ウイルス検知能力テスト

コンピュータウイルスなどのPCに対する脅威に対抗するために設立された有識者団体、eicar(European Institute for Computer Anti-virus Research)（http://www.eicar.org/）が提供しているテストウイルス（ダミーウイルス）「eicar.com」を用いて、使用しているセキュリティソフトのウイルス検知能力を確認してみた。
尚、テストウイルスの中身は68byteのコードであり、DOSモードで実行すると「EICAR-STANDARD-ANTIVIRUS-TEST-FILE!」と表示されるだけで全くもって無害。要は安全にセキュリティソフトのテストを行うことが出来る。
eicar.comの中身 ： X5O!P%@AP[4\PZX54(P^)7CC)7}$EICAR-STANDARD-ANTIVIRUS-TEST-FILE!$H+H*

• 【テスト内容】
  • eicar（http://www.eicar.org/anti_virus_test_file.htm ）から以下の4つのテストウイルスをブラウザ上よりダウンロードさせた時のセキュリティソフトの挙動。
    • eicar.com ： 拡張子が「com」になっているテストウイルス（ベース）。
    • eicar.com.txt ： eicar.comの拡張子を「txt」したもの。実行可能型ファイルのフェイクや2重拡張子ファイルの対応確認用。
    • eicar_com.zip ： eicar.comをWindows系OSでは利用率の高いZIP形式で圧縮したもの。圧縮ファイルの対応の有無確認用。
    • eicarcom2.zip ： eicar.comをWindows系OSでは利用率の高いZIP形式で2重圧縮したもの。2重圧縮ファイルの対応確認用。
  • セキュアシステムズ社（http://www.securesystems.co.jp/）が提供している、EICAR テストウィルス送信ツール（http://www.securesystems.co.jp/eicar.shtml）を利用して自分のメールアドレスにテストウイルス（添付ファイル）を送信、テストウイルスをメーラー受信時におけるセキュリティソフトの挙動。
• 【テスト対象のセキュリティソフト（現在使用中の3タイトル）】
  • 「ウイルスバスター2010」（自宅のメインマシン、Vista上で使用）
    • プログラムバージョン ： 17.50.1647.0000
    • 検索エンジンバージョン ： 9.120.1004
    • パターンファイル番号 ： 7.191.50
  • 「COMODO Internet Security」」（自宅のメインマシン、XP上で使用）
    • 製品バージョン ： 4.0.141842.828
    • ウイルスシグネチャデータベースバージョン ： 4931
  • 「AVG Anti-Virus Free Edition」」（会社のPC・自宅のネットブック、XP上で使用）
    • プログラムバージョン ： 8.5.437
    • ウイルスデーターベースバージョン ： 271.1.1/2894
    • ウイルススキャン設定 ： アクセス時
• 【テスト結果】
  • 「ウイルスバスター2010」
    • eicar.com ：ダウンロード不可能。リアルタイム検索が機能しアラート表示される。
    • eicar.com.txt ： ダウンロード可能。ウイルス認識すらされず実行（テキストエディタ起動）可能。
    • eicar_com.zip ： ダウンロード不可能。リアルタイム検索が機能しアラート表示される。強引にダウンロードしても解凍不可能。
    • eicarcom2.zip ： ダウンロード不可能。リアルタイム検索が機能しアラート表示される。強引にダウンロードしても1次解凍、2次解凍ともに不可能。
    • メール受信時 ： テストウイルス（添付ファイル）が完全削除。その旨のテキストファイルが作成され、代わりに添付される。
  • 「COMODO Internet Security」
    • eicar.com ：ダウンロード不可能。リアルタイム検索が機能しアラート表示される。
    • eicar.com.txt ： ダウンロード不可能。リアルタイム検索が機能しアラート表示される。
    • eicar_com.zip ： ダウンロード可能。解凍時にアラート表示される。
    • eicarcom2.zip ： ダウンロード可能。一次解凍可能。2次解凍時にアラート表示される。
    • メール受信時 ： テストウイルス（添付ファイル）はそのまま残り、アラート表示も無いまま保存を行うことが可能。保存されたテストファイルが格納されたフォルダをエクスプローラで開く時、及び実行時にアラート表示。
  • 「AVG Anti-Virus Free Edition」
    • eicar.com ：ダウンロード可能。リアルタイム検索が機能しアラート表示されるが、ダウンロード自体は可能であるものの実行不可能。
    • eicar.com.txt ： ダウンロード可能。ウイルス認識すらされず実行（テキストエディタ起動）可能。
    • eicar_com.zip ： ダウンロード可能。解凍時にアラート表示される。
    • eicarcom2.zip ： ダウンロード可能。一次解凍可能。2次解凍時にアラート表示される。
    • メール受信時 ： テストウイルス（添付ファイル）が完全削除。

当然というべきか「ウイルスバスター2010」は検知能力が高く、脅威を水際で防いでくれている。「AVG Anti-Virus Free Edition」も概ね良好で、zip形式のテストウイルスは検知しないものの解凍時にアラート表示し、強引に解凍しても実行できない。「COMODO Internet Security」は、唯一2重拡張子ファイル（eicar.com.txt）を検知したが、メールスキャンが貧弱でテストファイルをPC内に取り込んでしまう結果に。
また、「COMODO Internet Security」、「AVG Anti-Virus Free Edition」はアラート表示後の動作確認（隔離、削除、許可等）をユーザーに委ねる（設定により自動化も可能）のに対し、「ウイルスバスター2010」は殆ど自動（無条件）で駆除（隔離、削除）するので、「ウイルスバスター2010」の方が親切且つ安全だと思われる。
ただ、圧縮ファイルの場合、PCに取り込んだとしても解凍時にアラート表示されれば問題なしという考えも有り、ある意味危険なファイルを教育や試験目的にやり取りする事も無きにしも非ずという観点から、検知時の動作をユーザー委ねる方が都合がいい場合もある。ユーザーのスキルとニーズによるが、カスタマイズ性というか自由度が高いのは「COMODO Internet Security」、「AVG Anti-Virus Free Edition」かなと。
今回のテストで大きな差が出たのはメールスキャンで、「COMODO Internet Security」がテストウイルスを無条件でPCに取り込むことが出来てしまう点は大きなマイナス要素だ。前述の自由度云々でPCに取り込めるのは良いとしても、アラート表示を事前に必ず出してほしい。「COMODO Internet Security」のアンチウイルス機能は他製品に比べると能力的に今一歩というのがネット上で多く言われており、ファイアーウォール機能だけ導入し、アンチウイルスソフトは他製品を使うユーザーが多いのも頷ける。とは言え、「COMODO Internet Security」には「無料」の「総合型」セキュリティソフトとしてアドバンテージは高く評価しているので、今後の改善に期待したいところだ。
今後もメインのセキュリティソフトを決めるべく、経過を見守ることとする。