Báo cáo quét bộ cài VPN đó có phải về tệp của bạn?

Một báo cáo quét tổng hợp mô tả một đối tượng được gửi tại một thời điểm, không phải cả một dòng sản phẩm. Trước khi một phát hiện thay đổi bất kỳ quyết định nào, hãy xác nhận mã băm trong báo cáo khớp với tệp trên đĩa của bạn và công cụ được ghi nhãn, ngày tháng, phiên bản khớp với hiện vật đó. Nếu thiếu bất kỳ trường nào trong ba trường đó, con số bên cạnh tên tệp vẫn chưa phải bằng chứng về bản dựng của bạn. Các bước dưới đây chạy theo thứ tự, và mỗi bước đều có thể dừng việc xem xét.

Dừng ở điểm không khớp đầu tiên thay vì tranh luận về điểm số.

Bắt đầu từ tệp, không phải từ điểm số

Ghi lại SHA-256 của hiện vật trước khi bất cứ thứ gì khác chạm vào nó. Sao chép nó từ thư mục tải xuống chứ không phải từ một thư mục chia sẻ có thể đã chứa bản sao đã đóng gói lại, và ghi lại chuỗi phiên bản cùng nhà phát hành hiển thị trong thuộc tính tệp. Một báo cáo gắn với bộ cài từ hai bản phát hành trước không nói gì về bản dựng mà người dùng của bạn sẽ cài hôm nay, kể cả khi tên sản phẩm, biểu tượng và nhà cung cấp khớp nhau. Tên do người đóng gói tệp chọn; mã băm thì không.

Lưu mã băm đó cùng liên kết báo cáo để có thể kiểm tra lại cặp này sau.

Đọc phát hiện trước, rồi mới đến công cụ

Con số tiêu đề đếm các công cụ đã khớp với một thứ gì đó, và những kết quả khớp đó không tương đương. Một chữ ký có tên mô tả một dòng hoặc hành vi mà công cụ cho rằng nó nhận ra; nhãn heuristic hay nhãn uy tín mô tả sự nghi ngờ của một quy tắc, yếu hơn và dễ trôi giữa các lần cập nhật định nghĩa. Cột công cụ cho biết nhà cung cấp nào sở hữu phát hiện và do đó nhà cung cấp nào có thể xem xét hoặc sửa nó. Hai công cụ gắn cờ cùng một tệp không phải là bằng chứng gấp đôi nếu cả hai đều sao chép cùng một bộ chữ ký.

Cũng hãy kiểm tra dấu thời gian phân tích. Phán quyết có thể thay đổi khi chữ ký được cập nhật hoặc khi nhà cung cấp phân tích lại mẫu.

Đối chiếu báo cáo với hiện vật bạn đang có

Tính mã băm cục bộ trên nền tảng bạn sẽ triển khai, rồi so sánh từng ký tự với báo cáo. Những lệnh này in ra bản tóm tắt mà không chạy bộ cài.

# Windows
certutil -hashfile .\vpn-client-setup.exe SHA256
Get-FileHash .\vpn-client-setup.exe -Algorithm SHA256

# macOS
shasum -a 256 ./VPNClient.pkg

# Debian/Ubuntu
sha256sum ./vpn-client_amd64.deb

Một bản tóm tắt khớp sẽ gắn báo cáo với chuỗi byte đó và không gì hơn. Nếu các bản tóm tắt khác nhau, báo cáo thuộc về một tệp khác và việc xem xét bắt đầu lại từ nguồn tải xuống.

Khi các bản tóm tắt khớp, hãy đọc toàn bộ phát hiện: công cụ, nhãn, phiên bản, ngày phát hiện đầu tiên và mọi ghi chú về việc tệp được ký hay đóng gói. Sau đó kiểm tra chủ thể người ký trên chính hiện vật, vì một chữ ký hợp lệ thêm danh tính nhà phát hành mà không giải quyết hành vi.

Chuyển câu hỏi đến đúng chủ sở hữu

Chỉ nhà cung cấp của công cụ mới có thể sửa phát hiện của chính mình, nên một khiếu nại dương tính giả được gửi đến kênh xem xét của nhà cung cấp đó kèm mã băm, liên kết thường trực của báo cáo và mô tả tệp. Nhà phát hành phần mềm có thể cung cấp một bản dựng sạch hoặc lời giải thích nhưng không thể xóa nhãn của công ty khác. Việc leo thang tới nhà phát hành trước thường tốn thêm một tuần và không có thông tin gì.

Giữ nguyên chính sách bảo vệ điểm cuối trong khi quá trình xem xét diễn ra. Việc tắt trình quét hoặc thêm loại trừ thư mục diện rộng giải quyết cảnh báo mà không trả lời tệp nào đã được đánh giá, và nó che giấu lần xuất hiện tiếp theo của cùng tình trạng đó.

Chỉ chia sẻ mức tối thiểu cần thiết để nhận dạng một bộ cài công khai: mã băm, tên tệp, phiên bản và liên kết báo cáo. Hồ sơ khách hàng, khóa riêng hay ảnh bộ nhớ đầy đủ không cần cho việc đó, và tải lên một trong số chúng biến một câu hỏi về phần mềm thành sự cố xử lý dữ liệu.