Home »

[fabrice]

En juillet 2005, le Computer Security Institute (CSI) associé au bureau du FBI de San Francisco a publié sa dixième enquête sur la sécurité informatique. Plutôt que de s'appuyer sur des prospectives chères aux analystes, cette étude a préféré examiner les problématiques de terrain via sept cents sociétés ou organisations interrogées. Si, en dix ans, certains éléments contribuant à la sécurité informatique ont évolué (la biométrie par exemple), une chose ne change pas : les virus au sens large continuent de représenter les principales pertes financières pour les entreprises.

Le choix d'un antivirus est donc loin d'être neutre. Il va, comme toujours, s'appuyer sur des éléments divers et variés. Parmi les éléments non liés à la qualité intrinsèque du produit se trouvent le prix, les canaux de distribution, l'accès au support dans plusieurs langues étrangères définies par l'entreprise, la présence de l'éditeur dans des pays propres à son organisation, etc.

Certaines organisations vont refuser de faire appel aux produits Kaspersky, fabricant d'un des meilleurs antivirus, parce que son fondateur, Eugène Kaspersky, est un ancien officier du KGB spécialisé en cryptographie. D'autres vont repousser les produits de Panda Software, certains membres dirigeants étant adeptes de la scientologie.

Des références sur une base annuelle

Parmi la cinquantaine d'éditeurs d'antivirus courants, comment choisir ? Sur les éléments techniques, il y a la base des plates-formes supportées aussi bien côté clients que côté serveurs. Si vous disposez d'un relais SMTP sous Postfix et que l'éditeur pressenti ne peut supporter cette messagerie, il faudra vous tourner vers un autre acteur. Sur le plan de la détection et notamment de la réactivité à fournir de nouvelles signatures, les différences sont notables.

Plutôt que de s'appuyer sur un virus, ver ou cheval de Troie particulier pour en déduire un niveau général de la qualité du produit, mieux vaut prendre des références sur une base annuelle pour à la fois calculer des moyennes représentatives des principales menaces sorties et disposer d'un échantillon typique.

NOD32, d'Eset, antivirus de qualité et apprécié pour sa légèreté, s'est fait « massacrer » aux États-Unis sur une base de tests de cinq virus modifiés par un laboratoire, alors qu'il est la seule solution du marché à avoir obtenu toutes les récompenses mensuelles du Virus Bulletin depuis 1998 pour les virus in the wild (les plus répandus). Et cela, bien que ces virus soient considérés comme un élément de test insuffisant.

Disons-le tout net, les certifications de type West Coast Labs, d'ICSA Labs ou du Virus Bulletin ont peu d'intérêt. Pour le calcul des moyennes de sortie de nouvelles signatures, jetons un oeil sur les rapports d'AV-Test d'Andreas Marx. Les tests sont sérieux malgré quelques erreurs ponctuelles avec certains éditeurs (Doctor Web et Computer Associates, par exemple).

Ainsi, sur les dernières études complètes (portant sur 2004), on notera que Symantec, numéro un mondial du secteur, met moins de seize heures à produire une signature, étant ainsi l'un des plus mauvais acteurs en termes de réactivité. Chiffre qui ne tient pas compte du service de signatures rapides (entre 2 et 5 heures) et des mises à jour quotidiennes pour Symantec Antivirus v.10 lancé en mars 2005. En 2004, seuls Kaspersky et Softwin (Éditions Profil en France) réagissent en moins de quatre heures.

L'argument généralement invoqué chez les grands noms est qu'ils ont plus de plates-formes à tester, et que cela prend plus de temps. Chez Kaspersky et Softwin, les mises à jour automatiques se font toutes les heures.

Un temps aujourd'hui battu par Doctor Web, qui met à jour son logiciel toutes les vingt-cinq minutes. Son produit a néanmoins cassé Google Desktop lors de sa première installation et n'a pu finir son scan après vingt heures de traitement, à cause de Diskeeper vraisemblablement. Le moteur de Doctor Web semble pourtant prometteur et mérite qu'on surveille de près son éditeur.

Des éléments clés

D'autres acteurs - tel Softwin, très bon dans la détection par pattern matching et pour son moteur heuristique - pèchent en termes d'administration sans granularité au niveau de l'objet ou d'intégration à un annuaire LDAP ou Active Directory, domaine où les grands noms se rattrapent.

Réactivité dans la fourniture de signatures de type pattern matching , qualité du moteur heuristique ou d'analyse comportementale et qualité de l'administration sont des éléments clés. À noter qu'une bonne politique antivirale ne s'appuie pas uniquement sur l'antivirus.

Une politique de filtrage de contenu et de surf sur le Web, l'emploi d'un navigateur Internet pensé à des fins de sécurité, et l'interdiction d'accès à certains sites évitent de récupérer dès la première page un code malicieux.

L'emploi d'un HIPS avec une protection contre les buffer overflows est une excellente approche. L'un des meilleurs moyens de sélection consiste à bâtir sa matrice en s'appuyant sur les théoriciens de la prise de décision, analyse hiérarchique multicritère en tête.

Rationaliser la décision par le courant mathématique

Et pourquoi ne pas vous appuyer sur les théories d'organisation pour définir votre politique de sécurité antivirale ? Parmi les méthodes fréquemment employées dans les théories décisionnelles se trouve l'analyse hiérarchique multicritère, inventée par le mathématicien Thomas Saaty.

Cette méthode, encore largement utilisée dans de nombreux domaines (terrorisme, planification de l'enseignement supérieur, élections, sélection de produits, etc.), permet de décomposer une situation complexe et non structurée en composantes, de classer ces composantes ou variables selon un ordre hiérarchique, d'attribuer des valeurs numériques à des jugements subjectifs sur l'importance relative de chaque variable, et de synthétiser les jugements pour parvenir à la solution.

Autrement dit, cela permet de structurer un système et son environnement en composantes interactives et de les synthétiser en mesurant et en attribuant des valeurs relatives à l'impact de chacune des composantes sur la totalité du système. Redoutable.

Le choix de la rédaction

Pas de palmarès ce mois-ci

Une politique antivirale ne doit pas s'appuyer sur un seul éditeur ni sur une unique solution antivirale au sens strict. En frontal (périmètre du réseau et ordinateurs portables), nous recommandons des produits aptes à fournir rapidement de nouvelles signatures.

Sur le LAN, l'administration devient fondamentale, et on peut se contenter d'un éditeur moins réactif sur le plan des signatures.