Handlar den där skanningen av VPN-installationsprogrammet om din fil?

En sammanställd skanningsrapport beskriver ett enda inskickat objekt vid en enda tidpunkt, inte en produktfamilj. Innan en träff ändrar något beslut måste du bekräfta att hashet i rapporten motsvarar filen på din disk och att den angivna motorn, datumet och versionen stämmer med den artefakten. Om något av dessa tre fält saknas är siffran bredvid filnamnet ännu inte bevis om ditt bygge. Stegen nedan utförs i ordning, och var och en av dem kan stoppa granskningen.

Stanna vid den första avvikelsen i stället för att diskutera poängen.

Börja med filen, inte poängen

Anteckna artefaktens SHA-256 innan något annat rör den. Kopiera det från nedladdningsmappen och inte från en delad mapp som redan kan innehålla en ompaketerad kopia, och notera versionssträngen och utgivaren som visas i filegenskaperna. En rapport som gäller ett installationsprogram från två utgåvor sedan säger ingenting om det bygge som dina användare installerar i dag, även när produktnamn, ikon och leverantör stämmer. Namnen väljs av den som paketerade filen; hashen gör det inte.

Spara hashet tillsammans med rapportlänken så att paret kan kontrolleras igen senare.

Läs träffen, sedan motorn

Siffran i rubriken räknar motorer som matchade något, och dessa matchningar är inte likvärdiga. En namngiven signatur beskriver en familj eller ett beteende som motorn påstår sig känna igen; en heuristisk eller reputationsbaserad etikett beskriver en regels misstanke, som är svagare och lättare att glida mellan definitionsuppdateringar. Motorkolumnen talar om vilken leverantör som äger fyndet och därmed vilken leverantör som kan granska eller rätta det. Två motorer som flaggar samma fil är inte dubbelt så mycket bevis om båda kopierade samma signaturuppsättning.

Kontrollera även analystidstämpeln. En bedömning kan ändras när signaturer uppdateras eller när leverantören analyserar om provet.

Jämför rapporten med artefakten du har

Beräkna hashet lokalt på den plattform du ska distribuera från och jämför det sedan tecken för tecken med rapporten. De här kommandona skriver ut sammandraget utan att köra installationsprogrammet.

# Windows
certutil -hashfile .\vpn-client-setup.exe SHA256
Get-FileHash .\vpn-client-setup.exe -Algorithm SHA256

# macOS
shasum -a 256 ./VPNClient.pkg

# Debian/Ubuntu
sha256sum ./vpn-client_amd64.deb

Ett matchande sammandrag knyter rapporten till den byteföljden och inget mer. Om sammandragen skiljer sig tillhör rapporten en annan fil och granskningen börjar om vid nedladdningskällan.

När sammandragen matchar, läs fyndet i sin helhet: motor, etikett, version, datum för första förekomst och eventuella noteringar om att filen är signerad eller packad. Kontrollera sedan signerarens subjekt på själva artefakten, eftersom en giltig signatur tillför utgivaridentitet utan att avgöra beteendet.

Skicka frågan till rätt ägare

Bara motorns leverantör kan revidera sin egen träff, så ett påstående om falsk positiv går till den leverantörens granskningskanal tillsammans med hashet, rapportens permalänk och en beskrivning av filen. Programvaruutgivaren kan bidra med ett rent bygge eller en förklaring men kan inte radera ett annat företags etikett. Att eskalera till utgivaren först brukar kosta en vecka och ge ingen information.

Behåll slutpunktsskyddspolicyn intakt medan granskningen pågår. Att stänga av skannern eller lägga till ett brett mappundantag löser larmet utan att svara på vilken fil som bedömdes, och det döljer nästa förekomst av samma tillstånd.

Dela bara det minimum som behövs för att identifiera ett offentligt installationsprogram: hash, filnamn, version och rapportlänk. En klientprofil, en privat nyckel eller en full minnesbild krävs inte för det, och att ladda upp en sådan förvandlar en mjukvarufråga till en datahanteringsincident.