Дали тој извештај од скенирањето на инсталатерот на VPN е за твојата датотека?

Збирен извештај од скенирање опишува еден поднесен објект во еден момент, а не продуктна фамилија. Пред детекцијата да промени која било одлука, потврдете дека хеш-вредноста во извештајот се совпаѓа со датотеката на вашиот диск и дека означениот мотор, датумот и линијата на верзијата одговараат на тој артефакт. Ако недостасува некое од тие три полиња, бројот до името на датотеката сѐ уште не е доказ за вашата изградба. Чекорите подолу се извршуваат по ред и секој од нив може да го запре прегледот.

Запрете на првото несовпаѓање наместо да се расправате за резултатот.

Започнете со датотеката, а не со резултатот

Запишете ја SHA-256 на артефактот пред сѐ друго да го допре. Копирајте ја од папката за преземање, а не од споделена папка која веќе може да содржи препакувано копие, и запишете ја низата на верзијата и издавачот прикажани во својствата на датотеката. Извештај врзан за инсталатер од две изданија порано не кажува ништо за изградбата што вашите корисници ќе ја инсталираат денес, дури и кога името на производот, иконата и добавувачот се совпаѓаат. Имињата ги избира тој што ја спакувал датотеката; хеш-вредностите не.

Чувајте ја таа хеш-вредност заедно со врската до извештајот за да може парот подоцна повторно да се провери.

Прво прочитајте ја детекцијата, потоа моторот

Главниот број ги брои моторите што се совпаднале со нешто, и тие совпаѓања не се еднакви. Именуваниот потпис опишува фамилија или однесување што моторот тврди дека го препознава; хеуристичката или репутациската ознака го опишува сомнежот на правило, кој е послаб и посклон да се помести меѓу ажурирањата на дефинициите. Колоната на моторот ви кажува кој добавувач го поседува наодот и затоа кој добавувач може да го прегледа или исправи. Два мотори што ја означуваат истата датотека не се двоен доказ ако обајцата го копирале истиот сет потписи.

Проверете ја и временската ознака на анализата. Пресудата може да се промени кога потписите се ажурираат или кога добавувачот повторно го анализира примерокот.

Споредете го извештајот со артефактот што го имате

Пресметајте ја хеш-вредноста локално на платформата од која ќе распоредувате, потоа споредете ја знак по знак со извештајот. Овие команди го печатат дигестот без да го извршат инсталатерот.

# Windows
certutil -hashfile .\vpn-client-setup.exe SHA256
Get-FileHash .\vpn-client-setup.exe -Algorithm SHA256

# macOS
shasum -a 256 ./VPNClient.pkg

# Debian/Ubuntu
sha256sum ./vpn-client_amd64.deb

Совпаднат дигест го врзува извештајот за таа низа бајти и за ништо друго. Ако дигестите се разликуваат, извештајот припаѓа на друга датотека и прегледот започнува одново од изворот на преземање.

Кога дигестите се совпаѓаат, прочитајте го наодот целосно: мотор, ознака, верзија, датум на прво појавување и секоја забелешка за тоа дали датотеката е потпишана или спакувана. Потоа проверете го субјектот на потписникот на самиот артефакт, зашто важечки потпис додава идентитет на издавачот без да го реши однесувањето.

Насочете го прашањето кон вистинскиот сопственик

Само добавувачот на моторот може да ја ревидира сопствената детекција, така што тврдењето за лажно позитивен резултат оди во каналот за преглед на тој добавувач со хеш-вредноста, постојаната врска до извештајот и опис на датотеката. Издавачот на софтверот може да обезбеди чиста изградба или објаснување, но не може да ја избрише ознаката на друга компанија. Ескалацијата најпрво до издавачот обично додава една недела и никаква информација.

Чувајте ја политиката за заштита на крајните точки непроменета додека трае прегледот. Исклучувањето на скенерот или додавањето широко исклучување на папка го решава предупредувањето без да одговори која датотека е оценета, и ја крие следната појава на истата состојба.

Споделете го минимумот потребен за идентификување на јавен инсталатер: хеш-вредност, име на датотека, верзија и врска до извештајот. Клиентски профил, приватен клуч или целосна слика од меморијата не се потребни за тоа, а качувањето на еден од нив го претвора софтверското прашање во инцидент со ракување со податоци.