Je ten skenovací report VPN instalátoru o vašem souboru?

Souhrnný skenovací report popisuje jeden předložený objekt v jednom okamžiku, ne produktovou řadu. Než detekce změní jakékoli rozhodnutí, ověřte, že hash v reportu odpovídá souboru na vašem disku a že označený engine, datum a řádek verze odpovídají tomuto artefaktu. Pokud některé z těchto tří polí chybí, číslo vedle názvu souboru ještě není důkazem o vašem buildu. Kroky níže se provádějí v pořadí a každý z nich může kontrolu zastavit.

Zastavte se u prvního rozporu, místo abyste se přeli o skóre.

Začněte souborem, ne skóre

Zaznamenejte SHA-256 artefaktu dřív, než se ho cokoli jiného dotkne. Zkopírujte ho z adresáře pro stahování, ne ze sdílené složky, která už může obsahovat přebalenou kopii, a poznamenejte si řetězec verze a vydavatele uvedené ve vlastnostech souboru. Report vázaný na instalátor ze dvou vydání zpět nic neříká o buildu, který vaši uživatelé nainstalují dnes, i když název produktu, ikona a dodavatel souhlasí. Názvy volí ten, kdo soubor zabalil; hashe ne.

Uložte tento hash spolu s odkazem na report, aby se dvojice mohla později znovu ověřit.

Přečtěte detekci, pak engine

Hlavní číslo počítá enginy, které na něco shodně ukázaly, a tato shody nejsou rovnocenné. Pojmenovaný podpis popisuje rodinu nebo chování, které engine tvrdí, že rozpoznává; heuristický nebo reputační štítek popisuje podezření pravidla, které je slabší a náchylnější k posunu mezi aktualizacemi definic. Sloupec enginu vám říká, který dodavatel nález vlastní, a tedy který dodavatel jej může přezkoumat nebo opravit. Dva enginy označující stejný soubor nejsou dvojnásobným důkazem, pokud oba zkopírovaly stejnou sadu podpisů.

Zkontrolujte také časové razítko analýzy. Verdikt se může změnit, když se aktualizují podpisy nebo když dodavatel znovu analyzuje vzorek.

Porovnejte report s artefaktem, který máte

Vypočítejte hash lokálně na platformě, ze které budete nasazovat, a poté jej porovnejte znak po znaku s reportem. Tyto příkazy vypíšou digest, aniž by spustily instalátor.

# Windows
certutil -hashfile .\vpn-client-setup.exe SHA256
Get-FileHash .\vpn-client-setup.exe -Algorithm SHA256

# macOS
shasum -a 256 ./VPNClient.pkg

# Debian/Ubuntu
sha256sum ./vpn-client_amd64.deb

Shodný digest váže report k této posloupnosti bajtů a k ničemu dalšímu. Pokud se digesty liší, report patří jinému souboru a kontrola začíná znovu u zdroje stahování.

Když se digesty shodují, přečtěte nález celý: engine, štítek, verze, datum prvního výskytu a jakoukoli poznámku o tom, že je soubor podepsaný nebo zabalený. Poté zkontrolujte subjekt podepisujícího na samotném artefaktu, protože platný podpis přidává identitu vydavatele, aniž by vyřešil chování.

Nasměrujte otázku správnému vlastníkovi

Pouze dodavatel enginu může revidovat své vlastní detekce, takže tvrzení o falešně pozitivním nálezu jde do recenzního kanálu tohoto dodavatele s hashem, trvalým odkazem na report a popisem souboru. Vydavatel softwaru může dodat čistý build nebo vysvětlení, ale nemůže smazat štítek jiné společnosti. Eskalace nejprve na vydavatele obvykle přidá týden a žádnou informaci.

Zachovejte politiku ochrany koncových bodů beze změny, dokud kontrola běží. Vypnutí skeneru nebo přidání široké výjimky složky vyřeší upozornění, aniž by odpovědělo, který soubor byl posuzován, a skryje další výskyt stejného stavu.

Sdílejte minimum potřebné k identifikaci veřejného instalátoru: hash, název souboru, verzi a odkaz na report. Klientský profil, soukromý klíč nebo úplný obraz paměti k tomu nejsou potřeba a nahrání jednoho z nich mění softwarovou otázku v incident nakládání s daty.