Czy ten raport skanowania instalatora VPN dotyczy twojego pliku?

Zbiorczy raport skanowania opisuje jeden zgłoszony obiekt w jednej chwili, a nie rodzinę produktów. Zanim wykrycie zmieni jakąkolwiek decyzję, potwierdź, że hash w raporcie zgadza się z plikiem na twoim dysku, a oznaczony silnik, data i wiersz wersji odpowiadają temu artefaktowi. Jeśli brakuje któregoś z tych trzech pól, liczba obok nazwy pliku nie jest jeszcze dowodem na twoją kompilację. Poniższe kroki wykonuje się po kolei i każdy z nich może zatrzymać przegląd.

Zatrzymaj się przy pierwszej niezgodności zamiast kłócić się o wynik.

Zacznij od pliku, a nie od wyniku

Zapisz SHA-256 artefaktu, zanim cokolwiek innego go dotknie. Skopiuj go z katalogu pobierania, a nie z udostępnionego folderu, który może już zawierać przepakowaną kopię, i zapisz ciąg wersji oraz wydawcę widoczne we właściwościach pliku. Raport dotyczący instalatora sprzed dwóch wydań nic nie mówi o kompilacji, którą twoi użytkownicy zainstalują dziś, nawet gdy nazwa produktu, ikona i dostawca się zgadzają. Nazwy wybiera ten, kto spakował plik; hashe nie.

Zachowaj ten hash wraz z linkiem do raportu, aby parę można było później sprawdzić ponownie.

Przeczytaj wykrycie, potem silnik

Główna liczba liczy silniki, które na coś zareagowały, a te trafienia nie są równoważne. Nazwany podpis opisuje rodzinę lub zachowanie, które silnik twierdzi, że rozpoznaje; etykieta heurystyczna lub reputacyjna opisuje podejrzenie reguły, które jest słabsze i łatwiej przesuwa się między aktualizacjami definicji. Kolumna silnika mówi, który dostawca posiada znalezisko i dlatego który dostawca może je przejrzeć lub poprawić. Dwa silniki oznaczające ten sam plik nie są podwójnym dowodem, jeśli oba skopiowały ten sam zestaw podpisów.

Sprawdź też znacznik czasu analizy. Werdykt może się zmienić, gdy podpisy się aktualizują lub gdy dostawca ponownie analizuje próbkę.

Porównaj raport z artefaktem, który masz

Oblicz hash lokalnie na platformie, z której będziesz wdrażać, a następnie porównaj go znak po znaku z raportem. Te polecenia wypisują skrót bez uruchamiania instalatora.

# Windows
certutil -hashfile .\vpn-client-setup.exe SHA256
Get-FileHash .\vpn-client-setup.exe -Algorithm SHA256

# macOS
shasum -a 256 ./VPNClient.pkg

# Debian/Ubuntu
sha256sum ./vpn-client_amd64.deb

Zgodny skrót wiąże raport z tą sekwencją bajtów i niczym więcej. Jeśli skróty się różnią, raport należy do innego pliku i przegląd zaczyna się od nowa od źródła pobrania.

Gdy skróty się zgadzają, przeczytaj znalezisko w całości: silnik, etykieta, wersja, data pierwszego wystąpienia i każda uwaga o tym, czy plik jest podpisany lub spakowany. Następnie sprawdź podmiot podpisującego na samym artefakcie, ponieważ ważny podpis dodaje tożsamość wydawcy, nie rozstrzygając zachowania.

Skieruj pytanie do właściwego właściciela

Tylko dostawca silnika może zrewidować własne wykrycie, więc roszczenie o fałszywy alarm trafia do kanału przeglądu tego dostawcy z hashem, stałym linkiem do raportu i opisem pliku. Wydawca oprogramowania może dostarczyć czystą kompilację lub wyjaśnienie, ale nie może usunąć etykiety innej firmy. Eskalacja najpierw do wydawcy zwykle dodaje tydzień i żadnej informacji.

Zachowaj politykę ochrony punktów końcowych bez zmian, dopóki trwa przegląd. Wyłączenie skanera lub dodanie szerokiego wyjątku folderu rozwiązuje ostrzeżenie bez odpowiedzi, który plik został oceniony, i ukrywa następne wystąpienie tego samego stanu.

Udostępnij minimum potrzebne do zidentyfikowania publicznego instalatora: hash, nazwę pliku, wersję i link do raportu. Profil klienta, klucz prywatny lub pełny obraz pamięci nie są do tego potrzebne, a przesłanie jednego z nich zamienia pytanie o oprogramowanie w incydent przetwarzania danych.