Antivirüs (false positive) Nedir?

[H4NOK]

Yanlış pozitif (false positive) nedir?
​
Sözlük anlamına baktığımızda yanlış pozitif (false positive); veri değerlendirmesinde, bir test sonucunun belirli bir durumun (örneğin bir hastalığın) varlığını, gerçekte olmadığı hâlde yanlış olarak onaylaması (pozitif göstermesi) şeklinde ortaya çıkan hatadır.[1]

Bu anlamın daha çok sağlık alanı içerisinde kullanıldığını görebilirsiniz. Bu anlamı güvenlik kategorisinde de çokça gördüğümüz güvenlik yazılımlarına uyarlamaya çalıştığımızda şu anlama ulaşabiliriz:
Tarama işlemi gerçekleştirdiğiniz güvenlik yazılımı ile üzerinde analiz yaptığınız herhangi bir verinin (örneğin dosyalar) değerlerindirme sonucunda, belirli bir durumunu yanlış olarak onaylaması (pozitif göstermesi) şeklinde ortaya çıkan hatadır.
Uyarlamaya çalıştığımız anlamı kısaltmaya çalıştığımızda ise en sade hâline ulaşıyoruz:
Tarama işlemi gerçekleştirdiğiniz verinin (dosyanın), bir güvenlik yazılımı tarafından yanlışlıkla kötü amaçlı olarak tanımlandığı hatadır.

Yanlış pozitif (false positive) sonucu neden olur?​
Veri (dosya) üzerinde tarama işlemi gerçekleştiren güvenlik yazılımının kullandığı tespit yönteminin, verinin bütünü yerine sadece bulduğu minimum bir alana odaklanmasından dolayı olabilir. Bunu daha da açarsak; hatasıza yakın sonuç(lar) elde etmek amaçlı, güvenlik yazılımı tarafından yapılan hızlı tahminlerden dolayı başvurduğu sezgisel tespit yönteminden kaynaklanabilir. Kısa bir sürede sonuçlandırmak adına kalkıştığı bu yöntemde, belirttiğimiz gibi sadece minimum bir alanı baz alabilir. Bunun sonucunda da analiz sonucunun genele vurmasında, yanlış pozitif oranının yüksek çıkmasına neden olmaktadır.

Örneğin; tarama işlemi gerçekleştirdiğiniz veri (dosya) bilindik bir sertifika ile imzalanmamışsa, güvenlik yazılım(lar)ı direkt olarak sezgisel tespit yöntemi ile taramaya çalıştığınız veriye (dosyaya) temkinli yaklaşabilir ve eğer bu yöntemde sorun yaşanırsa (diğer yöntemler için de geçerli), sonucunuz yanlış pozitif olarak sonuçlanacaktır. Bu tespit etme yöntemine "buluşsal yöntem" veya "sezgisel tespit" adı verilmektedir.
​
Tarama işlemi gerçekleştirilen verinin (dosyanın) sistem içerisinde gösterdiği davranış sonrasında, güvenlik yazılımının bu davranışa karşılık olarak verdiği karardan dolayı olabilir. Bu duruma da "davranış analizi" adı verilmektedir.
​
Güvenlik yazılımının içerisinde bulunan makine öğreniminden kaynaklanabilmektedir. Çünkü birden fazla güvenlik yazılımını bildiğimiz gibi, bu yazılımların da kendi adına geliştirildiği veritabanları bulunuyor. Birden fazla veritabanı demek de, birden fazla makine öğreniminin olması anlamına geliyor. Birden fazla makine öğreniminin olması da, tarama işlemi gerçekleştirilecek verinin (dosyanın) üzerinde işlem yapacak olan güvenlik yazılımlarının birden fazla algoritmaya sahip olduğu anlamına geliyor. Bu durumda da bir güvenlik yazılımı tarama işlemi gerçekleştirdiği veride (dosyada) tehdit bulmazken, diğer güvenlik yazılımı tehdit bulabilir anlamına gelebiliyor.​
Yanlış pozitif (false positive) nasıl anlaşılır?
​
Yanlış pozitif oranının (false positive rate) net bir şekilde anlaşılabilmesi adına, AV-Comparatives üzerinde yapılan testlere göz atabilirsiniz. Bilinen ve başarılı olan güvenlik yazılımları, genellikle test sonuçlarında gayet başarılı sonuçlar alırlar. İsmi piyasada daha az geçen veya eskiden başarılı olup da son zamanlarda pek bir gelişim gösteremeyen güvenlik yazılımları, genellikle test sonuçlarında çok fazla yanlış pozitif sonuçlarına ulaşabilirler. Bu durumda da kullanıcıların daha az yanlış pozitif sonuçta bulunan yazılımlara yönelmesi yaşanır.

False Alarm Tests Archives - "av-comparatives.org"

Kod: Tümünü seç

https://www.av-comparatives.org/testmethod/false-alarm-tests/

Bunun dışında biz kullanıcılar için sunulan ve birden fazla güvenlik motorunun bulunduğu VirusTotal sitesini kullanmak gayet yararlı olacaktır. Bu sayede hangi güvenlik motorunun ne anlamda yanlış pozitif yapabildiğini gözlemleyebilir hâle geliyorsunuz. Örneğin test sonuçlarından sürekli olarak başarılı bir istatistik alan güvenlik motoru tespit sonucunda bir problem bulmazken, testlere katılmamış olan bir antivirüs motoru (deneylerde yaşadığı deneyimsizlik ve gelişimsizlik yüzünden olabilir) tespit sonucunda yanlış pozitif sonucuna varabiliyor. Bu durumda tarama işlemi gerçekleştirdiğiniz veriye (dosyaya) tehdit olarak yaklaşan güvenlik yazılımını araştırmanız gerekiyor. Eğer bir sonuç bulamazsanız, aşağıdaki adımları da uygulayarak verinin (dosyanın) VirusTotal üzerinde yanlış pozitif olarak algılandığından emin olmaya başlayabilirsiniz. Adımların içerisinde yukarıda anlattığım madde de bulunmaktadır.
Tarama işlemi gerçekleştirdiğiniz veriyi (dosyayı) tehdit olarak gören güvenlik yazılımı, bilindik ve tek başına tespitte bulunmuşsa.
Tarama işlemi gerçekleştirdiğiniz veriyi (dosyayı) indirdiğiniz bağlantı adresinde, bilindik güvenlik yazılımları tarafından bir problem bulunmamışsa.​
Tarama işlemi gerçekleştirdiğiniz verinin (dosyanın) imzalandığı sertifikada bir problem bulunmuyorsa.​
Bu maddelere bağlı olarak, sizler de yanlış pozitif oranında bulunan güvenlik yazılımlarını tespit etme konusunda fikir sahibi olabilirsiniz.
Makaleyi sonuna kadar okuduğunuz için teşekkür ederim. Bu makaleyi hazırlamamın amacı, son zamanlarda kullanıcıların güvenli olduklarını bildikleri yazılımları VirusTotal üzerinde tarama yaparken şüpheye düşmeleriydi. Çünkü kullanıcılar adını bilmedikleri veya testlerde hiç görmedikleri güvenlik yazılımlarının tespit sonucunda güvenli olan yazılımların tehdit içerdiğini görünce, şüpheye düşmeleri de gayet doğal oluyor. Konuda olabildiğince uzun ve herkesin anlayabileceği bir şekilde tanımlamaları yazmaya çalıştım. Kaynak kısmında da belirttiğim üzere sadece Malwarebytes'ın sunmuş olduğu blog yazısında kendi cümlelerime daha çok yer vererek anlatmaya çalıştım. Eğer konu hakkında yapılan bir yanlışlığı veya eksikliği görüyorsanız, konu içerisinde belirtebilirsiniz.

Özet olarak.
Her antivirüs taraması sonucu doğru değildir.
Cloud Taramalarda Kaspersky, Sophos, Norton, Avast, MalwareBytes, GData, Eset, Bit Defender, TrendMicro, Panda, ClamAV, Avira, FSecure Antivirüslerden Geçiyor İse Program Güvenle Kullanabilirsiniz, Güvenlik Konusunda, Saçma Ve Yersiz Korkuların Esiri Olmaya Gerek Yoktur !

Yanlış pozitif sonucu konusunda faydalanılan kaynak: Explained: False positives - Malwarebytes Labs

Kod: Tümünü seç

https://blog.malwarebytes.com/security-world/2017/09/explained-false-positives/

[esatiz]

yazı için teşekkürler, "H4CodeBank" programınızı kullanmayı düşünüyorum

Sadece yapay zeka tabanlı dandik bir antivirüs programı buna zararlı demiş
https://www.virustotal.com/gui/file/82f ... f2f7c6f650

https://blog.virustotal.com/2019/05/vir ... reage.html

[shampuan]

Esasen o konuda dile getimeye çalıştığım şey, yazılım içinde neyin bazı antivirüsleri böyle bir sonuca ittiğiydi. Kullanıcı bilgisi dışında yetki gereken bir yere başvuran kod ya da komut vardıysa, antivirüsler bunu tehdit olarak görebilirler. Yazılımın yapısı içerisinde bir antivirüsü rahatsız edecek herhangi bir komut/kod yoksa ve fakat hala antivirüs uyarı veriyorsa yukarıdaki durumdan bahsedilebilir.

Maalesef son yıllarda bazı yazılım firmaları bu false positive olayını kötüye kullanıyor. VLC yapımcıları kendilerine gelen virüs uyarısı şikayetleri için kullanıcılara "yanlış pozitif olarak işaretleyin", "beyaz listeye alın, programımızda virüs yoktur" gibi tavsiyelerle kullanıcıları yanıltıyor. Halbuki birkaç yıl önce vikileaks, VLC içerisinde kullanıcı verileri toplayarak CIA ile paylaşan bir zararlı yazılım bulunduğunu açıkladı. Videolan Team bunu inkar etti. Daha geçtiğimiz günlerde velociraptor , VLC içerisinde çinlilerin koyduğu bir virüs hakkında makale paylaştı. Videolan team, bizim sitemizden indirin, o bizim değil dedi. Kendi sitenizden indirdik zaten dersek, bu defa bahane hazır: "fişingtir, kandırılmışsınızdır, sahte sitedir, bizim sitemiz aha budur" gibi saçma sapan yanıt verecekler (geçmişten veri yapıyorlar zaten).

Yani anlayacağınız her gelen geçene false positif demeyin. Bazı yazılımcılar bunu suistimal edebiliyor. Ayrıca artık antivirüsler güvenilir değiller. Ben bir bilgisayar kulllanıcısı olarak takip edilmek asla istemem. Ama beni korusun diye kurduğum antivirüs yapıyor bunu en başta. Yukarıda listelenmiş antivirüsleri tuvalet kağıdı olarak bile kullanmam.

[esatiz]

velociraptor bir video vardı, birileri virustotal'deki antivirüslerden temiz sonuçlarla çıkan virüs yazmışlardı. Bulamadım

[velociraptor]

viewtopic.php?t=210453

[H4NOK]

ben şuna inanırım, bir yazılımcı kötü niyetli ise eninde sonunda yapmak istediğini yapar, bu kadar emek veren bir yazılımcı da bunu kullanıcılara yönelik değil büyük firmaları hedefleyerek yapar, çünkü onca emeği bir kaç kullanıcıyı hacklemek için kullanmazsın, piyasadaki programların %70i nerdeyse yeni firma ve yeni yazılımcılara aittir, herkesin iyi niyetini yada ne amaçla ürettiğini bilmiyorsak bu durumda hiç bir programı kullanmamamız gerekir, kısacası eninde sonunda antivirüslere ve benzeri araçlara ihtiyaç duyarız..

[wonder]

ben şuna inanırım, bir yazılımcı kötü niyetli ise eninde sonunda yapmak istediğini yapar, bu kadar emek veren bir yazılımcı da bunu kullanıcılara yönelik değil büyük firmaları hedefleyerek yapar, çünkü onca emeği bir kaç kullanıcıyı hacklemek için kullanmazsın, piyasadaki programların %70i nerdeyse yeni firma ve yeni yazılımcılara aittir, herkesin iyi niyetini yada ne amaçla ürettiğini bilmiyorsak bu durumda hiç bir programı kullanmamamız gerekir, kısacası eninde sonunda antivirüslere ve benzeri araçlara ihtiyaç duyarız..

Doğru aslında, teşekkürler
İster istemez popüler programlarda virüs yoktur diye bir algı oluşuyor insanlarda ama kullandığımız işletim sistemleri de virüs çok pimpirikli olmamak gerek.
İlk başlıkta size önyargı ile yaklaştım kusura bakmayın.

[H4NOK]

ben şuna inanırım, bir yazılımcı kötü niyetli ise eninde sonunda yapmak istediğini yapar, bu kadar emek veren bir yazılımcı da bunu kullanıcılara yönelik değil büyük firmaları hedefleyerek yapar, çünkü onca emeği bir kaç kullanıcıyı hacklemek için kullanmazsın, piyasadaki programların %70i nerdeyse yeni firma ve yeni yazılımcılara aittir, herkesin iyi niyetini yada ne amaçla ürettiğini bilmiyorsak bu durumda hiç bir programı kullanmamamız gerekir, kısacası eninde sonunda antivirüslere ve benzeri araçlara ihtiyaç duyarız..

Doğru aslında, teşekkürler
İster istemez popüler programlarda virüs yoktur diye bir algı oluşuyor insanlarda ama kullandığımız işletim sistemleri de virüs çok pimpirikli olmamak gerek.
İlk başlıkta size önyargı ile yaklaştım kusura bakmayın.

estf. burda amaç her duruma karşı daha bilgili ve daha profesyonelce yaklaşabilmektir, elbet yanlış anlamalar yada farklı görüşler olacaktır, ancak ne yaparsak yapalım yinede antivirüslere ve deneyimimize güvenmekten başka çaremiz kalmıyor.

[shampuan]

Mesele gereksiz uzamasın.
O başlıkta size söylemek istediğim şeyin amacı farklı. Siz yanlış anladınız.
Sizin virüstotal sonuçlarınızla benimki uyuşmuyordu. Burada virüstotalde mi hata var? Versiyon mu farklı? Program içerisinde bir kod, yanlış mı yorumlanıyor? Yorumlanıyorsa düzeltmek için fırsat vardır belki. Zaten virüs tesbit eden antivirüsleri hayatımda ilk defa görüyorum o konuda mutabıkız. Virüs total neden güvenli olan bir programda uyarı veriyor sadece bunu öğrenmek istemiştim.

Öte yandan ben kimseye ne önyargılı davanırım ne de çok güvenirim. Forumda beni bilen bilir. Kötü niyetli değilim, oradaki iletişim yanlış anlaşıldı. Hiç güvenmeyen uyuz biri olsam tek uyarıyı gördüğüm anda linkleri siler uyarırım zaten.

Sıkıntı değil bunlar. Daha fazla program bekliyoruz. Benim hayalini kurup yapamadığım şeyi yapıyorsunuz şu anda. viewtopic.php?t=213873

[H4NOK]

Mesele gereksiz uzamasın.
O başlıkta size söylemek istediğim şeyin amacı farklı. Siz yanlış anladınız.
Sizin virüstotal sonuçlarınızla benimki uyuşmuyordu. Burada virüstotalde mi hata var? Versiyon mu farklı? Program içerisinde bir kod, yanlış mı yorumlanıyor? Yorumlanıyorsa düzeltmek için fırsat vardır belki. Zaten virüs tesbit eden antivirüsleri hayatımda ilk defa görüyorum o konuda mutabıkız. Virüs total neden güvenli olan bir programda uyarı veriyor sadece bunu öğrenmek istemiştim.

Öte yandan ben kimseye ne önyargılı davanırım ne de çok güvenirim. Forumda beni bilen bilir. Kötü niyetli değilim, oradaki iletişim yanlış anlaşıldı. Hiç güvenmeyen uyuz biri olsam tek uyarıyı gördüğüm anda linkleri siler uyarırım zaten.

Sıkıntı değil bunlar. Daha fazla program bekliyoruz. Benim hayalini kurup yapamadığım şeyi yapıyorsunuz şu anda. viewtopic.php?t=213873

ben size karşı ters bir hissiyata kapılmadım aksine samimi gördüğüm kişilerden birisiniz, virustotal sonuçlarında tuhaflık olursa en fazla dosyayı indirerek yeniden taratmanız yeterli olacaktır, zip içerisinde sonucunda virüs olsa bile bulaşmayacağını biliyorsunuz, belki ben zipi taratır iken siz dosyayı taratmış olabilirsiniz bir saçmalık oldu ama bende çözemedim denebilir, ama programı en fazla yeniden taratmak yeterli olacaktır.
amacım zaten elden geldikçe insanlara yararlı işler yapabilmektir, aranızda yeni olduğum için farklı algılanabilirim elbette, sonucunda üye olalı fazla bir zaman olmadı, umarım bu algıyı zamanla aşacağımı düşünüyorum

[shampuan]

Genel olarak kötü bir algı yok içiniz rahat olsun. Gözlemlediğim kadarıyla arkadaşlar arasında iyi bir algı var.
Ben de C'ye başlamıştım ne güzel. Programlamadan nefret ederdim esatiz sağolsun sevdirdi. Araya hastalık girdi, özel sorunlarım patlak verince durdum. İnanılmaz bir motivasyon var ama şu anda yapamıyorum. Notları okumaya başladığım zaman aklım sorunlara gidiyor. Biraz ara verdim yakında tekrar başlayacağım. C dili de çok güzel ama GUI benim için acele öğrenilmesi gereken birşey.

[esatiz]

ben şuna inanırım, bir yazılımcı kötü niyetli ise eninde sonunda yapmak istediğini yapar, bu kadar emek veren bir yazılımcı da bunu kullanıcılara yönelik değil büyük firmaları hedefleyerek yapar, çünkü onca emeği bir kaç kullanıcıyı hacklemek için kullanmazsın, piyasadaki programların %70i nerdeyse yeni firma ve yeni yazılımcılara aittir, herkesin iyi niyetini yada ne amaçla ürettiğini bilmiyorsak bu durumda hiç bir programı kullanmamamız gerekir, kısacası eninde sonunda antivirüslere ve benzeri araçlara ihtiyaç duyarız..

Foruma ilk geldiğiniz gibi yazılım paylaşınca biraz tedbirli yaklaştım ama pek mantıklı değildi çünkü yavaş yavaş tanışarak paylaşsaydınız daha az "korkacaktım". Halbuki program aynı program, istersem exe'yi detaylı inceleyebilirim, sadece sanal makinede kullanabilirim vs. Her şey psikolojiyle alakalı sanırım

Elbette açık kaynak paylaşımlarınız olsa daha güzel olur ama olmasa da sorun değil. Ya da visual basic dersleri anlatabilirsiniz bizler de öğreniriz

[H4NOK]

ben şuna inanırım, bir yazılımcı kötü niyetli ise eninde sonunda yapmak istediğini yapar, bu kadar emek veren bir yazılımcı da bunu kullanıcılara yönelik değil büyük firmaları hedefleyerek yapar, çünkü onca emeği bir kaç kullanıcıyı hacklemek için kullanmazsın, piyasadaki programların %70i nerdeyse yeni firma ve yeni yazılımcılara aittir, herkesin iyi niyetini yada ne amaçla ürettiğini bilmiyorsak bu durumda hiç bir programı kullanmamamız gerekir, kısacası eninde sonunda antivirüslere ve benzeri araçlara ihtiyaç duyarız..

Foruma ilk geldiğiniz gibi yazılım paylaşınca biraz tedbirli yaklaştım ama pek mantıklı değildi çünkü yavaş yavaş tanışarak paylaşsaydınız daha az "korkacaktım". Halbuki program aynı program, istersem exe'yi detaylı inceleyebilirim, sadece sanal makinede kullanabilirim vs. Her şey psikolojiyle alakalı sanırım

Elbette açık kaynak paylaşımlarınız olsa daha güzel olur ama olmasa da sorun değil. Ya da visual basic dersleri anlatabilirsiniz bizler de öğreniriz

aslında haklısınız, ben uzun zamandır forumlara kayıt olan yada paylaşımda bulunan biri değilimdir, çünkü iş hayatım sebepli firmalara web yada masaüstü programlama işleri sebebiyle net ortamlarına fazla zaman ayıramadım, ilk forumu velociraptor üstadın yazdığı programlardan biri sebebiyle bulmuştum, baktım ortam güzel bende arada ufaktan paylaşımlar yapar zaman geçiririm düşüncesindeydim, burda paylaştığım programları zaten foruma özel tasarlayıp hazırladığım yazılımlar, farklı bir yere dağıtmıyorum, art niyetli biri her siteye programını yaymak amaçlı konu açabilirdi işin gerçeği, ben amaç olarak emek verilen bir şeyin insanlara yararlı olması düşüncesini taşırım, farkındayım foruma ilk girişte tanışmadan program paylaşımım insanlarda farklı bir izlenim oluşturmuş olabilir ama o tür art niyet taşımayan biriyimdir, benimde bir nevi hobim kodlamak ve paylaşmak denilebilir.

yazılımların kaynak kodunu paylaşmayı düşünüyorum, ileri deki programlardan bir çoğunun kaynak kodunu ekleyeceğim, bu sayede programın içeriği hakkında kişiler kendileri de derleyerek daha iyi bilgi sahibi olabilirler.

ders konusuna gelince, haddim olmayan şeylere hiç bir zaman el atmamış biriyimdir, uzun yıllardır yazılımla alakadar olmama rağmen bazı konularda eğitim verecek seviyede (hadde) kendimi görmüyorum, ancak bazen ders videoları paylaşmayı düşünüyorum, kısmetse elbette

[velociraptor]

Esatiz den de adım adım "hello world" exe si yapma bekliyoruz. Mesela ; Şu programı indirip kurun şuraya Merhaba dünya yazın , şuradan exe yapın ve çalıştırın gibi ...

[ozgutozkan]

En kaygısız benim galiba
İlk bilgisayarım ablamların eski bilgisayarıydı. Gittim bir günde 7 defa format attım windows kurdum. Neyse bu en sonunda tırrrt dedi ki bi baktım d de ne varsa hepsi silinmiş. Yani chkdsk götürmüş. Ne yapacam derken tabii ki internet de yok dergi cdlerini karıştırmaya başladım. Dosya kurtarma programı için. Bir baktım ki file scavenger kurtaracak ama shareware olayına takılıyor. Gittim internet cafeye ilaç aramaya bıldumda yalnız zip içinde virüsde var. Belli ki tıklasam bulaşır. Cdye yazdırdım internet cafeci dediki virüs var dedim bişey olmaz.

Aldım cdyi eve geldim. 10 gb dosyayı c sürücüsüne file scavenger ile geri yükledim. File scavenger i klasörleri olduğu gibi kurtardığı için tercih ediyorum. Virüse ne mi oldu çöp kutusunu boyladı.

Benim korktuğum fidye virüsleri gerisi sadece baş ağrısı o kadar. Virüs yüzünden 1 yada 2 kere format atmışımdır. Formata bile değmezler. Avira kaspersky gibi sağlam antivirüsler sistemi kurtarır.

Birde antivirüsler tüm ilaçlara virüs diyor yani hiç mi virüs olmayanı yok. O uyarıların çoğu bence false positive.