Ці справаздача сканіравання гэтага ўсталёўшчыка VPN пра ваш файл?

Зведзеная справаздача сканіравання апісвае адзін пададзены аб'ект у адзін момант, а не сямейства прадуктаў. Перш чым выяўленне зменіць хоць якое рашэнне, пераканайцеся, што хэш у справаздачы супадае з файлам на вашым дыску, а пазначаныя рухавік, дата і радок версіі адпавядаюць гэтаму артэфакту. Калі якога-небудзь з гэтых трох палёў няма, лік побач з імем файла яшчэ не з'яўляецца доказам пра вашу зборку. Крокі ніжэй выконваюцца па парадку, і кожны з іх можа спыніць разгляд.

Спыніцеся на першай неадпаведнасці, замест таго каб спрачацца пра бал.

Пачніце з файла, а не з бала

Запішыце SHA-256 артэфакта, перш чым што-небудзь іншае дакранецца да яго. Капіруйце яго з каталога загрузак, а не з агульнай папкі, якая можа ўжо ўтрымліваць перапакаваную копію, і адзначце радок версіі і выдаўцу, паказаныя ва ўласцівасцях файла. Справаздача, прывязаная да ўсталёўшчыка двух выпускаў таму, нічога не кажа пра зборку, якую вашы карыстальнікі ўсталююць сёння, нават калі назва прадукта, значок і пастаўшчык супадаюць. Назвы выбірае той, хто пакетаваў файл; хэшы не.

Захавайце гэты хэш разам са спасылкай на справаздачу, каб пару можна было пераправерыць пазней.

Спачатку прачытайце выяўленне, потым рухавік

Галоўны лік лічыць рухавікі, якія з чымсьці супалі, і гэтыя супадзенні не раўназначныя. Названая сігнатура апісвае сямейства або паводзіны, якія рухавік сцвярджае, што распазнае; эўрыстычная або рэпутацыйная метка апісвае падазрэнне правіла, якое слабейшае і больш схільнае да зруху паміж абнаўленнямі азначэнняў. Слупок рухавіка кажа, якому пастаўшчыку належыць знаходка і, такім чынам, які пастаўшчык можа яе разгледзець або выправіць. Два рухавікі, якія пазначаюць адзін і той жа файл, не двайны доказ, калі абодва скапіявалі адзін і той жа набор сігнатур.

Праверце таксама адзнаку часу аналізу. Вердыкт можа змяніцца, калі сігнатуры абнаўляюцца або калі пастаўшчык паўторна аналізуе ўзор.

Параўнайце справаздачу з артэфактам, які ў вас ёсць

Вылічыце хэш лакальна на платформе, з якой будзеце разгортваць, затым параўнайце яго знак за знакам са справаздачай. Гэтыя каманды выводзяць дайджэст, не выконваючы ўсталёўшчык.

# Windows
certutil -hashfile .\vpn-client-setup.exe SHA256
Get-FileHash .\vpn-client-setup.exe -Algorithm SHA256

# macOS
shasum -a 256 ./VPNClient.pkg

# Debian/Ubuntu
sha256sum ./vpn-client_amd64.deb

Супадаючы дайджэст прывязвае справаздачу да гэтай паслядоўнасці байтаў і ні да чаго больш. Калі дайджэсты розныя, справаздача належыць іншаму файлу, і разгляд пачынаецца зноў ад крыніцы загрузкі.

Калі дайджэсты супадаюць, прачытайце знаходку цалкам: рухавік, метка, версія, дата першага выяўлення і любая заўвага пра тое, што файл падпісаны або спакаваны. Затым праверце суб'ект подпісанта на самім артэфакце, бо сапраўдны подпіс дадае ідэнтычнасць выдаўца, не вырашаючы паводзіны.

Накіруйце пытанне да правільнага ўладальніка

Толькі пастаўшчык рухавіка можа змяніць уласнае выяўленне, таму заяўка пра хлуслівае спрацоўванне ідзе ў канал разгляду гэтага пастаўшчыка з хэшам, пастаяннай спасылкай на справаздачу і апісаннем файла. Выдавец праграмнага забеспячэння можа даць чыстую зборку або тлумачэнне, але не можа выдаліць метку іншай кампаніі. Эскалацыя спачатку да выдаўца звычайна дадае тыдзень і ніякай інфармацыі.

Трымайце палітыку абароны канчатковых кропак нязменнай, пакуль ідзе разгляд. Адключэнне сканера або даданне шырокага выключэння папкі вырашае папярэджанне, не адказваючы, які файл ацэньваўся, і хавае наступнае ўзнікненне таго ж стану.

Падзяліцеся мінімумам, неабходным для ідэнтыфікацыі публічнага ўсталёўшчыка: хэш, імя файла, версія і спасылка на справаздачу. Профіль кліента, прыватны ключ або поўны вобраз памяці для гэтага не патрэбныя, і загрузка аднаго з іх ператварае пытанне пра праграмнае забеспячэнне ў інцыдэнт апрацоўкі даных.