Чи стосується той звіт сканування інсталятора VPN вашого файлу?

Зведений звіт сканування описує один поданий об’єкт в один момент часу, а не родину продуктів. Перш ніж виявлення змінить будь-яке рішення, переконайтеся, що хеш у звіті збігається з файлом на вашому диску, а позначені рушій, дата й версія відповідають цьому артефакту. Якщо якесь із цих трьох полів відсутнє, число поруч із назвою файлу ще не є доказом щодо вашої збірки. Наведені нижче кроки виконуються по порядку, і кожен із них може зупинити перевірку.

Зупиніться на першій невідповідності замість того, щоб сперечатися про оцінку.

Почніть із файлу, а не з оцінки

Запишіть SHA-256 артефакту, перш ніж щось інше його торкнеться. Копіюйте його з каталогу завантажень, а не зі спільної теки, де вже може лежати перепакована копія, і занотуйте рядок версії та видавця, показані у властивостях файлу. Звіт, прив’язаний до інсталятора двох випусків давнини, нічого не говорить про збірку, яку ваші користувачі встановлять сьогодні, навіть коли назва продукту, піктограма й постачальник збігаються. Назви обирає той, хто пакував файл; хеші — ні.

Збережіть цей хеш разом із посиланням на звіт, щоб пару можна було перевірити пізніше.

Спершу прочитайте виявлення, потім рушій

Заголовне число рахує рушії, які з чимось збіглися, і ці збіги не рівноцінні. Іменований підпис описує родину або поведінку, яку рушій нібито розпізнає; евристична позначка чи позначка репутації описує підозру правила, яка слабша й схильніша до дрейфу між оновленнями визначень. Стовпець рушія каже, якому постачальнику належить знахідка і, отже, який постачальник може її переглянути або виправити. Два рушії, що позначили той самий файл, не є подвійним доказом, якщо обидва скопіювали один і той самий набір підписів.

Перевірте також часову позначку аналізу. Вердикт може змінитися, коли оновлюються підписи або коли постачальник повторно аналізує зразок.

Порівняйте звіт з артефактом, який у вас є

Обчисліть хеш локально на платформі, з якої будете розгортати, а потім порівняйте його зі звітом символ за символом. Ці команди виводять дайджест, не запускаючи інсталятор.

# Windows
certutil -hashfile .\vpn-client-setup.exe SHA256
Get-FileHash .\vpn-client-setup.exe -Algorithm SHA256

# macOS
shasum -a 256 ./VPNClient.pkg

# Debian/Ubuntu
sha256sum ./vpn-client_amd64.deb

Збіг дайджесту прив’язує звіт до цієї послідовності байтів і ні до чого більше. Якщо дайджести різняться, звіт стосується іншого файлу, і перевірка починається заново з джерела завантаження.

Коли дайджести збігаються, прочитайте знахідку повністю: рушій, позначку, версію, дату першої появи та будь-яку примітку про те, чи файл підписано або спаковано. Потім перевірте суб’єкта підписувача на самому артефакті, адже дійсний підпис додає ідентичність видавця, але не вирішує питання поведінки.

Спрямуйте питання до правильного власника

Лише постачальник рушія може переглянути власне виявлення, тож заява про хибне спрацювання йде до каналу перегляду цього постачальника разом із хешем, постійним посиланням на звіт і описом файлу. Видавець програмного забезпечення може надати чисту збірку або пояснення, але не може видалити позначку іншої компанії. Ескалація спершу до видавця зазвичай додає тиждень і жодної інформації.

Тримайте політику захисту кінцевих точок незмінною, поки триває перевірка. Вимкнення сканера або додавання широкого винятку для теки усуває попередження, не відповідаючи, який файл оцінювали, і приховує наступний випадок того самого стану.

Діліться мінімумом, потрібним для ідентифікації публічного інсталятора: хеш, ім’я файлу, версія та посилання на звіт. Профіль клієнта, приватний ключ або повний образ пам’яті для цього не потрібні, а завантаження одного з них перетворює питання про програмне забезпечення на інцидент із обробкою даних.