Разбор конфликта защитного ПО из The Old New Thing, 8 октября 2026 года. Первоисточник.
Коллега из команды корпоративной поддержки расследовал сложный сбой у клиента, и после множества анализов выяснилось, что проблема состояла в том, что в системе были установлены две разные программы противовредоносной защиты. Назовём их Contoso и Fabrikam. Fabrikam вызвала функцию, которую Contoso перехватил (detour). Перехват Contoso посчитал это подозрительным и попытался поместить процесс Fabrikam в карантин. К сожалению, Fabrikam также перехватил функцию, которую использовал Contoso. В результате настала массовая путаница: Contoso в конечном счёте вызывал то, что сам же пытался поместить в карантин.
Установка двух антивирусных программ на одну систему подобна найму двух разных охранных фирм для патрулирования вашего здания. Если они не знают друг о друге, каждая будет воспринимать другую как злоумышленника. Если повезёт, их инструкции будут лишь сообщать о подозрительной активности. Но если вы даёте им оружие и полномочия применять его, вы рискуете получить двух охранников, направляющих оружие друг на друга.
В реальной жизни вы бы познакомили эти две охранные фирмы между собой или, по крайней мере, убедились бы, что они не патрулируют один и тот же этаж. В программном мире сделать это сложнее. Нельзя просто пригласить две программы на обед и дать им возможность привыкнуть друг к другу.
Антивредоносное ПО обычно выполняет действия, которые официально не поддерживаются, например перехватывает системные функции. Эти перехваты означают, что вызов системной функции перестаёт напрямую выполнять системную операцию; вместо этого он попадает в антивредоносную программу, которая может решить сделать что‑то, не связанное с той системной функцией, которую вы ожидали, и это «что‑то» само по себе может начать вызывать проблемы, например зависать. Не только нет простого способа обнаружить такое поведение без отладки реально неисправной системы, но и даже после того как конфликт обнаружен, обычно нет способа сказать каждому антивредоносному продукту «оставайся на своём этаже».