検知テストで判明したウイルス対策ソフト全43種の能力

テスト結果ではSophosが一番

表3は、ウイルス対策ソフトの検知力ランキングである。テスト期間中にアークンに送信されてきた41種類のウイルスを、各社のウイルス対策ソフトで検知できたかどうかをまとめている。

表3: 検知力ランキング

表の中で「有効検体数」とは、重複していないユニークなMD5値を持つ、ウイルス感染ファイルの数である。すなわち、今回検知対象となった41種類の異なる新種ウイルスのことである。「有効検知数」とは、そのベンダーのウイルス対策ソフトが「有効検体」に対してウイルス名を表示して検知した数である。一方、「非検知数」とは、有効検体に対してウイルスを検知しなかった数である。すなわち、「有効検体数」= 41 =「有効検知数」+「非検知数」となる。「誤検知数」とは、未感染ファイルに対して、誤って何らかのウイルス名を表示した数である。

「検出率」とは、単なる「有効検知数」を「有効検体数」で割った数ではない。「誤検知」を犯したペナルティとして「有効検知数」から「誤検知数」を引いたものを「有効検体数」で割った数である。特に、McAfeeは「誤検知数」が20と多かった。「有効検知数」は34とSophosに次ぐ第2位であるにも関わらず検知力ランキングの順位を大きく下げた理由である。

未知ウイルスと誤検知との関係

今回のテストで分かるように、新種ウイルスは日々生まれており、ウイルス対策ソフトを最新版にバージョンアップしていても、リアルタイムでは検知できないこともしばしばある。つまり、新種ウイルスの出現に各社のバージョンアップが間に合っていないのである。そこで、各社は未知ウイルスであっても検知できるように、さまざまな新技術を開発し、製品に実装している。しかし、この設定を高くしすぎると、かえって誤検知が多くなるというジレンマを抱えている。

その例が、McAfeeである。McAfeeとMcAfee-GW-Editionでは、検知数や誤検知数が異なる。McAfeeでは、検知数が多い一方で誤検知も多い。これは、未知のUSB感染型ウイルスを検知する機能が動作しているためでである。このチューニングが高すぎることが原因であると思われる。一方、McAfee-GW-Editionは、ゲートウエイ型であるため、パフォーマンスを劣化させる可能性のある、未知ウイルスを検知するための動的解析や静的解析の機能を利用することは難しい。このため、既知ウイルスを検知するだけの従来の技術しか利用できず、結果として、誤検知が出ない一方で検知数は少なくなったと思われる。