그 VPN 설치 프로그램의 검사 보고서가 당신의 파일에 관한 것인가?

집계된 검사 보고서는 한 시점에 제출된 하나의 객체를 설명하는 것이지 제품군이 아닙니다. 탐지 결과가 어떤 결정을 바꾸기 전에, 보고서의 해시가 디스크의 파일과 일치하는지, 표시된 엔진과 날짜와 버전 행이 그 산출물과 일치하는지 확인하십시오. 이 세 항목 중 하나라도 빠지면 파일 이름 옆의 숫자는 아직 당신의 빌드에 대한 증거가 아닙니다. 아래 단계는 순서대로 진행되며, 각 단계에서 검토를 멈출 수 있습니다.

점수에 대해 논쟁하기보다 첫 불일치에서 멈추십시오.

점수가 아니라 파일에서 시작하십시오

다른 무엇이 그것을 건드리기 전에 산출물의 SHA-256을 기록하십시오. 다시 패키징된 사본이 이미 있을 수 있는 공유 폴더가 아니라 다운로드 디렉터리에서 복사하고, 파일 속성에 표시된 버전 문자열과 게시자를 적어 두십시오. 두 릴리스 전의 설치 프로그램에 연결된 보고서는 제품 이름, 아이콘, 공급업체가 일치하더라도 오늘 사용자가 설치할 빌드에 대해 아무것도 말하지 않습니다. 이름은 파일을 패키징한 사람이 고르지만 해시는 그렇지 않습니다.

그 해시를 보고서 링크와 함께 저장해 나중에 쌍을 다시 확인할 수 있게 하십시오.

먼저 탐지를, 그다음 엔진을 읽으십시오

헤드라인 숫자는 무언가와 일치한 엔진을 세는 것이며, 그 일치는 등가가 아닙니다. 이름이 붙은 서명은 엔진이 인식한다고 주장하는 제품군이나 동작을 설명하고, 휴리스틱이나 평판 레이블은 규칙의 의심을 설명하는데 이는 더 약하고 정의 업데이트 사이에 더 흔들립니다. 엔진 열은 그 발견을 어느 공급업체가 소유하는지, 따라서 어느 공급업체가 검토하거나 수정할 수 있는지 알려 줍니다. 두 엔진이 같은 파일을 표시하더라도 둘 다 같은 서명 집합을 복사했다면 증거가 두 배가 되지는 않습니다.

분석 타임스탬프도 확인하십시오. 서명이 업데이트되거나 공급업체가 샘플을 다시 분석하면 판정이 바뀔 수 있습니다.

보고서를 가지고 있는 산출물과 대조하십시오

배포할 플랫폼에서 해시를 로컬로 계산한 다음, 보고서와 문자 단위로 비교하십시오. 이 명령들은 설치 프로그램을 실행하지 않고 다이제스트를 출력합니다.

# Windows
certutil -hashfile .\vpn-client-setup.exe SHA256
Get-FileHash .\vpn-client-setup.exe -Algorithm SHA256

# macOS
shasum -a 256 ./VPNClient.pkg

# Debian/Ubuntu
sha256sum ./vpn-client_amd64.deb

일치하는 다이제스트는 보고서를 그 바이트 시퀀스에 묶을 뿐 그 이상은 아닙니다. 다이제스트가 다르면 보고서는 다른 파일의 것이며 검토는 다운로드 출처에서 다시 시작됩니다.

다이제스트가 일치하면 엔진, 레이블, 버전, 처음 발견된 날짜, 그리고 파일이 서명되었거나 패키징되었다는 어떤 메모까지 발견 내용을 전체로 읽으십시오. 그런 다음 산출물 자체에서 서명자의 주체를 확인하십시오, 왜냐하면 유효한 서명은 동작을 결정하지 않은 채 게시자 신원을 더하기 때문입니다.

질문을 올바른 소유자에게 보내십시오

엔진 공급업체만이 자사의 탐지를 수정할 수 있으므로, 오탐 주장은 해시, 보고서의 고정 링크, 파일 설명과 함께 그 공급업체의 검토 채널로 갑니다. 소프트웨어 게시자는 깨끗한 빌드나 설명을 제공할 수 있지만 다른 회사의 레이블을 삭제할 수는 없습니다. 먼저 게시자에게 에스컬레이션하면 보통 일주일이 더 걸리고 정보는 얻지 못합니다.

검토가 진행되는 동안 엔드포인트 보호 정책을 그대로 두십시오. 스캐너를 끄거나 광범위한 폴더 제외를 추가하면 어떤 파일이 평가되었는지에 답하지 않은 채 경고를 해결하고, 같은 상태의 다음 발생을 숨깁니다.

공개 설치 프로그램을 식별하는 데 필요한 최소 정보, 즉 해시, 파일 이름, 버전, 보고서 링크를 공유하십시오. 클라이언트 프로필, 개인 키, 전체 메모리 이미지는 그에 필요하지 않으며, 그중 하나를 업로드하면 소프트웨어 질문이 데이터 처리 사고로 바뀝니다.