Como os softwares antivírus entram em conflito entre si?

Fui ensinado que nunca deveria instalar dois softwares antivírus (AV) juntos, porque eles entrarão em conflito. Até o Windows Defender (desde o Windows 8) se desativa ao detectar outro software AV.

Estou curioso para saber como dois podem entrar em conflito. O único cenário que posso descobrir atualmente é quando ambos detectam o mesmo vírus e tentam colocá-lo em quarentena simultaneamente, o que pode resultar em uma "batalha de conquista de vírus". Para mim, isso certamente não é uma razão convincente para não instalar dois softwares AV.

Muito menos problemas de desempenho do sistema. Suponho que meu Intel Kaby Lake i7 possa lidar com eles com facilidade com a memória instalada de 16 GB.

Os antivírus comuns podem coexistir sem problemas. É a proteção ao vivo que pode causar interferências AV.

O software AV com recursos de proteção ao vivo se integra profundamente ao sistema operacional. Ele corrige parte do código do SO para poder observar os programas que tentam fazer e impedir que eles façam isso, se necessário. Os sistemas operacionais não fornecem esses recursos prontos para uso, então os AVs usam métodos menos convencionais para obter esse efeito.

Por exemplo, ele pode substituir a função "gravar arquivo" que o SO fornece com a personalizada. Quando um programa tenta gravar em um arquivo, ele chama a função "gravar arquivo". Mas a função foi corrigida pelo AV e a solicitação do programa será redirecionada para o AV. O AV irá inspecionar e decidir se parece OK. Nesse caso, chamará a função "gravar arquivo" real. Caso contrário, ele tomará as medidas apropriadas para impedir que software malicioso cause danos.

Infelizmente, o patch do código do sistema operacional não é apenas necessário para os antivírus, mas também é suspeito. Se você estivesse criando um vírus, também não gostaria de poder interceptar operações do sistema, por exemplo, para impedir que o antivírus verifique arquivos de vírus?

Portanto, os AVs têm guardas que vigiam se seus ganchos de código ainda estão no lugar e os reinstalam, se necessário. Neste ponto, você deve ver para onde isso está indo ...

Dois AVs com proteção ao vivo podem começar a protegê-lo do comportamento suspeito um do outro. Isso pode causar qualquer coisa, desde pequenos problemas de desempenho até falhas no sistema.

Em alguns casos, até scanners AV sem proteção ao vivo podem interferir. Como os antivírus detectam vírus? Bem, eles têm suas assinaturas de vírus, ie. bancos de dados de características distintivas de vírus conhecidos. E acontece que esse banco de dados também pode parecer suspeito, porque, bem, eles têm características distintas de vírus. Portanto, um AV poderia hipoteticamente detectar as assinaturas de outros AV como código malicioso.

Também existem mecanismos AV projetados para coexistir com outros AVs, por exemplo, Hitman Pro. O ClamWin (que é gratuito e de código aberto) também deve ser relativamente livre de problemas ao coexistir, pois contém apenas um scanner sem proteção ao vivo.

Os programas entram em conflito quando os dois tentam usar o mesmo recurso. Quando vários programas tentam operar em um recurso ao mesmo tempo, há um risco de problemas de simultaneidade . Problemas de simultaneidade ocorrem quando um processo executa uma alteração no recurso, e o outro programa (que estava no meio com sua própria modificação no recurso) não o conhece e, portanto, não pode acomodá-lo.

Aqui estão alguns exemplos de problemas de simultaneidade de livros didáticos.

Problema dos últimos a ganhar

Imagine que você está usando um diretório FTP para compartilhar um documento em que você e um colega estão colaborando em um documento. você baixa o documento, edita e publica novamente, assim como seu colega.

1. Você baixa o documento e inicia um conjunto de alterações que leva 1 hora.
2. Seu colega faz o download do documento ao mesmo tempo que você fez, mas leva apenas meia hora para concluir e reenviar as alterações.

Resultado: ao fazer upload do documento, você substitui as alterações e elas são perdidas.

Dados obsoletos

No mesmo cenário, seu colega faz algumas alterações que você precisa, sem avisar. sua cópia do arquivo não possui as alterações,

Resultado: você mesmo escreve as mesmas alterações em palavras ligeiramente diferentes, ou pior, lança um e-mail desagradável sobre como está faltando.

Parece um cenário simples, mas em casos avançados, como bancos de dados de acesso múltiplo, se você selecionar registros no mesmo milissegundo que alguém os estiver atualizando, poderá enfrentar sérios problemas.

Cálculo ruim

Um casal tem uma conta bancária compartilhada e cartões ATM. Eles têm 1000 USD na conta. No dia a dia, eles estão em lados opostos da cidade e ambos acessam o caixa eletrônico no mesmo instante. Ambos retiram 1000 USD. Os caixas eletrônicos sabem que o saldo é 1000, portanto, permitem a retirada e depois escrevem de volta ao banco de dados central que o novo saldo é 0.

Resultado: o banco está esgotado em 1000 USD, e nem sabe disso.

Em todos esses exemplos, havia várias partes que estavam executando ações em um recurso compartilhado aproximadamente ou ao mesmo tempo. Daí os termos "simultaneidade" ou "Sincronicidade".

Soluções

Existem algumas maneiras de lidar com esses tipos de problemas. Uma é usar software que arbitra entre as várias partes que acessam o recurso. Esses programas de árbitro têm duas opções, dependendo do escopo e previsibilidade das operações:

• Mesclar as operações de forma inteligente
• Bloqueie / bloqueie uma das duas operações até que a primeira notada seja concluída.

Também é possível bloquear / bloquear, desde que os dois programas sejam projetados para verificar um sinalizador compartilhado indicando o estado do recurso. isso geralmente requer desenvolvimento personalizado.

sua resposta

No seu caso específico, os recursos são os arquivos no seu disco. O Synchronicity vem de eventos como o arquivo Read / Write, que acionam verificações ao acessar nos dois programas AV.

O Windows atua como um árbitro para resolver problemas de simultaneidade do sistema de arquivos, bloqueando arquivos quando os programas os abrem para operações específicas.

Isso significa que os dois programas estão correndo para acessar o arquivo e quem chegar lá primeiro recebe o bloqueio. Em um nível baixo, isso resulta em uma troca de disco, pois os dois programas iniciam suas próprias atividades de E / S, forçando o hardware a executar as duas tarefas separadamente, intercalando as instruções de E / S, tornando as duas muito menos eficientes e, no final, apenas uma. deles vão ganhar. o outro girará e esperará para poder estabelecer seu próprio bloqueio.

Os dois processos de inspeção competem entre si para examinar a E / S da unidade e da rede.

Ele atrapalha a CPU e nenhuma vantagem é adquirida, já que a maioria dos fabricantes de antivírus compartilha assinaturas coletivamente, de modo que nenhum dos dois detectará malware antes que o outro seja atualizado.

Um único AV bem conhecido e aceito pelo setor protegerá adequadamente o seu sistema, mesmo que você tenha hábitos imprudentes e propensos a infecções e com a mesma eficácia com o uso simultâneo de 10 produtos AV.