Koskeeko tuo VPN-asentajan skannausraportti sinun tiedostoasi?

Yhdistetty skannausraportti kuvaa yhtä lähetettyä kohdetta yhdellä hetkellä, ei tuoteperhettä. Ennen kuin havainto muuttaa mitään päätöstä, varmista, että raportin tiiviste vastaa levylläsi olevaa tiedostoa ja että merkitty moottori, päiväys ja versiorivi vastaavat juuri sitä artefaktia. Jos jokin näistä kolmesta kentästä puuttuu, tiedostonimen vieressä oleva luku ei ole vielä todiste versiostasi. Alla olevat vaiheet etenevät järjestyksessä, ja jokainen niistä voi pysäyttää tarkastelun.

Pysähdy ensimmäiseen ristiriitaan sen sijaan että väittelisit pistemäärästä.

Aloita tiedostosta, älä pistemäärästä

Kirjaa artefaktin SHA-256 ennen kuin mikään muu koskee siihen. Kopioi se latauskansiosta, älä jaetusta kansiosta, jossa voi jo olla uudelleenpakattu kopio, ja merkitse tiedoston ominaisuuksissa näkyvä versiomerkkijono ja julkaisija. Kaksi julkaisua vanhempaan asentajaan viittaava raportti ei kerro mitään versiosta, jonka käyttäjäsi asentavat tänään, vaikka tuotteen nimi, kuvake ja toimittaja täsmäisivät. Nimet valitsee se, joka pakkasi tiedoston; tiivisteitä ei.

Säilytä tiiviste raportin linkin kanssa, jotta pari voidaan tarkistaa myöhemmin uudelleen.

Lue havainto, sitten moottori

Otsikkoluku laskee moottoreita, jotka täsmäsivät johonkin, eivätkä nämä osumat ole samanarvoisia. Nimetty allekirjoitus kuvaa perhettä tai toimintaa, jonka moottori väittää tunnistavansa; heuristinen tai maineeseen perustuva merkintä kuvaa säännön epäilyä, joka on heikompi ja siirtyy herkemmin määritelmäpäivitysten välillä. Moottorisarake kertoo, kenen toimittajan havainto on ja siten kuka toimittaja voi tarkastaa tai korjata sen. Kaksi moottoria, jotka merkitsevät saman tiedoston, eivät ole kaksinkertainen todiste, jos molemmat kopioivat saman allekirjoitusjoukon.

Tarkista myös analyysin aikaleima. Tuomio voi muuttua, kun allekirjoitukset päivittyvät tai kun toimittaja analysoi näytteen uudelleen.

Vertaa raporttia artefaktiin, joka sinulla on

Laske tiiviste paikallisesti alustalla, josta aiot ottaa käyttöön, ja vertaa sitä sitten merkki merkiltä raporttiin. Nämä komennot tulostavat tiivisteen suorittamatta asentajaa.

# Windows
certutil -hashfile .\vpn-client-setup.exe SHA256
Get-FileHash .\vpn-client-setup.exe -Algorithm SHA256

# macOS
shasum -a 256 ./VPNClient.pkg

# Debian/Ubuntu
sha256sum ./vpn-client_amd64.deb

Täsmäävä tiiviste sitoo raportin tuohon tavujaksoon eikä mihinkään muuhun. Jos tiivisteet eroavat, raportti kuuluu toiselle tiedostolle ja tarkastelu alkaa uudelleen latauslähteestä.

Kun tiivisteet täsmäävät, lue havainto kokonaan: moottori, merkintä, versio, ensimmäisen havaitsemisen päiväys ja mahdollinen huomautus tiedoston allekirjoittamisesta tai pakkaamisesta. Tarkista sitten allekirjoittajan subjekti itse artefaktista, koska kelvollinen allekirjoitus lisää julkaisijan identiteetin ratkaisematta toimintaa.

Ohjaa kysymys oikealle omistajalle

Vain moottorin toimittaja voi muuttaa omaa havaintoaan, joten väite väärästä positiivisesta menee kyseisen toimittajan tarkastuskanavaan tiivisteen, raportin pysyvän linkin ja tiedoston kuvauksen kanssa. Ohjelmiston julkaisija voi toimittaa puhtaan version tai selityksen, mutta ei voi poistaa toisen yrityksen merkintää. Eskalointi ensin julkaisijalle lisää yleensä viikon eikä mitään tietoa.

Pidä päätepisteiden suojauskäytäntö muuttumattomana tarkastelun ajan. Skannerin sammuttaminen tai laajan kansiopoikkeuksen lisääminen ratkaisee hälytyksen vastaamatta siihen, mikä tiedosto arvioitiin, ja se piilottaa saman tilan seuraavan esiintymän.

Jaa vähimmäistiedot julkisen asentajan tunnistamiseksi: tiiviste, tiedostonimi, versio ja raportin linkki. Asiakasprofiilia, yksityistä avainta tai täyttä muistikuvia ei siihen tarvita, ja yhden niistä lataaminen muuttaa ohjelmistokysymyksen tietojenkäsittelytapahtumaksi.