Er den scanningsrapport om VPN-installatøren din fil?

En samlet scanningsrapport beskriver ét indsendt objekt på ét tidspunkt, ikke en produktfamilie. Før en detektion ændrer nogen beslutning, skal du bekræfte, at hashen i rapporten svarer til filen på din disk, og at den mærkede motor, dato og versionslinje stemmer med netop det artefakt. Hvis et af de tre felter mangler, er tallet ved siden af filnavnet endnu ikke bevis om dit build. Trinene nedenfor kører i rækkefølge, og hvert af dem kan stoppe gennemgangen.

Stop ved den første uoverensstemmelse i stedet for at diskutere scoren.

Begynd med filen, ikke scoren

Notér artefaktets SHA-256, før noget andet rører det. Kopiér det fra downloadmappen i stedet for fra en delt mappe, der måske allerede indeholder en ompakket kopi, og notér versionsstrengen og udgiveren, der vises i filegenskaberne. En rapport, der peger på en installatør fra to udgivelser siden, siger intet om det build, dine brugere installerer i dag, selv når produktnavn, ikon og leverandør stemmer. Navne vælges af den, der pakkede filen; hashes gør ikke.

Gem hashen sammen med rapportlinket, så parret kan tjekkes igen senere.

Læs detektionen, derefter motoren

Hovedtallet tæller motorer, der matchede noget, og disse match er ikke ensbetydende. En navngivet signatur beskriver en familie eller adfærd, som motoren hævder at genkende; en heuristisk eller omdømmebaseret etiket beskriver en regels mistanke, som er svagere og mere tilbøjelig til at flytte sig mellem definitionsopdateringer. Motorkolonnen fortæller, hvilken leverandør der ejer fundet og derfor kan gennemgå eller rette det. To motorer, der markerer den samme fil, er ikke dobbelt bevis, hvis begge har kopieret det samme signatursæt.

Tjek også analysens tidsstempel. En dom kan ændre sig, når signaturer opdateres, eller når leverandøren analyserer prøven igen.

Sammenlign rapporten med det artefakt, du har

Beregn hashen lokalt på den platform, du vil implementere fra, og sammenlign den derefter tegn for tegn med rapporten. Disse kommandoer udskriver digesten uden at køre installatøren.

# Windows
certutil -hashfile .\vpn-client-setup.exe SHA256
Get-FileHash .\vpn-client-setup.exe -Algorithm SHA256

# macOS
shasum -a 256 ./VPNClient.pkg

# Debian/Ubuntu
sha256sum ./vpn-client_amd64.deb

En matchende digest binder rapporten til den bytefølge og intet mere. Hvis digesterne afviger, tilhører rapporten en anden fil, og gennemgangen starter forfra ved downloadkilden.

Når digesterne matcher, skal du læse fundet i sin helhed: motor, etiket, version, første-set-dato og enhver note om, at filen er signeret eller pakket. Tjek derefter underskriverens subjekt på selve artefaktet, fordi en gyldig signatur tilføjer udgiveridentitet uden at afgøre adfærd.

Send spørgsmålet til den rigtige ejer

Kun motorens leverandør kan revidere sin egen detektion, så en påstand om falsk positiv går til den leverandørs gennemgangskanal med hash, permanent link til rapporten og en beskrivelse af filen. Softwareudgiveren kan levere et rent build eller en forklaring, men kan ikke slette en anden virksomheds etiket. Eskalering til udgiveren først tilføjer normalt en uge og ingen information.

Hold endpointbeskyttelsespolitikken intakt, mens gennemgangen kører. At slå scanneren fra eller tilføje en bred mappeundtagelse løser advarslen uden at svare på, hvilken fil der blev vurderet, og det skjuler den næste forekomst af samme tilstand.

Del det minimum, der kræves for at identificere en offentlig installatør: hash, filnavn, version og rapportlink. En klientprofil, privat nøgle eller et fuldt hukommelsesbillede er ikke nødvendigt for det, og upload af en af dem gør et softwarespørgsmål til en datahåndteringshændelse.