Se to poročilo o skeniranju namestitvenega programa VPN nanaša na vašo datoteko?

Povzeto poročilo o skeniranju opisuje en predložen objekt v enem trenutku, ne družine izdelkov. Preden zaznava spremeni katero koli odločitev, potrdite, da se hash v poročilu ujema z datoteko na vašem disku in da označeni motor, datum in vrstica različice ustrezajo temu artefaktu. Če manjka katero od teh treh polj, število ob imenu datoteke še ni dokaz o vaši gradnji. Spodnji koraki potekajo po vrsti in vsak lahko ustavi pregled.

Ustavite se pri prvem odstopanju, namesto da bi se prepirali o oceni.

Začnite z datoteko, ne z oceno

Zapišite SHA-256 artefakta, preden se ga karkoli drugega dotakne. Kopirajte ga iz mape za prenose, ne iz deljene mape, ki morda že vsebuje prepakirano kopijo, in zapišite niz različice ter založnika, prikazana v lastnostih datoteke. Poročilo, vezano na namestitveni program izpred dveh izdaj, ne pove ničesar o gradnji, ki jo bodo vaši uporabniki namestili danes, tudi ko se ime izdelka, ikona in dobavitelj ujemajo. Imena izbira tisti, ki je datoteko zapakiral; hashi ne.

Shranite ta hash skupaj s povezavo do poročila, da bo par mogoče pozneje znova preveriti.

Najprej preberite zaznavo, nato motor

Glavno število šteje motorje, ki so se na kaj odzvali, in ta ujemanja niso enakovredna. Imenovani podpis opisuje družino ali vedenje, ki ga motor trdi, da prepozna; hevristična ali ugledna oznaka opisuje sum pravila, ki je šibkejši in se bolj nagiba k premikanju med posodobitvami definicij. Stolpec motorja pove, kateri dobavitelj ima ugotovitev in zato kateri dobavitelj jo lahko pregleda ali popravi. Dva motorja, ki označita isto datoteko, nista dvojni dokaz, če sta oba kopirala isti nabor podpisov.

Preverite tudi časovni žig analize. Sodba se lahko spremeni, ko se podpisi posodobijo ali ko dobavitelj znova analizira vzorec.

Primerjajte poročilo z artefaktom, ki ga imate

Izračunajte hash lokalno na platformi, s katere boste uvajali, in ga nato primerjajte znak za znakom s poročilom. Ti ukazi izpišejo povzetek, ne da bi zagnali namestitveni program.

# Windows
certutil -hashfile .\vpn-client-setup.exe SHA256
Get-FileHash .\vpn-client-setup.exe -Algorithm SHA256

# macOS
shasum -a 256 ./VPNClient.pkg

# Debian/Ubuntu
sha256sum ./vpn-client_amd64.deb

Ujemajoči se povzetek veže poročilo na to zaporedje bajtov in na nič drugega. Če se povzetki razlikujejo, poročilo pripada drugi datoteki in pregled se začne znova pri viru prenosa.

Ko se povzetki ujemajo, preberite ugotovitev v celoti: motor, oznaka, različica, datum prve pojavitve in vsaka opomba o tem, ali je datoteka podpisana ali zapakirana. Nato preverite subjekt podpisnika na samem artefaktu, ker veljavni podpis doda identiteto založnika, ne da bi razrešil vedenje.

Usmerite vprašanje k pravemu lastniku

Samo dobavitelj motorja lahko pregleda svojo zaznavo, zato zahtevek za lažno pozitivno ugotovitev gre v pregledovalni kanal tega dobavitelja s hashom, trajno povezavo do poročila in opisom datoteke. Založnik programske opreme lahko zagotovi čisto gradnjo ali razlago, ne more pa izbrisati oznake drugega podjetja. Eskalacija najprej na založnika običajno doda teden in nobene informacije.

Ohranite politiko zaščite končnih točk nespremenjeno, dokler pregled poteka. Izklop skenerja ali dodajanje široke izjeme mape reši opozorilo, ne da bi odgovorilo, katera datoteka je bila ocenjena, in skrije naslednjo pojavitev istega stanja.

Delite minimum, potreben za prepoznavo javnega namestitvenega programa: hash, ime datoteke, različico in povezavo do poročila. Profil odjemalca, zasebni ključ ali celotna slika pomnilnika za to niso potrebni, in nalaganje enega od njih spremeni vprašanje programske opreme v incident ravnanja s podatki.