Týka sa ten skenovací report VPN inštalátora vášho súboru?

Súhrnný skenovací report opisuje jeden predložený objekt v jednom okamihu, nie produktový rad. Skôr než detekcia zmení akékoľvek rozhodnutie, overte, že hash v reporte zodpovedá súboru na vašom disku a že označený engine, dátum a riadok verzie zodpovedajú tomuto artefaktu. Ak chýba niektoré z týchto troch polí, číslo vedľa názvu súboru ešte nie je dôkazom o vašom builde. Kroky nižšie sa vykonávajú v poradí a každý z nich môže kontrolu zastaviť.

Zastavte sa pri prvom rozpore namiesto hádky o skóre.

Začnite súborom, nie skóre

Zapíšte SHA-256 artefaktu skôr, než sa ho čokoľvek iné dotkne. Skopírujte ho z adresára na sťahovanie, nie zo zdieľaného priečinka, ktorý už môže obsahovať prebalenú kópiu, a poznamenajte si reťazec verzie a vydavateľa uvedené vo vlastnostiach súboru. Report viazaný na inštalátor z dvoch vydaní späť nič nehovorí o builde, ktorý vaši používatelia nainštalujú dnes, aj keď názov produktu, ikona a dodávateľ sedia. Názvy vyberá ten, kto súbor zabalil; hashe nie.

Uložte tento hash spolu s odkazom na report, aby sa dvojica mohla neskôr znova overiť.

Prečítajte detekciu, potom engine

Hlavné číslo počíta enginy, ktoré na niečo zareagovali, a tieto zhody nie sú rovnocenné. Pomenovaný podpis opisuje rodinu alebo správanie, ktoré engine tvrdí, že rozpoznáva; heuristický alebo reputačný štítok opisuje podozrenie pravidla, ktoré je slabšie a náchylnejšie na posun medzi aktualizáciami definícií. Stĺpec enginu vám povie, ktorému dodávateľovi nález patrí, a teda ktorý dodávateľ ho môže preskúmať alebo opraviť. Dva enginy označujúce ten istý súbor nie sú dvojnásobným dôkazom, ak oba skopírovali rovnakú sadu podpisov.

Skontrolujte aj časovú pečiatku analýzy. Verdikt sa môže zmeniť, keď sa podpisy aktualizujú alebo keď dodávateľ znova analyzuje vzorku.

Porovnajte report s artefaktom, ktorý máte

Vypočítajte hash lokálne na platforme, z ktorej budete nasadzovať, a potom ho porovnajte znak po znaku s reportom. Tieto príkazy vypíšu digest bez spustenia inštalátora.

# Windows
certutil -hashfile .\vpn-client-setup.exe SHA256
Get-FileHash .\vpn-client-setup.exe -Algorithm SHA256

# macOS
shasum -a 256 ./VPNClient.pkg

# Debian/Ubuntu
sha256sum ./vpn-client_amd64.deb

Zhodný digest viaže report na túto postupnosť bajtov a na nič iné. Ak sa digesty líšia, report patrí inému súboru a kontrola sa začína znova pri zdroji sťahovania.

Keď sa digesty zhodujú, prečítajte nález celý: engine, štítok, verzia, dátum prvého výskytu a akákoľvek poznámka o tom, či je súbor podpísaný alebo zabalený. Potom skontrolujte subjekt podpisujúceho na samotnom artefakte, pretože platný podpis pridáva identitu vydavateľa bez toho, aby vyriešil správanie.

Nasmerujte otázku na správneho vlastníka

Len dodávateľ enginu môže revidovať vlastnú detekciu, takže tvrdenie o falošne pozitívnom náleze ide do recenzného kanála tohto dodávateľa s hashom, trvalým odkazom na report a opisom súboru. Vydavateľ softvéru môže poskytnúť čistý build alebo vysvetlenie, ale nemôže vymazať štítok inej spoločnosti. Eskalácia najprv na vydavateľa zvyčajne pridá týždeň a žiadnu informáciu.

Zachovajte politiku ochrany koncových bodov bez zmeny, kým kontrola prebieha. Vypnutie skenera alebo pridanie širokej výnimky priečinka vyrieši upozornenie bez odpovede, ktorý súbor bol hodnotený, a skryje ďalší výskyt rovnakého stavu.

Zdieľajte minimum potrebné na identifikáciu verejného inštalátora: hash, názov súboru, verziu a odkaz na report. Klientsky profil, súkromný kľúč alebo úplný obraz pamäte na to nie sú potrebné a nahranie jedného z nich mení softvérovú otázku na incident nakladania s údajmi.