Gehört dieser Scan-Bericht zum VPN-Installer zu Ihrer Datei?

Ein zusammengefasster Scan-Bericht beschreibt ein eingereichtes Objekt zu einem Zeitpunkt, nicht eine Produktfamilie. Bevor ein Fund eine Entscheidung ändert, bestätigen Sie, dass der Hash im Bericht zur Datei auf Ihrer Festplatte passt und dass die angegebene Engine, das Datum und die Versionszeile zu genau diesem Artefakt gehören. Fehlt eines dieser drei Felder, ist die Zahl neben dem Dateinamen noch kein Beleg über Ihren Build. Die folgenden Schritte laufen der Reihe nach, und jeder kann die Prüfung beenden.

Halten Sie beim ersten Widerspruch an, statt über die Bewertung zu streiten.

Beginnen Sie mit der Datei, nicht mit der Bewertung

Notieren Sie die SHA-256 des Artefakts, bevor etwas anderes es berührt. Kopieren Sie ihn aus dem Download-Verzeichnis und nicht aus einem freigegebenen Ordner, der bereits eine neu gepackte Kopie enthalten kann, und notieren Sie Versionszeichenfolge und Herausgeber aus den Dateieigenschaften. Ein Bericht zu einem Installer von vor zwei Releases sagt nichts über den Build, den Ihre Nutzer heute installieren, selbst wenn Produktname, Symbol und Anbieter übereinstimmen. Namen wählt, wer die Datei gepackt hat; Hashes nicht.

Bewahren Sie diesen Hash zusammen mit dem Berichtslink auf, damit das Paar später erneut geprüft werden kann.

Lesen Sie zuerst den Fund, dann die Engine

Die Kopfzahl zählt Engines, die auf etwas angesprungen sind, und diese Treffer sind nicht gleichwertig. Eine benannte Signatur beschreibt eine Familie oder ein Verhalten, das die Engine zu erkennen behauptet; eine heuristische oder Reputations-Kennzeichnung beschreibt den Verdacht einer Regel, der schwächer ist und zwischen Definitionsupdates eher wandert. Die Engine-Spalte sagt Ihnen, welcher Anbieter den Fund besitzt und ihn daher prüfen oder korrigieren kann. Zwei Engines, die dieselbe Datei markieren, sind kein doppelter Beweis, wenn beide denselben Signatursatz kopiert haben.

Prüfen Sie auch den Zeitstempel der Analyse. Ein Urteil kann sich ändern, wenn Signaturen aktualisiert werden oder der Anbieter die Probe erneut analysiert.

Vergleichen Sie den Bericht mit dem Artefakt, das Sie haben

Berechnen Sie den Hash lokal auf der Plattform, von der aus Sie bereitstellen, und vergleichen Sie ihn dann Zeichen für Zeichen mit dem Bericht. Diese Befehle geben den Digest aus, ohne den Installer auszuführen.

# Windows
certutil -hashfile .\vpn-client-setup.exe SHA256
Get-FileHash .\vpn-client-setup.exe -Algorithm SHA256

# macOS
shasum -a 256 ./VPNClient.pkg

# Debian/Ubuntu
sha256sum ./vpn-client_amd64.deb

Ein übereinstimmender Digest bindet den Bericht an diese Bytefolge und an nichts weiter. Weichen die Digests ab, gehört der Bericht zu einer anderen Datei, und die Prüfung beginnt bei der Download-Quelle von vorn.

Wenn die Digests übereinstimmen, lesen Sie den Fund vollständig: Engine, Kennzeichnung, Version, Datum des ersten Auftretens und jede Notiz dazu, ob die Datei signiert oder gepackt ist. Prüfen Sie dann den Subjektnamen des Unterzeichners am Artefakt selbst, denn eine gültige Signatur ergänzt die Herausgeberidentität, ohne das Verhalten zu klären.

Richten Sie die Frage an den richtigen Eigentümer

Nur der Anbieter der Engine kann seine eigene Erkennung überarbeiten, deshalb geht eine Falschpositiv-Beschwerde an den Prüfkanal dieses Anbieters, mit Hash, dauerhaftem Berichtslink und einer Beschreibung der Datei. Der Softwareherausgeber kann einen sauberen Build oder eine Erklärung liefern, aber nicht die Kennzeichnung eines anderen Unternehmens löschen. Eine Eskalation zuerst an den Herausgeber kostet meist eine Woche und bringt keine Information.

Lassen Sie die Endpunktschutz-Richtlinie während der Prüfung unangetastet. Den Scanner abzuschalten oder einen breiten Ordnerausschluss hinzuzufügen beseitigt die Warnung, ohne zu beantworten, welche Datei bewertet wurde, und verdeckt das nächste Auftreten desselben Zustands.

Teilen Sie das Minimum, das zur Identifizierung eines öffentlichen Installers nötig ist: Hash, Dateiname, Version und Berichtslink. Ein Clientprofil, ein privater Schlüssel oder ein vollständiges Speicherabbild sind dafür nicht erforderlich, und das Hochladen eines davon macht aus einer Softwarefrage einen Vorfall beim Umgang mit Daten.