не могу решить для себя, сейчас активирована пробная, сделал сислог на av события, за 3 дня только обновления, и с одного компа ошибка архива по сжатию
сеть - 80 компов, в инете сидят плотно
вопрос об экономии денег за счет подписки не стоит
но надо ли оно, спасало ли оно кого конкретно?

На мой взгляд можно и не покупать - лучше просто запретить пользователям скачивание определенных типов файлов, да оснастить каждую рабочую станцию нормальным антивирусным ПО. А так это будет лишняя нагрузка на маршрутизатор только.

с одной стороны да - не грузим dfl (но опять же трафик упал на 90% после внедрения wcf)
с другой стороны - двойной антивирус (один на раб. ст. и другой шлюзе) тоже считается рабочей схемой со своей "сермяжной правдой" (казенных денег мне не жалка)

кстати попробовал, на тестовом вирусе от Касперского, работает
архив с вирусом скачался, но не открывается (а без alg открывается, его локальный антивирь ловит)
-------------------------------------------------------------------------------
014-03-27
14:04:37 Warning ANTIVIRUS
5800001 TCP lan
core 192.168.0.46
212.5.89.44 2346
80 virus_found
block_data
filename="eicar.zip" virusname="EICAR-Test-File" virussig="EICAR-Test-File" advisoryid="AV1" algmod=http algsesid=335170 origsent=1263 termsent=84
-------------------------------------------------------------------------------

Насчет падения трафика на 90% не обольщайтесь -- можно в дальнейшем предсказать его возвращение к прежним значениям в результате:
1) Нахождения обходных путей: HTTPS, прокси и т. п.
2) Потока служебных записок на тему, что данному пользователю необходим доступ ко всему Интернету
и жалоб, что заблокирован очень нужный для работы сайт.