Vai tas VPN instalētāja skenēšanas ziņojums ir par jūsu failu?

Apkopotais skenēšanas ziņojums apraksta vienu iesniegtu objektu vienā mirklī, nevis produktu saimi. Pirms atklājums maina jebkuru lēmumu, pārliecinieties, ka ziņojumā esošā jaucējvērtība atbilst failam jūsu diskā un ka atzīmētais dzinējs, datums un versijas rinda atbilst šim artefaktam. Ja kāds no šiem trim laukiem trūkst, skaitlis blakus faila nosaukumam vēl nav pierādījums par jūsu būvējumu. Tālāk minētās darbības notiek secīgi, un katra no tām var apturēt pārbaudi.

Apstājieties pie pirmās neatbilstības, nevis strīdieties par vērtējumu.

Sāciet ar failu, nevis ar vērtējumu

Pierakstiet artefakta SHA-256, pirms kaut kas cits tam pieskaras. Kopējiet to no lejupielādes mapes, nevis no koplietotas mapes, kurā jau var būt pārpakota kopija, un pierakstiet faila rekvizītos redzamo versijas virkni un izdevēju. Ziņojums, kas attiecas uz instalētāju no diviem laidieniem atpakaļ, neko nepasaka par būvējumu, ko jūsu lietotāji instalēs šodien, pat ja produkta nosaukums, ikona un piegādātājs sakrīt. Nosaukumus izvēlas tas, kurš iesaiņoja failu; jaucējvērtības — ne.

Glabājiet šo jaucējvērtību kopā ar ziņojuma saiti, lai pāri varētu vēlāk pārbaudīt vēlreiz.

Vispirms izlasiet atklājumu, tad dzinēju

Galvenais skaitlis skaita dzinējus, kas uz kaut ko reaģēja, un šīs atbilstības nav līdzvērtīgas. Nosauktais paraksts apraksta saimi vai uzvedību, ko dzinējs apgalvo, ka atpazīst; heiristiskais vai reputācijas apzīmējums apraksta noteikuma aizdomas, kas ir vājākas un biežāk pārvietojas starp definīciju atjauninājumiem. Dzinēja kolonna parāda, kuram piegādātājam pieder atradums un tāpēc kurš piegādātājs to var pārskatīt vai labot. Divi dzinēji, kas atzīmē vienu un to pašu failu, nav dubults pierādījums, ja abi nokopējuši vienu un to pašu parakstu kopu.

Pārbaudiet arī analīzes laika zīmi. Spriedums var mainīties, kad paraksti tiek atjaunināti vai kad piegādātājs paraugu analizē no jauna.

Salīdziniet ziņojumu ar artefaktu, kas jums ir

Aprēķiniet jaucējvērtību lokāli platformā, no kuras izvietosit, pēc tam salīdziniet to ar ziņojumu burtu pa burtam. Šīs komandas izdrukā kopsavilkumu, neizpildot instalētāju.

# Windows
certutil -hashfile .\vpn-client-setup.exe SHA256
Get-FileHash .\vpn-client-setup.exe -Algorithm SHA256

# macOS
shasum -a 256 ./VPNClient.pkg

# Debian/Ubuntu
sha256sum ./vpn-client_amd64.deb

Atbilstošs kopsavilkums saista ziņojumu ar šo baitu secību un neko citu. Ja kopsavilkumi atšķiras, ziņojums pieder citam failam, un pārbaude sākas no jauna lejupielādes avotā.

Kad kopsavilkumi sakrīt, izlasiet atradumu pilnībā: dzinējs, apzīmējums, versija, pirmās parādīšanās datums un jebkura piezīme par to, vai fails ir parakstīts vai iesaiņots. Pēc tam pārbaudiet parakstītāja subjektu pašā artefaktā, jo derīgs paraksts pievieno izdevēja identitāti, neatrisinot uzvedību.

Novirziet jautājumu pareizajam īpašniekam

Tikai dzinēja piegādātājs var pārskatīt savu atklājumu, tāpēc nepatiesa pozitīva apgalvojums dodas uz šī piegādātāja pārskatīšanas kanālu ar jaucējvērtību, pastāvīgo ziņojuma saiti un faila aprakstu. Programmatūras izdevējs var sniegt tīru būvējumu vai skaidrojumu, bet nevar izdzēst citas firmas apzīmējumu. Vispirms vērsties pie izdevēja parasti pievieno nedēļu un nekādu informāciju.

Saglabājiet galapunktu aizsardzības politiku nemainīgu, kamēr notiek pārbaude. Skenera izslēgšana vai plašas mapes izņēmuma pievienošana atrisina brīdinājumu, neatbildot, kurš fails tika novērtēts, un tā paslēpj nākamo tā paša stāvokļa gadījumu.

Kopīgojiet minimumu, kas nepieciešams publiska instalētāja identificēšanai: jaucējvērtība, faila nosaukums, versija un ziņojuma saite. Klienta profils, privātā atslēga vai pilns atmiņas attēls tam nav vajadzīgi, un viena no tiem augšupielāde pārvērš programmatūras jautājumu par datu apstrādes incidentu.