Handler den skannerapporten for VPN-installatøren om filen din?

En samlet skannerapport beskriver ett innsendt objekt på ett tidspunkt, ikke en produktfamilie. Før en deteksjon endrer noen beslutning, bekreft at hashen i rapporten stemmer med filen på disken din og at den merkede motoren, datoen og versjonslinjen passer med nettopp det artefaktet. Hvis ett av de tre feltene mangler, er tallet ved siden av filnavnet ennå ikke bevis om bygget ditt. Trinnene nedenfor går i rekkefølge, og hvert av dem kan stoppe gjennomgangen.

Stopp ved det første avviket i stedet for å diskutere poengsummen.

Begynn med filen, ikke poengsummen

Noter artefaktets SHA-256 før noe annet rører det. Kopier det fra nedlastingsmappen og ikke fra en delt mappe som kanskje allerede inneholder en ompakket kopi, og noter versjonsstrengen og utgiveren som vises i filegenskapene. En rapport knyttet til en installatør fra to utgivelser siden sier ingenting om bygget brukerne dine installerer i dag, selv når produktnavn, ikon og leverandør stemmer. Navn velges av den som pakket filen; hasher gjør det ikke.

Ta vare på hashen sammen med rapportlenken slik at paret kan sjekkes på nytt senere.

Les deteksjonen, deretter motoren

Hovedtallet teller motorer som matchet noe, og disse treffene er ikke likeverdige. En navngitt signatur beskriver en familie eller atferd som motoren hevder å kjenne igjen; en heuristisk eller omdømmebasert etikett beskriver en regels mistanke, som er svakere og lettere å flytte mellom definisjonsoppdateringer. Motorkolonnen forteller hvilken leverandør som eier funnet og derfor hvilken leverandør som kan gjennomgå eller rette det. To motorer som markerer samme fil, er ikke dobbelt bevis hvis begge kopierte samme signatursett.

Sjekk også analysens tidsstempel. En dom kan endre seg når signaturer oppdateres, eller når leverandøren analyserer prøven på nytt.

Sammenlign rapporten med artefaktet du har

Beregn hashen lokalt på plattformen du skal distribuere fra, og sammenlign den deretter tegn for tegn med rapporten. Disse kommandoene skriver ut digesten uten å kjøre installatøren.

# Windows
certutil -hashfile .\vpn-client-setup.exe SHA256
Get-FileHash .\vpn-client-setup.exe -Algorithm SHA256

# macOS
shasum -a 256 ./VPNClient.pkg

# Debian/Ubuntu
sha256sum ./vpn-client_amd64.deb

En samsvarende digest binder rapporten til den bytefølgen og ingenting annet. Hvis digestene avviker, tilhører rapporten en annen fil, og gjennomgangen starter på nytt ved nedlastingskilden.

Når digestene samsvarer, les funnet i sin helhet: motor, etikett, versjon, dato for første forekomst og eventuell merknad om at filen er signert eller pakket. Sjekk deretter underskriverens subjekt på selve artefaktet, fordi en gyldig signatur legger til utsiveridentitet uten å avgjøre atferden.

Send spørsmålet til riktig eier

Bare motorens leverandør kan revidere sin egen deteksjon, så en påstand om falsk positiv går til den leverandørens gjennomgangskanal med hashen, den permanente lenken til rapporten og en beskrivelse av filen. Programvareutgiveren kan levere et rent bygg eller en forklaring, men kan ikke slette en annen bedrifts etikett. Å eskalere til utgiveren først koster vanligvis en uke og gir ingen informasjon.

Hold endepunktbeskyttelsespolitikken intakt mens gjennomgangen pågår. Å slå av skanneren eller legge til et bredt mappeunntak løser varselet uten å svare på hvilken fil som ble vurdert, og det skjuler neste forekomst av samme tilstand.

Del minimumet som trengs for å identifisere en offentlig installatør: hash, filnavn, versjon og rapportlenke. En klientprofil, privat nøkkel eller et fullstendig minnebilde er ikke nødvendig for det, og opplasting av ett av dem gjør et programvarespørsmål til en datahåndteringshendelse.