Αφορά αυτή η αναφορά σάρωσης του εγκαταστάτη VPN το δικό σας αρχείο;

Μια συγκεντρωτική αναφορά σάρωσης περιγράφει ένα υποβληθέν αντικείμενο σε μία στιγμή, όχι μια οικογένεια προϊόντων. Πριν μια ανίχνευση αλλάξει οποιαδήποτε απόφαση, επιβεβαιώστε ότι το hash στην αναφορά ταιριάζει με το αρχείο στον δίσκο σας και ότι η επισημασμένη μηχανή, η ημερομηνία και η γραμμή έκδοσης αντιστοιχούν σε αυτό το τεχνούργημα. Αν λείπει οποιοδήποτε από αυτά τα τρία πεδία, ο αριθμός δίπλα στο όνομα αρχείου δεν είναι ακόμη απόδειξη για την έκδοσή σας. Τα βήματα παρακάτω εκτελούνται με σειρά και καθένα μπορεί να σταματήσει την εξέταση.

Σταματήστε στην πρώτη ασυμφωνία αντί να διαφωνείτε για τη βαθμολογία.

Ξεκινήστε από το αρχείο, όχι από τη βαθμολογία

Καταγράψτε το SHA-256 του τεχνήματος πριν το αγγίξει οτιδήποτε άλλο. Αντιγράψτε το από τον κατάλογο λήψεων και όχι από κοινόχρηστο φάκελο που μπορεί να περιέχει ήδη συσκευασμένο αντίγραφο, και σημειώστε τη συμβολοσειρά έκδοσης και τον εκδότη που εμφανίζονται στις ιδιότητες του αρχείου. Μια αναφορά που αφορά εγκαταστάτη δύο εκδόσεων πίσω δεν λέει τίποτα για την έκδοση που θα εγκαταστήσουν σήμερα οι χρήστες σας, ακόμη και όταν το όνομα προϊόντος, το εικονίδιο και ο προμηθευτής ταιριάζουν. Τα ονόματα τα επιλέγει όποιος συσκεύασε το αρχείο· τα hashes όχι.

Φυλάξτε αυτό το hash μαζί με τον σύνδεσμο της αναφοράς ώστε το ζεύγος να μπορεί να ελεγχθεί ξανά αργότερα.

Διαβάστε την ανίχνευση και μετά τη μηχανή

Ο κύριος αριθμός μετρά μηχανές που ταίριαξαν με κάτι, και αυτά τα ταιριάσματα δεν είναι ισοδύναμα. Μια ονομασμένη υπογραφή περιγράφει μια οικογένεια ή συμπεριφορά που η μηχανή ισχυρίζεται ότι αναγνωρίζει· μια ευρετική ή φήμης ένδειξη περιγράφει την υποψία ενός κανόνα, που είναι ασθενέστερη και πιο επιρρεπής σε μετατόπιση μεταξύ ενημερώσεων ορισμών. Η στήλη της μηχανής σάς λέει ποιος προμηθευτής κατέχει το εύρημα και επομένως ποιος προμηθευτής μπορεί να το εξετάσει ή να το διορθώσει. Δύο μηχανές που επισημαίνουν το ίδιο αρχείο δεν είναι διπλή απόδειξη αν και οι δύο αντέγραψαν το ίδιο σύνολο υπογραφών.

Ελέγξτε και τη χρονική σφραγίδα της ανάλυσης. Μια ετυμηγορία μπορεί να αλλάξει όταν ενημερώνονται οι υπογραφές ή όταν ο προμηθευτής αναλύει ξανά το δείγμα.

Συγκρίνετε την αναφορά με το τεχνούργημα που έχετε

Υπολογίστε το hash τοπικά στην πλατφόρμα από την οποία θα αναπτύξετε και μετά συγκρίνετε το χαρακτήρα προς χαρακτήρα με την αναφορά. Αυτές οι εντολές εκτυπώνουν το digest χωρίς να εκτελέσουν τον εγκαταστάτη.

# Windows
certutil -hashfile .\vpn-client-setup.exe SHA256
Get-FileHash .\vpn-client-setup.exe -Algorithm SHA256

# macOS
shasum -a 256 ./VPNClient.pkg

# Debian/Ubuntu
sha256sum ./vpn-client_amd64.deb

Ένα ταιριαστό digest συνδέει την αναφορά με αυτή την ακολουθία byte και τίποτα άλλο. Αν τα digest διαφέρουν, η αναφορά ανήκει σε άλλο αρχείο και η εξέταση ξεκινά ξανά από την πηγή λήψης.

Όταν τα digest ταιριάζουν, διαβάστε το εύρημα ολόκληρο: μηχανή, ένδειξη, έκδοση, ημερομηνία πρώτης εμφάνισης και οποιαδήποτε σημείωση για το αν το αρχείο είναι υπογεγραμμένο ή συσκευασμένο. Έπειτα ελέγξτε το υποκείμενο του υπογράφοντος στο ίδιο το τεχνούργημα, διότι μια έγκυρη υπογραφή προσθέτει ταυτότητα εκδότη χωρίς να αποφασίζει τη συμπεριφορά.

Δρομολογήστε την ερώτηση στον σωστό ιδιοκτήτη

Μόνο ο προμηθευτής της μηχανής μπορεί να αναθεωρήσει τη δική του ανίχνευση, οπότε ένας ισχυρισμός ψευδούς θετικού πηγαίνει στο κανάλι εξέτασης αυτού του προμηθευτή με το hash, τον μόνιμο σύνδεσμο της αναφοράς και μια περιγραφή του αρχείου. Ο εκδότης του λογισμικού μπορεί να προσφέρει καθαρή έκδοση ή εξήγηση, αλλά δεν μπορεί να διαγράψει την ένδειξη άλλης εταιρείας. Η κλιμάκωση πρώτα στον εκδότη συνήθως προσθέτει μια εβδομάδα και καμία πληροφορία.

Κρατήστε την πολιτική προστασίας τελικών σημείων ανέπαφη όσο διαρκεί η εξέταση. Η απενεργοποίηση του σαρωτή ή η προσθήκη ευρείας εξαίρεσης φακέλου λύνει την ειδοποίηση χωρίς να απαντά ποιο αρχείο αξιολογήθηκε, και κρύβει την επόμενη εμφάνιση της ίδιας κατάστασης.

Μοιραστείτε το ελάχιστο που χρειάζεται για να αναγνωριστεί ένας δημόσιος εγκαταστάτης: hash, όνομα αρχείου, έκδοση και σύνδεσμο αναφοράς. Ένα προφίλ πελάτη, ένα ιδιωτικό κλειδί ή μια πλήρης εικόνα μνήμης δεν απαιτούνται για αυτό, και η μεταφόρτωση ενός από αυτά μετατρέπει ένα ερώτημα λογισμικού σε περιστατικό χειρισμού δεδομένων.