本帖最后由 星空下的吻 于 2011-11-25 23:30 编辑
笔者按：AVG 是世界最知名的免费杀毒软件品牌之一，全球上亿用户依赖AVG杀毒软件保障他们的电脑安全，并且AVG的全球用户正以每季度上千万的增长速度迅速壮大着。AVG卓越的木马查杀能力，以及优秀的病毒反应速度，日趋完美的中国本地化进程,使得AVG拥有了越来越多的用户，备受业界人士认可。
从CNET稳居榜首的下载量来看,确实傲视群雄,而且可以注意到这是”Most Popolar Downloads”的统计,不单单是杀毒软件的下载量统计,不可谓不惊人!!
作为全球顶级的杀毒软件厂商，来自捷克的AVG拥有近20年在安全领域技术的积累.自从进入中国市场，加之AVG的进口“免费杀软三剑客”之一地位，一直以来都深受用户的欢迎。今年下半年，在各大安全防护巨头们纷纷推出了各自新版本时，AVG也加紧了新版本研发的力度，终于在9月1日发布了其最新版本AVG 2012。界面简洁、易于操作、扎实防护能力和强悍的杀毒能力一直都是它的风格，那么新版发布的AVG 2012究竟会给我们带来哪些新体验呢？
笔者将在下文中从中立者的角度客观地来评测这款人气颇高的免费杀软。
本文的阅读参考目录
1.AVG的安装与卸载
2.AVG Resident Shield
3.病毒查杀能力测试
4.误报测试(非重点)
5.AVG LinkScanner
6.AVG电子邮件扫描程序(非重点)
7.AVG Anti-Rootkit组件
8.AVG PC分析器组件(非重点)
9.AVG Identity Protection
10.AVG系统资源占用情况
11.AVG自我保护能力
12.AVG内核浅窥
13.AVG 2012 Free X64 的相关测试
14.对AVG的建议
15.评测总结
测试人员：星空下的吻
转载请注明作者和出处
评测环境
AVG产品的特点
AVG的安装与卸载
AVG 2012提供在线安装和离线安装包两种方式进行安装.安装包的体积较大,可能需要一段时间下载,个人推荐网络不好的朋友使用第三方下载工具直接下载离线安装包.
AVG 2012免费版在线安装包:http://af-download.avg.com/filed ... tb_as_2012_1869.exe 3.7MB
AVG 2012免费版离线安装包:http://af-download.avg.com/filed ... _2012_1869a4591.exe 151MB
AVG 2012 x64免费版离线安装包:
http://222.42.1.218:9204/E2A160D43725EEC9652FB89214B083546BC40F6ECF6726D2C9A46A169075EEDFDDFF64D07D0C88A0606637D90/download.avg.com/filedir/inst/avg_free_x64_all_2012_1869a4591.exe 169MB
AVG 2012官方卸载工具:
http://download.avg.com/filedir/util/avgrem/avg_remover_stf_x86_2012_1796.exe
http://download.avg.com/filedir/util/avgrem/avg_remover_stf_x64_2012_1796.exe
安装过程如下:
安装过程用户可以选择"快速安装"和"自定义安装",快速安装适合新手用户,自定义安装则方便高级用户自由选择安装的配置和模块,可以说,采取模块化的安装策略非常明智.
卸载过程如下:
卸载过程也完全透明,可以保证将AVG各个组件以及设置全部清除,笔者多次测试都表明AVG的卸载非常干净,基本无需动用官方的卸载器.
总而言之,AVG在安装和卸载环节表现相当出色,简洁明了.
AVG主界面
AVG 2012在风格和板块的设计相对较为简洁,以白色为主基调,功能模块一目了然.在主界面中就可以对各个组件进行简单的设置,相比需要单独进入高级设置界面进行设置的设计,这样的考虑显然技高一筹.
“My Apps”是AVG 2012中首次加入的功能项，用户可以通过下载等方式将AVG相关的应用程序、安全插件类型等放置到这里来，这样来方便对这些应用程序的使用，以及统一的管理。
AVG Resident Shield
AVG Resident Shield会保护执行中的操作系统。它会在执行、开启或储存档案时进行扫描。如果侦测到病毒，它会封锁受感染档案，让它无法开启或执行。AVG掌握了绝大多数的流行病毒检测技术,包括已知病毒简单的特征码匹配,以及检测已知病毒变种的基因码查杀,还有就是静态启发技术和动态启发技术,另外AVG新版还结合了时下流行的云验证功能,最大程度保护计算机安全.
值得注意的是, AVG Resident Shield提供了扫描跟踪Cookie的功能,默认并不勾选.
Cookie的主要目的是为了识别用户，并显示为特定用户所准备定制的网页。当您访问一个使用Cookie的网站时，您在该站点中所输入的用户名、密码、姓名等信息很可能会被保存下来。这些信息被发送到您的浏览器存储在本地计算机的cookie文件中。下一次您访问该网站时，浏览器会把上次保存的该文件发送到Web服务器。服务器可以利用这些信息显示您自定义的网页。简而言之就是有的网站你输入了一次密码点击保存密码以后下次再登陆的时候就不需要输入了，其实密码被保存在了这些Cookie中，网站从其中读出了您的用户名和密码所以下次登录的时候才不用再次输入，有的网站在保存这些用户名和密码时，甚至是用明文，这就会导致别有用心的网站通过读取您的Cookie文件可以得知您的用户名和密码等重要信息。
AVG的扫描跟踪Cookie可以保护你的上网隐私不被泄露,安全性要求严格的用户不妨开启这个选项.
启发式扫描与通用型检测的设置都可以在AVG高级设置中开启,可以有效的提高病毒的查杀能力,但是同时也有可能带来更多的误报.默认不开启,正是考虑到产品的易用性.
AVG最新版所引入的云验证功能,可以有效加快AVG在新型威胁上的响应能力.
AVG还支持可移动设备的监控
可以看到,AVG Resident Shield在系统部署了诸多的防御体系,使得监控无安全死角.
AVG在扫描速度一项来看还是可圈可点的,270000+的文件扫描只耗费了7分多钟.
AVG Resident Shield 还会储存检查过的档案的信息，如果档案没有修改则无需重新检查。这项功能类似于文件指纹,能够有效节省重复扫描所花费的时间.
AVG智能型扫描策略:当用户离开计算机时，智能型扫描会在高优先级模式中扫描，在用户使用计算机时（即移动鼠标或按键），它会立即切换至低优先级模式.用户可以根据自己的需求调节扫描的优先级.
AVG还允许用户根据自己的需要指定计划任务进行扫描
AVG维护了一个易用的白名单,方便用户根据路径和文件名称来管理特例,针对用户自身的系统环境给出特定的排除方案.
AVG设置中还有一个""可能不需要的程序特例"设置 : 该功能可以理解成高级的白名单设置,文件的名称,版本号,数字签名信息乃至哈希校验值都一览无遗,适合高级用户自定义使用.
病毒查杀能力测试
最重要的测试莫过于查杀能力测试了.
笔者精心选取了10月份-11月份初互联网上流行的样本进行测试,所有样本均经过本人验证,有效性高达95%以上,测试在断网环境下进行,未查杀的样本进行IDP防御测试,测试引入国产的360安全卫士和金山毒霸2012进行横向比较,以保证测试的客观性.需要特别申明的是,本次样本测试均为流行样本,并未针对任何杀毒软件进行免杀操作,只为了最真实地还原AVG在最普遍的用户环境中的查杀能力.
所有测试对象均更新到最新病毒库.
360安全卫士:199/206=96.6%
金山毒霸2012:194/206=94.2%
AVG 2012:194/206=94.2%
可以看见,AVG作为以本地病毒库为主的杀毒软件,查杀能力毫不逊色于依赖云查杀的安全软件,病毒侦测率高达94%以上,而且测试中发现,AVG能够自动鉴别带有可信数字签名的真病毒,识别出了恶意的证书颁发者;鉴于带有数字签名的恶意威胁日益增多的环境,这一技术能够有效保证用户被虚假的有效签名所欺骗.
将剩余的12个样本进行IDP主动防护测试,又拦截其中3个.
综合防御能力:194+3/206=95.63%
总而言之,AVG在防御恶意威胁方面的表现堪称惊艳!
误报测试
高查杀率有可能是建立在较高误报的基础上,误报正常软件给普通用户带来的困扰绝不比中病毒小.
为了测试AVG误杀情况,笔者选取了自己电脑上收集的常用小软件进行测试,将扫描设置为最高等级.测试结果仅能从一定角度反应AVG对样本误报的情况,并不能完全真实地反应出这方面的能力.
可以看到即使将敏感度设置到最高,AVG除了对一些加壳软件以及具有黑客性质的小众软件出现了误报,对于绝大多数的软件误报还是比较少的.
实时监控方面,AVG给出的依然是简单清晰的提示,让用户上手毫无障碍.并且对已知的威胁,即使监控略有滞后,AVG也能在第一时间禁止已知威胁的运行和复制,保证用户电脑的安全.
AVG在设置中还包括了一项实用的防止误报的措施,就是回滚特征数据库.
如果今天更新病毒库之后,AVG误报了相关的正常软件,那么用户就可以在AVG响应这个误报之前,将数据库还原成未更新状态,以避免误报带来的损失.
毫无疑问,在查杀病毒这个关键环节上,AVG走在行业的领先地位.
AVG还为用户提供了在线威胁报告,通过此报告可以清楚了解到AVG为用户拦截了多少威胁等基本的情况,使用在线形式,可能是出于减少本地占用的设想,考虑比较周到.
AVG LinkScanner
AVG LinkScanner是AVG正在申请专利的一项尖端技术。Surf-Shield 会自动实时检查网页。这可充分防御网页式攻击，这些攻击可能只在网站上出现几个小时的时间。 LinkScanner 还具备 Search-Shield，Search-Shield 与常用搜索引擎（包括 Google、Baidu和 Bing）和社交网站通力合作，在搜寻结果中显示安全性评级等。评级以色彩标示并标有图示，以说明哪些网站是安全的，哪些网站是危险的。
AVG Search-Shield 对搜索引擎返回的每一个结果链接都进行了评级,这一项检测优于常规产品,使得用户在搜索过程中的点击再无安全死角.
支持的搜索引擎为常用的百度,谷歌和必应,
其中的Safe Search可以过滤大部分的恶意搜索结果,所支持的浏览器为主流的IE,Firefox和chrome,从搜索结果端就开始阻击可能出现的恶意网址,实用性强.但是笔者仍然可以感受到在使用Safe Search过程中网页搜索翻页时候出现的顿卡,说明在保证搜索结果安全的过程中,还是牺牲了一部分性能作为代价.
笔者还发现,AVG对百度”臭名昭著”的推广链接无法进行有效的信誉检测,不知是出于技术问题还是法律原因,然而百度推广链接的安全性正是诸多用户所担心的,如果AVG能够对推广链接进行检测,相信用户会真正地爱上这个功能的.
AVG网页评级功能给用户带来实时的保护,它会扫描程序链接，然后根据自己的数据库，将网络搜索结果分级。安全的分级显示是绿色的框,UI设计令人感觉清新自然.
然而当用户想要详细查看网页评级的情况时,却给出了如下的提示:
这样的提示无疑使得用户体验大大降低.
经过反复测试发现,国内的IP是不能访问的关键原因,使用代{过}{滤}理可以正常访问
这样的问题不得不让中国用户很受伤!希望AVG官方能够尽快解决这个问题.
以上介绍的都是AVG LinkScanner中Search-Shield模块的功能.
AVG LinkScanner另外还包括一个网页威胁防御模块Surf-Shield,它能够灵敏的检测到用户当前浏览的网页所存在的各种复杂的在线威胁,包括0day漏洞的利用等.并且它支持几乎所有浏览器.
使用Flash漏洞进行传播的恶意威胁
使用IE7漏洞进行传播的恶意威胁
使用javascript攻击技术的恶意威胁
从网页防御的警示来看,AVG的数据库中完善了为数众多的威胁类型,足以应对日常浏览网页过程中遇到的各种在线威胁,相比传统的黑白名单阻止恶意网址来看,这种利用漏洞特征组织起来的网页防护明显技高一筹,能够有效的避免恶意网址的迅速变化而导致的黑名单失效的防御滞后问题.
进一步测试发现,AVG对本土的钓鱼网站没有很好的防御能力,笔者挑选的几个明显的钓鱼网站,AVG均没有给出任何提示,这依然是本土化不大完善的表现.
AVG电子邮件扫描程序
可直接透过应用程序插件（包括 Microsoft Outlook 和 The Bat!）或透过个人电子邮件扫描仪进行电子邮件扫描。AVG电子邮件扫描程序在POP3和SMTP通讯协议层级运作，还可保护其他所有电子邮件客户程序的电子邮件通讯。
AVG 电子邮件扫描程序会依扩展名或内容筛选附件
POP3/ SMTP 通讯协议层级的解决方案不受所使用的电子邮件客户程序支配
保护多个电子邮件帐户，检查多个电子邮件服务器
支持 SMTP 验证
支持安全的（SSL）通讯
该功能模块中规中矩,因为在中国大陆极少人使用邮件客户端,而面向个人用户的免费版加入该功能反应了本地化略显不足的问题,如果能够将该模块升级成下载保护,类似国产360安全卫士和金山卫士等提供的一样,那么实用性自然就提升一个档次,也能够弥补监控偶尔迟滞的问题.
AVG Anti-Rootkit组件
AVG 智能型防御Rootkit 技术会侦测试图隐藏在系统内的恶意软件。该技术利用操作系统的核心来分析文件系统的使用者，并且会报告任何与内核不一致的情形，因为这表示有可能存在 Rootkit。
内置Anti-Rootkit组件大大减少了用户感染终极恶意威胁的几率,但是我们可以看见,这个组件事实上就是Rootkit已经侵入用户主机后的滞后扫描,然而Rootkit一旦加载进入系统内核后就难以根除这个特性显然不是扫描就能解决的.如果这个模块能够加入对常见Rootkit感染手法进行防御,相信实用性就能更上一层楼.
在面对真正的rootkit上,AVG还是展现了Anti-Rootkit组件的实力,对rootkit的挂钩给出了详细的检测,但是问题在于这方面的信息对于普通用户难度颇大,AVG可以考虑在提示语言上做得更加友好一些.
AVG PC分析器组件
对PC进行分析,以辨别出有关注册表错误,垃圾文件,分段错误,磁盘错误和脱节的快捷方式的问题.
老实说,笔者认为这是个不折不扣的鸡肋模块,面对国内众多的卫士都有自带的优化模块,AVG的PC分析器组件只能扫描无法修复,简直是不可忍受的.而且这个模块并没有自己的特色,”立即修复”的按钮也毫无意义.这就又把问题归结到了本土化的问题上去了,希望以后的版本中要么去掉该模块,要么就让用户免费或低价使用AVG的电脑优化软件.要知道,一个无用的模块占据电脑空间将给用户体验带来多大的灾难.
但是下载AVG PC Tuneup试用之后,笔者发现这的确是一款优秀的系统维护软件,现仅给出部分截图简单说明,有兴趣的网友不妨下载试用.
系统扫描会帮助你清理各种影响计算机运行效率的垃圾,并标明严重程度以及明确的提示,易用性强.
系统顾问给用户提出了诸多系统优化方案,同样给出了很明确的介绍,避免用户错误关闭相关服务,很贴心的设计
资源使用情况则帮助用户了解系统中占用资源最大的是什么程序
高级工具则囊括诸多实用工具,提供系统优化一站式服务.
AVG Identity Protection
Identity Protection(以下简称IDP)依靠内置的行为规则,智能地拦截未知威胁, 其中受监控的行为多达447种.
它使用不同的分类和先进的算法,着眼于在执行过程中软件的行为,设置文件运行的危害阀值来判断文件的危害行为，并阻止其执行。
IDP很好的弥补了AVG特征码防御可能存在的不足,对用户计算机上出现的未知恶意威胁进行实时跟踪判断,第一时间阻止恶意威胁的触发,该模块还有一般主动防御所没有的易用性,在警示框上给出的提示简单明了,没有过多的专业术语,对初级用户有很好的引导作用.
当然IDP也有它的先天不足之处,首先IDP的"多部"行为分析防御决定了恶意威胁的行为敏感程度直接影响IDP的防御效果,如果恶意威胁仅仅表现出修改主页等非系统内核级别的感染的话,例如国内大肆其道的流氓软件,IDP就显得力不从心了.另外IDP拦截的时机较一般的主动防御更晚,所以经常会出现需要重新启动才能删除威胁的情况,这个特性无疑使得用户体验大打折扣.
另外在删除过后可以选择查看威胁的详细信息,如下图所示:
详细信息中给出了进程所满足的IDP威胁特性,以及IDP所删除的项目,可以看出IDP在回滚威胁上还是比较细致的.
除了对未知威胁的防御,IDP事实上集成了云端分析的结果,在遇到无法甄别的未知威胁的时候,云验证将返回大量可信的安全软件的鉴定结果,再结合自身的行为分析,给出最完美的防御方案,这种云和行为的完美结合凸显了AVG在防护方面的巨大优势,一方面保证了IDP行为分析的准确性,有效地减少了误报.另一方面给出威胁名称方便用户判断,在交互方面同样也无懈可击!
瑕不掩瑜,总的来说IDP仍然是免费版中的最大的亮点.
AVG系统资源占用情况
从AVG官方网站给出的数据,几乎所有的主流机型都能流畅运行AVG,但是实际测试是否也是这样的呢?
硬盘占用
对于依靠本地病毒库防御威胁的杀毒软件来说,堪称小巧至极.
静态资源占用
AVG在后台运行时,资源占用还是相当出色,多个进程的总内存使用大约稳定在40M,虚拟内存大小大约稳定在45M-50M之间,没有明显迟滞感觉,运行其他任务依然很流畅.读写硬盘方面表现也令人满意,没有无故地频繁读写硬盘的情况出现.但是过多的进程数目也使管理稍显繁琐,希望以后的版本能够优化进程的数目.
动态资源占用
AVG在扫描过程当中很明显的变化是CPU占有率上升了,多个进程一度达到90%以上,总内存占用大致稳定在80M左右,虚拟内存大小大致在90-100M之间,资源占用有明显上升,硬盘读取写入仍然在可控范围,总体来看,AVG在扫描过程中对系统略有影响,但是系统仍能正常工作.
总而言之,AVG确实可以在主流的计算机中流畅运行,对于部分配置较低的计算机,通过合理的设置,流畅运行AVG也不在话下.
AVG自我保护能力
杀软只有在能够有效保护自身不受恶意攻击的情况下才能更好地保护用户的电脑,自我保护能力自然是不可忽略的一部分.本测试使用APT4.2测试.
很遗憾IDP的进程无法阻止Crash 01和02的崩溃测试
AVG的托盘程序甚至无法阻止kill 05的测试
进一步测试发现除了上述的两个进程以外,下图所示的关键进程都会在被结束后迅速重启,这项技术也被国外的杀毒软件广泛应用,作为防御关键进程被结束的另一个手段.
但是IDP作为很重要的一个防御屏障却能被特殊方式结束,不得不说AVG在进程保护方面仍然需要加强.
在保护自身文件夹环境上,AVG也表现得差强人意.
在AVG目录下删除文件和重命名文件夹名称自然是不可能的,但是却可以创建文件,不知道这是出于什么样的考虑?
同时笔者还发现,居然可以毫无障碍的重命名AVG的相关文件,重启之后AVG就不再启动了!
综上所述,AVG的自我保护能力确实没有达到杀毒软件的平均水平,自保的漏洞频出,希望AVG官方重视这个隐患,毕竟只有在保护好自身的情况下才能更好地保护用户的计算机.
AVG内核浅窥
出于兼容性和稳定性的考虑,AVG使用了微软官方提供的文档化的接口,即通过注册系统回调函数来对威胁程序的行为进行实时拦截.
AVG在系统中加载的驱动
AVG所注册的系统回调函数
注册系统回调函数的好处就是兼容性和稳定性好于一般使用SSDT HOOK的主动防御软件,缺点也很明显,就是往往强度一般,对于更深层次的rootkit防御力有限.另外IDP不能防御加载陌生驱动的问题也暴露无遗,不能防御陌生驱动等于给了木马最大的机会.这个问题其实可以考虑Hook ZwLoadDriver和ZwSetSystemInformation进行弥补,否则必然是一个防御上的大隐患.
AVG为数不多的SSDT HOOK
AVG的Shadow SSDT HOOK
在X64环境下的相关测试
从安装过程的截图来看,在X64系统下,AVG的基本功能没有丝毫缩水,这给广大的X64用户提供了一个很好的选择余地.
这一切都应该归功于AVG在系统防御方面使用了微软标准的接口,兼容性和稳定性得到了保证!
尽管并非所有的进程全部都为原生X64,但是可以看到扫描,监控和网络防御模块均为原生,最重要的服务模块,AVG提供了原生的支持,使得AVG在X64系统下能更有效率地完成任务.
对AVG的建议:
1.试图去改变一下广告的形式,每一次打开主界面都会弹出的升级提示,作为一个用户,我表示很恼人.
2.优化AVG Security Toolbar的加载速度,多次测试可以明显感觉到浏览器加载速度迟滞,搜索过程中上翻与下翻结果页面也能感觉到速度上的延缓.另外醒目的Facebook明显是没有考虑到中国的特殊网络环境,希望改成新浪或腾讯的微博,如果能增加反馈栏就更好了.
3.加强自我保护能力.
4.加强对本土钓鱼网站的拦截.
5.设置方面过于细致,可以考虑给出一般设置和高级设置的选项.
6.安装包大小一直都不是衡量杀毒软件优劣的一个标准,但是AVG32位将近150M,64位大约170M的巨型安装包必然会给下载的用户带来苦恼,不凡试试采用增量病毒库升级的方式,减小安装包体积,这也是重视用户体验很好的方式.
7.增加保存高级设置的入口,使得某些高级用户可以分享自己的设置,这点可以借鉴卡巴斯基.
8.优化整合AVG进程的数目.
9.部分的中文翻译比较蹩脚,希望改进,以使得用户更好理解.比如"外壳扩展扫描"等.
10.AVG安全搜索居然不支持中文关键字,这个问题应该引起高度重视.
11.测试过程中如果监控多个病毒时,有一定几率出现下图所示的警告框bug
总结:
AVG依托强大的一站式防御体系,在全球范围内积累了无数的用户,笔者在试用过程中对AVG的防杀表现印象深刻!
毫不讳言,AVG2012免费版完全能够胜任广大中国用户的安全需求.当然AVG对国情把握不准的问题也是亟待解决的,考虑到AVG进入中国市场的时间并不长,所以仍然有时间完善这方面的用户体验.
衷心希望AVG官方能够认真听取用户意见,不断改进产品,争取在中国市场打出一片天地!
PS:最后附上一个word文档,方便大家审阅,谢谢!
|
[复制链接]
发表于 2011-11-6 12:17:40
发表于 2011-11-6 22:33:08
楼主