Arról a fájlról szól a VPN-telepítő szkennelési jelentése?

Egy összesített szkennelési jelentés egyetlen benyújtott objektumot ír le egyetlen pillanatban, nem termékcsaládot. Mielőtt egy észlelés bármilyen döntést megváltoztat, erősítse meg, hogy a jelentésben szereplő hash megegyezik a lemezen lévő fájllal, és hogy a megjelölt motor, dátum és verziósor ehhez az artefaktumhoz tartozik. Ha e három mező bármelyike hiányzik, a fájlnév melletti szám még nem bizonyíték az összeállítására. Az alábbi lépések sorrendben futnak, és mindegyik megállíthatja az átvizsgálást.

Az első eltérésnél álljon meg, ahelyett hogy a pontszámról vitatkozna.

A fájllal kezdje, nem a pontszámmal

Jegyezze fel az artefaktum SHA-256 értékét, mielőtt bármi más hozzáér. A letöltési könyvtárból másolja, ne egy megosztott mappából, amely már tartalmazhat újracsomagolt példányt, és jegyezze fel a fájl tulajdonságaiban látható verziószöveget és kiadót. Egy két kiadással korábbi telepítőhöz kötött jelentés semmit sem mond arról az összeállításról, amelyet a felhasználói ma telepíteni fognak, akkor sem, ha a terméknév, az ikon és a szállító egyezik. A neveket az választja, aki a fájlt csomagolta; a hash-eket nem.

Őrizze meg ezt a hasht a jelentés hivatkozásával együtt, hogy a párt később újra ellenőrizni lehessen.

Először az észlelést olvassa el, aztán a motort

A fő szám azokat a motorokat számolja, amelyek valamire illeszkedtek, és ezek az egyezések nem egyenértékűek. Egy megnevezett aláírás olyan családot vagy viselkedést ír le, amelyet a motor állítása szerint felismer; egy heurisztikus vagy hírnévcímke egy szabály gyanúját írja le, amely gyengébb és jobban elcsúszik a definíciófrissítések között. A motor oszlopa megmondja, melyik szállító birtokolja a leletet, és ezért melyik szállító vizsgálhatja felül vagy javíthatja. Két motor, amely ugyanazt a fájlt megjelöli, nem kétszeres bizonyíték, ha mindkettő ugyanazt az aláíráskészletet másolta.

Ellenőrizze az elemzés időbélyegét is. Az ítélet megváltozhat, amikor az aláírások frissülnek, vagy amikor a szállító újra elemzi a mintát.

Hasonlítsa össze a jelentést a nála lévő artefaktummal

Számítsa ki a hasht helyben azon a platformon, amelyről telepíteni fog, majd hasonlítsa össze karakterről karakterre a jelentéssel. Ezek a parancsok kinyomtatják az összegzést anélkül, hogy futtatnák a telepítőt.

# Windows
certutil -hashfile .\vpn-client-setup.exe SHA256
Get-FileHash .\vpn-client-setup.exe -Algorithm SHA256

# macOS
shasum -a 256 ./VPNClient.pkg

# Debian/Ubuntu
sha256sum ./vpn-client_amd64.deb

Egyező összegzés köti a jelentést ehhez a bájtsorozathoz és semmi máshoz. Ha az összegzések eltérnek, a jelentés másik fájlhoz tartozik, és az átvizsgálás a letöltési forrásnál kezdődik újra.

Amikor az összegzések egyeznek, olvassa el a leletet teljes egészében: motor, címke, verzió, első észlelés dátuma és minden megjegyzés arról, hogy a fájl aláírt vagy csomagolt-e. Ezután ellenőrizze az aláíró tárgyát magán az artefaktumon, mert egy érvényes aláírás hozzáadja a kiadó identitását anélkül, hogy eldöntené a viselkedést.

A kérdést a megfelelő tulajdonoshoz irányítsa

Csak a motor szállítója módosíthatja a saját észlelését, ezért a hamis pozitív állítás ahhoz a szállítóhoz kerül az átvizsgálási csatornán, a hash-sel, a jelentés állandó hivatkozásával és a fájl leírásával. A szoftverkiadó adhat tiszta összeállítást vagy magyarázatot, de nem törölheti egy másik vállalat címkéjét. Ha először a kiadóhoz fordulnak, az általában egy hetet ad hozzá és semmi információt.

Tartsa érintetlenül a végpontvédelmi szabályzatot az átvizsgálás alatt. A szkenner kikapcsolása vagy egy széles mappakizárás hozzáadása megoldja a riasztást anélkül, hogy megválaszolná, melyik fájlt értékelték, és elrejti ugyanazon állapot következő előfordulását.

Ossza meg a nyilvános telepítő azonosításához szükséges minimumot: hash, fájlnév, verzió és a jelentés hivatkozása. Ügyfélprofil, privát kulcs vagy teljes memóriakép nem szükséges ehhez, és ezek egyikének feltöltése egy szoftverkérdést adatkezelési incidensté változtat.