセキュリティの記事を扱っている某ブログに勝手に ウィルステストのアドレスをコメントで投稿しようとしたら、見事にURLが禁止ワード設定になっていた。もしかしてソースネクストは自作自演ブログまでやっているのであろうか?ITmedia News:ソースネクスト、マザーズに上場へなんて報道もあるので、普通の企業であればさすがに大事な時期にそんなことはしないだろうとは思うのだが、ウイルスセキュリティの評判を見ていると何とも…。

| | コメント (9) | トラックバック (2)

Ad-Aware SEでPOFileのインストールファイルを誤検出?の話。

今日、スパイウエア対策ソフトでの誤検出なのでは?と思う出来事があった。

いつものようにAd-Aware SEで定義ファイルを更新してチェックをかけたところ、WIN32.TROJAN.DOWNLOADERが検出された。検出されたファイルの詳細を見ると、どうやらtempフォルダのNSISdl.dllというファイルがそれらしい。「えー、トロイの木馬感染かよ!」と驚くものの、フォルダの作成日時を確認すると一年以上以前に作成されているもののようで、対応日時から判断しても検出されるのであればずっと前に検出されていなければおかしい。もしかすると誤検出かもしれないので、詳しく調べる必要がある。

というわけで、まずはじめは「WIN32.TROJAN.DOWNLOADER」でGoogle検索して調べてみた。で出てきたのがマカフィー株式会社--セキュリティ情報--Painter。これかと思ったのだが、記事をよく見るとNSISdl.dllは関係ないようだ。同じフォルダ内にある他のファイルも確認したが、サイズも違うし、ファイル名も違う。どうやらこれではないようだ。

で、今度はNSISdl.dllで検索して調べると以下の記事が出てきた。

マカフィー株式会社--セキュリティ情報--Downloader-OG

この記事によると、NSISdl.dllはNullsoft Scriptable Install Systemのファイルで、マカフィでは誤検出される事があるとの事。記事中ではNSISdl.dllのファイルサイズが12,800バイトとなっていたので、手元のファイルサイズを確認すると同一である事が判明。そこで今度は「Nullsoft Scriptable Install System」で検索した。NSISはNullsoft 社によるフリーのインストーラ作成ツールであるらしい。とすると、手元のファイルがあるtempフォルダは何かのソフトをインストールした時の残骸かもしれない。

NSISdl.dllのあるフォルダを再度確認すると「popfile.cfg」の文字が。どうやらPOPFileのインストールファイルの残骸のようだ。POPFile公式にも以下の記事があったので、おそらく間違いない。同じフォルダ内の他のファイルを確認してもPOPFile絡みのもののようだ。で、「Nullsoft Scriptable Install System」とPOPFileをキーワードに検索すると以下の記事が出てきた。

POPFile: JP FrequentlyAskedQuestions/IsPOPFileInfected "POPFile はウィルス/トロイの木馬/アドウェアを含んでいますか?"

というわけで、おそらくはAd-Aware SEの誤検出なのでであろう、というところまで到達したわけだが、あくまで推測に過ぎない。念のためにNOD32BitDefender 8 Free Edition、さらにはカスペルスキーF-Secureのオンラインスキャンでもフォルダごと検査してみた。が、特に検出されず。とりあえずは一安心といったところか。

とはいえ、ステルス系マルウェアなどだと検出しきれない可能性も捨てきれない。念のために専用のrootkit検出用のツールを使ってみることにした。今回はF-Secure BlackLight によるステルス系マルウエアの駆除で紹介されているF-Secure Blacklightを利用する。ムーミンでおなじみのF-Secure社によるツールなので信頼性は高いだろう。……が、F-Secure Blacklightのダウンロードページで問題発生。「I ACCEPT」のボタンを押すとHTTPSのダウンロードページに進むのだが、「サーバの証明書が期限切れになっている」とFirefoxが教えてきた。どうも一週間ほど前に期限切れになったらしく、まだ更新できていないらしい。セキュリティを生業とする企業としては致命的なのではないだろうか。日本エフ・セキュア経由でもよいので、本社に知らせて直さないといけないのでは?と感じた。しかたがないので、rootkit検出のツール入手はとりあえず証明書が更新されるまで待つことにする。

追記:検出時の定義ファイルはSE1R131 09-11-2006、Ad-Aware SEのバージョンは1.06r1 Personalである。

追記:定義ファイルをSE1R132 14-11-2006に更新して再度ファイルをスキャンしたところ、検出されなくなった。見立ての通り、誤検出だったようだ。一安心といったところか。

追記:エフセキュアのサーバ証明書の件だが、11月14日に更新されたようだ。一安心。

| | コメント (0) | トラックバック (0)

« 2006年8月 | トップページ | 2007年4月 »