Il mito dei due antivirus — e il suo costo reale

Cosa succede davvero con due motori

La prima cosa che fa Windows è disinnescare la situazione al posto tuo: appena un antivirus di terze parti compatibile si registra nel Centro sicurezza, Defender da solo lascia la protezione in tempo reale — Microsoft ha documentato questo comportamento per un motivo. Se forzi comunque due motori a girare, ogni operazione sui file passa attraverso due driver di filtro, e disco e CPU pagano due volte lo stesso lavoro. Ogni motore spacchetta e ispeziona definizioni, aggiornamenti e campioni in quarantena dell'altro: da qui vengono i famosi avvisi «l'antivirus segnala l'antivirus».

I conflitti non sono casuali: scanner real-time che gareggiano sullo stesso file producono lock, timeout e log di errore in entrambi i prodotti insieme. E la scappatoia più pericolosa è quella popolare — escludere ciascun antivirus dalle scansioni dell'altro per fermare gli avvisi. Le esclusioni sono una tecnica d'attacco documentata: il malware che atterra in una cartella esclusa o si maschera da processo escluso ottiene un lasciapassare da uno dei tuoi due motori.

• Windows disattiva automaticamente la protezione real-time di Defender quando si registra un antivirus di terze parti compatibile
• Due driver di filtro intercettano ogni operazione sui file: disco e CPU pagano il doppio
• Ogni motore mette in quarantena aggiornamenti e file di definizioni dell'altro come «sospetti»
• Scansioni in gara producono lock, timeout e log di errore in entrambi i prodotti insieme
• La cura comune — escludersi a vicenda — crea una via di bypass documentata
• I falsi positivi si moltiplicano: ciò che a un motore sfugge, l'altro lo banna perché «sembra strano»

Dove atterra il costo reale

Il colpo alle prestazioni è la parte visibile: operazioni sui file che prima erano immediate prendono una tassa di doppia ispezione, e su hardware modesto si sente eccome. La parte invisibile è peggiore — un falso senso di sicurezza a strati. Due motori mediocri non fanno un motore buono; fanno due insiemi di bug, due canali di aggiornamento di cui fidarsi e due idee dei venditori su che aspetto ha un file «sospetto». Nel frattempo le cose che decidono davvero se ti infetti — livello di patch, igiene del browser, dove clicchi, se esistono backup — restano esattamente le stesse.

Cosa ti rende davvero più al sicuro

L'architettura che funziona è un motore real-time più un secondo parere on-demand. Tieni Defender o il tuo prodotto a pagamento come unico strato sempre attivo, e quando qualcosa non torna o dopo uno scarico a rischio lancia uno scanner on-demand di buona fama — le edizioni gratuite fanno benissimo questo lavoro. Oltre a quello, i guadagni vengono dalle cose noiose: aggiornamenti installati subito, UAC lasciato attivo, un browser aggiornato, una vera routine di backup e una sana diffidenza verso le versioni «gratuite» dei software a pagamento. Quello stack batte due motori real-time ogni giorno della settimana — e non costa un secondo di tempo disco.

Domande e risposte

Da leggere dopo