Handlar skannrapporten for VPN-installatøren om fila di?

Ein samla skannrapport skildrar eitt innsendt objekt på eitt tidspunkt, ikkje ein produktfamilie. Før ein deteksjon endrar noka avgjerd, stadfest at hashen i rapporten stemmer med fila på disken din og at den merkte motoren, datoen og versjonslinja passar med nettopp det artefaktet. Viss eitt av dei tre felta manglar, er talet ved sida av filnamnet enno ikkje prov om bygget ditt. Stega nedanfor går i rekkjefølgje, og kvart av dei kan stoppe gjennomgangen.

Stopp ved den første avviket i staden for å diskutere poengsummen.

Byrj med fila, ikkje poengsummen

Noter SHA-256 til artefaktet før noko anna rører det. Kopier det frå nedlastingsmappa og ikkje frå ei delt mappe som kanskje allereie inneheld ein ompakka kopi, og noter versjonsstrengen og utgjevaren som viser seg i fileigenskapane. Ein rapport knytt til ein installatør frå to utgjevingar sidan seier ingenting om bygget brukarane dine installerer i dag, sjølv når produktnamn, ikon og leverandør stemmer. Namn blir valde av den som pakka fila; hashar gjer det ikkje.

Ta vare på hashen saman med rapportlenkja slik at paret kan sjekkast på nytt seinare.

Les deteksjonen, deretter motoren

Hovudtalet tel motorar som matcha noko, og desse treffa er ikkje likeverdige. Ein namngjeven signatur skildrar ein familie eller åtferd som motoren hevdar å kjenne att; ein heuristisk eller omdømmebasert etikett skildrar mistanken til ein regel, som er svakare og lettare å flytte mellom definisjonsoppdateringar. Motorkolonna fortel kva leverandør som eig funnet og derfor kva leverandør som kan gå gjennom eller rette det. To motorar som merkjer same fila, er ikkje dobbelt prov viss begge kopierte same signatursett.

Sjekk òg tidsstempelet til analysen. Ein dom kan endre seg når signaturar blir oppdaterte, eller når leverandøren analyserer prøven på nytt.

Samanlikn rapporten med artefaktet du har

Rekn ut hashen lokalt på plattforma du skal distribuere frå, og samanlikn han deretter teikn for teikn med rapporten. Desse kommandoane skriv ut digesten utan å køyre installatøren.

# Windows
certutil -hashfile .\vpn-client-setup.exe SHA256
Get-FileHash .\vpn-client-setup.exe -Algorithm SHA256

# macOS
shasum -a 256 ./VPNClient.pkg

# Debian/Ubuntu
sha256sum ./vpn-client_amd64.deb

Ein samsvarande digest bind rapporten til den bytefølgja og ingenting anna. Viss digestane avvik, høyrer rapporten til ei anna fil, og gjennomgangen startar på nytt ved nedlastingskjelda.

Når digestane samsvarar, les funnet i sin heilskap: motor, etikett, versjon, dato for første førekomst og eventuell merknad om at fila er signert eller pakka. Sjekk deretter subjektet til underskrivaren på sjølve artefaktet, fordi ein gyldig signatur legg til utgivaridentitet utan å avgjere åtferda.

Send spørsmålet til rett eigar

Berre leverandøren til motoren kan revidere sin eigen deteksjon, så ein påstand om falsk positiv går til gjennomgangskanalen til den leverandøren med hashen, den permanente lenkja til rapporten og ei skildring av fila. Programvareutgivaren kan levere eit reint bygg eller ei forklaring, men kan ikkje slette etiketten til ei anna verksemd. Å eskalere til utgivaren først kostar vanlegvis ei veke og gir ingen informasjon.

Hald endepunktbeskyttelsespolitikken intakt medan gjennomgangen pågår. Å slå av skannaren eller leggje til eit breitt mappeunntak løyser varselet utan å svare på kva fil som vart vurdert, og det skjuler neste førekomst av same tilstand.

Del minimumet som trengst for å identifisere ein offentleg installatør: hash, filnamn, versjon og rapportlenkje. Ein klientprofil, privat nøkkel eller eit fullstendig minnebilete er ikkje nødvendig for det, og opplasting av eitt av dei gjer eit programvarespørsmål til ei datahandteringshending.