Тот отчёт сканирования установщика VPN — о вашем файле?

Сводный отчёт сканирования описывает один отправленный объект в один момент, а не семейство продуктов. Прежде чем обнаружение изменит любое решение, убедитесь, что хэш в отчёте совпадает с файлом на вашем диске и что помеченные движок, дата и строка версии соответствуют этому артефакту. Если какое-либо из этих трёх полей отсутствует, число рядом с именем файла ещё не является доказательством о вашей сборке. Шаги ниже выполняются по порядку, и каждый может остановить проверку.

Остановитесь на первом расхождении, а не спорьте об оценке.

Начните с файла, а не с оценки

Запишите SHA-256 артефакта, прежде чем что-либо ещё коснётся его. Скопируйте его из каталога загрузок, а не из общей папки, где уже может быть перепакованная копия, и запишите строку версии и издателя, показанные в свойствах файла. Отчёт, привязанный к установщику двух выпусков назад, ничего не говорит о сборке, которую ваши пользователи установят сегодня, даже если название продукта, значок и поставщик совпадают. Имена выбирает тот, кто упаковал файл; хэши — нет.

Сохраните этот хэш вместе со ссылкой на отчёт, чтобы пару можно было проверить позже.

Сначала прочитайте обнаружение, затем движок

Главное число считает движки, которые на что-то среагировали, и эти совпадения не равнозначны. Именованная сигнатура описывает семейство или поведение, которое движок заявляет как распознаваемое; эвристическая или репутационная метка описывает подозрение правила, которое слабее и легче смещается между обновлениями определений. Столбец движка говорит, какому поставщику принадлежит находка и, следовательно, какой поставщик может её пересмотреть или исправить. Два движка, отметившие один и тот же файл, не являются двойным доказательством, если оба скопировали один и тот же набор сигнатур.

Проверьте также отметку времени анализа. Вердикт может измениться, когда сигнатуры обновляются или когда поставщик заново анализирует образец.

Сравните отчёт с артефактом, который у вас есть

Вычислите хэш локально на платформе, с которой будете развёртывать, затем сравните его символ за символом с отчётом. Эти команды выводят дайджест, не запуская установщик.

# Windows
certutil -hashfile .\vpn-client-setup.exe SHA256
Get-FileHash .\vpn-client-setup.exe -Algorithm SHA256

# macOS
shasum -a 256 ./VPNClient.pkg

# Debian/Ubuntu
sha256sum ./vpn-client_amd64.deb

Совпадающий дайджест связывает отчёт с этой последовательностью байтов и ни с чем больше. Если дайджесты различаются, отчёт принадлежит другому файлу, и проверка начинается заново с источника загрузки.

Когда дайджесты совпадают, прочитайте находку целиком: движок, метка, версия, дата первого появления и любое примечание о том, подписан файл или упакован. Затем проверьте субъект подписанта на самом артефакте, потому что действительная подпись добавляет личность издателя, не решая вопрос поведения.

Направьте вопрос правильному владельцу

Только поставщик движка может пересмотреть собственное обнаружение, поэтому заявление о ложном срабатывании направляется в канал проверки этого поставщика с хэшем, постоянной ссылкой на отчёт и описанием файла. Издатель программного обеспечения может предоставить чистую сборку или объяснение, но не может удалить метку другой компании. Эскалация сначала к издателю обычно добавляет неделю и никакой информации.

Сохраняйте политику защиты конечных точек неизменной, пока идёт проверка. Отключение сканера или добавление широкого исключения папки устраняет предупреждение, не отвечая, какой файл оценивался, и скрывает следующее проявление того же состояния.

Поделитесь минимумом, необходимым для идентификации публичного установщика: хэш, имя файла, версия и ссылка на отчёт. Профиль клиента, закрытый ключ или полный образ памяти для этого не нужны, а загрузка одного из них превращает вопрос о программном обеспечении в инцидент обработки данных.