そのVPNインストーラーのスキャンレポートは、あなたのファイルのものか？

集約されたスキャンレポートはある時点で提出された一つのオブジェクトを記述するものであり、製品ファミリーではありません。検出結果が判断を変える前に、レポートのハッシュがディスク上のファイルと一致し、表示されたエンジン、日付、バージョン行がその成果物と一致することを確認してください。これら三つの項目のどれかが欠けていれば、ファイル名の隣の数字はまだあなたのビルドの証拠ではありません。以下の手順は順番に進み、どれもレビューを止める可能性があります。

スコアについて議論するのではなく、最初の不一致で止まってください。

スコアではなくファイルから始める

他の何かが触れる前に、成果物のSHA-256を記録します。再パッケージされたコピーが既にあるかもしれない共有フォルダーではなく、ダウンロードフォルダーからコピーし、ファイルのプロパティに表示されるバージョン文字列と発行元を書き留めます。二つ前のリリースのインストーラーに紐づくレポートは、製品名、アイコン、ベンダーが一致していても、今日ユーザーがインストールするビルドについては何も語りません。名前はファイルをパッケージした人が選びますが、ハッシュはそうではありません。

そのハッシュをレポートのリンクと一緒に保存し、後でペアを再確認できるようにします。

まず検出結果を、次にエンジンを読む

見出しの数字は何かに一致したエンジンを数えたもので、その一致は等価ではありません。名前付きシグネチャはエンジンが認識すると主張するファミリーや挙動を表し、ヒューリスティックやレピュテーションのラベルはルールの疑いを表すもので、より弱く、定義更新の間に揺らぎやすいものです。エンジンの列は、その検出をどのベンダーが所有し、したがってどのベンダーがレビューや修正を行えるかを示します。二つのエンジンが同じファイルを指摘しても、両方が同じシグネチャセットをコピーしていれば証拠が二倍になるわけではありません。

分析のタイムスタンプも確認してください。シグネチャが更新されたときや、ベンダーがサンプルを再分析したときに判定は変わることがあります。

レポートを手元の成果物と照合する

デプロイ元のプラットフォームでハッシュをローカルに計算し、レポートと一文字ずつ比較します。これらのコマンドはインストーラーを実行せずにダイジェストを出力します。

# Windows
certutil -hashfile .\vpn-client-setup.exe SHA256
Get-FileHash .\vpn-client-setup.exe -Algorithm SHA256

# macOS
shasum -a 256 ./VPNClient.pkg

# Debian/Ubuntu
sha256sum ./vpn-client_amd64.deb

一致するダイジェストは、レポートをそのバイト列に結びつけるだけで、それ以上ではありません。ダイジェストが異なれば、レポートは別のファイルのものであり、レビューはダウンロード元からやり直しになります。

ダイジェストが一致したら、エンジン、ラベル、バージョン、初出日、ファイルが署名またはパッケージされているかに関する注記まで、検出結果を全体として読みます。次に成果物自体で署名者のサブジェクトを確認するのは有効な署名が挙動を決着させずに発行元の身元を加えるからです。

質問を正しい所有者に回す

エンジンのベンダーだけが自身の検出を修正できるため、誤検知の申し立ては、ハッシュ、レポートの固定リンク、ファイルの説明を添えてそのベンダーのレビュー窓口に送ります。ソフトウェアの発行元はクリーンなビルドや説明を提供できますが、他社のラベルを削除することはできません。まず発行元にエスカレーションすると、通常は一週間が加わるだけで情報は増えません。

レビュー中はエンドポイント保護ポリシーをそのままにしておきます。スキャナーを無効にしたり、広いフォルダーの除外を追加したりすると、どのファイルが評価されたかに答えないまま警告は解消し、同じ状態の次の発生を隠してしまいます。

公開インストーラーを特定するのに必要な最小限の情報、すなわちハッシュ、ファイル名、バージョン、レポートのリンクを共有します。クライアントプロファイル、秘密鍵、完全なメモリイメージはそのために必要ではなく、そのいずれかをアップロードするとソフトウェアの問い合わせがデータ処理のインシデントに変わります。