1. [Вікі](https://feex.it/wiki/)
2. [Сістэмныя інструменты](https://feex.it/wiki/software/system/)
3. Як праверыць шлях да выканальнага файла і лічбавы подпіс

Кіраўніцтва

# Як праверыць шлях да выканальнага файла і лічбавы подпіс

Вызначце фактычны запушчаны файл, праверце звесткі пра яго падпісанта і версію, а таксама аддзяляйце даныя подпісу ад высновы пра наяўнасць шкоднаснага ПЗ.

У гэтым кіраўніцтве

1. [Вызначце дакладны файл](https://feex.it/wiki/l/be/software/system/verify-executable-path-signature/#identity)
2. [Праверце лічбавы подпіс](https://feex.it/wiki/l/be/software/system/verify-executable-path-signature/#signature)
3. [Зразумейце значэнне сабраных звестак](https://feex.it/wiki/l/be/software/system/verify-executable-path-signature/#limits)
4. [Вызначце наступны крок на аснове сабраных звестак](https://feex.it/wiki/l/be/software/system/verify-executable-path-signature/#next)

## Вызначце дакладны файл

Пачніце з запушчанага працэсу ў Task Manager і адкрыйце размяшчэнне яго файла альбо ўласцівасці. Зафіксуйце поўны шлях, назву выканальнага файла і версію. Падобныя назвы файлаў могуць належаць незалежным адзін ад аднаго прадуктам, а розныя ўстаноўкі аднаго і таго ж прадукту могуць законна выкарыстоўваць розныя каталогі. Калі працэс ужо завяршыў працу, адрознівайце файл на дыску ад папярэдняга асобніка працэсу.

Параўнайце праграму з крыніцай яе ўстаноўкі і дакументацыяй выдаўца. Назва прадукту ў апісанні файла з'яўляецца метаданымі, якія можна змяніць. Адна толькі назва файла не можа пацвердзіць бяспечнасць працэсу.

## Праверце лічбавы подпіс

Калі ў Windows ёсць укладка Digital Signatures, праверце падпісанта і падрабязныя звесткі пра подпіс. Некаторыя файлы Windows выкарыстоўваюць падпісванне па каталогу (catalog signing), а не ўбудаваны подпіс, таму адсутнасць гэтай укладкі не з'яўляецца канчатковай прыкметай шкоднаснага ПЗ. Параўнайце падпісанта з чаканым выдаўцом, улічваючы задакументаваныя змены ў назве кампаніі альбо сертыфікаце.

Microsoft Sysinternals Sigcheck падае звесткі пра версію, хэш і подпіс, уключаючы ланцужкі сертыфікатаў. Выкарыстоўвайце афіцыйную крыніцу для спампоўвання і вывучыце даведку па камандзе. Лакальная праверка, такая як sigcheck -h -i з пазначаным пасля ў двукоссі поўным шляхам да файла, аналізуе абраны файл. Захоўвайце дакладны хэш пры параўнанні доказаў адносна гэтай версіі.

## Зразумейце значэнне сабраных звестак

Сапраўдны подпіс пацвярджае асобу выдаўца і цэласнасць падпісанага змесціва. Ён не гарантуе, што праграмнае забеспячэнне з'яўляецца прыдатным, пазбаўленым памылак ці бясшкодным. Непадпісаны файл можа быць цалкам законнай унутранай утылітай. Несапраўдны подпіс можа сведчыць пра мадыфікацыю альбо праблему праверкі, якая патрабуе расследавання. Стаўцеся да гэтага як да звестак, якія трэба прааналізаваць, а не як да аўтаматычных вердыктаў.

Праверка рэпутацыі ў сеціве - гэта асобны крок. Sigcheck прапануе параметры, звязаныя з VirusTotal, некаторыя з якіх могуць адпраўляць файлы. Не запампоўвайце канфідэнцыйныя выканальныя файлы альбо дакументы без дазволу. Лакальная праверка подпісу не патрабуе публічнай адпраўкі файлаў.

## Вызначце наступны крок на аснове сабраных звестак

Калі шлях, падпісант альбо паходжанне ўстаноўкі выклікаюць сумневы, пазбягайце паўторнага запуску файла. Выкарыстоўвайце Windows Security альбо інструменты бяспекі вашай арганізацыі і захоўвайце адпаведныя доказы. Калі выдаленне мэтазгодна, выкарыстоўвайце працэдуру выдалення, якая падтрымліваецца прадуктам.

Не выдаляйце сістэмны бінарны файл Windows толькі таму, што яго назва сустракаецца ў выніках пошуку, альбо таму, што аднакратны замер выкарыстання рэсурсаў падаецца завышаным. Калі вам патрэбна дапамога, падайце дакладны шлях, статус падпісанта, версію файла, хэш і назіраныя сімптомы. Выдаліце персанальныя ідэнтыфікатары перад перадачай журналаў.

## Чытаць далей

[Ідэнтыфікацыя Service Host: Звязаныя даведачныя матэрыялы](https://feex.it/wiki/l/be/process/svchost.exe/)

## Крыніцы

Рэдакцыйная прыналежнасць: Feex. Дата незалежнай праверкі не зафіксавана. [Як мы даследуем](https://feex.it/wiki/research/).

- [Microsoft Sysinternals: Sigcheck ](https://learn.microsoft.com/en-us/sysinternals/downloads/sigcheck)· Асноўная дакументацыя. Дыягнастычная паслядоўнасць з'яўляецца рэдакцыйнай рэкамендацыяй Feex; яна не ўяўляе сабой апаратна-праграмную дыягностыку вашага ПК.
- [Microsoft Sysinternals: Process Explorer ](https://learn.microsoft.com/en-us/sysinternals/downloads/process-explorer)· Асноўная дакументацыя. Дыягнастычная паслядоўнасць з'яўляецца рэдакцыйнай рэкамендацыяй Feex; яна не ўяўляе сабой апаратна-праграмную дыягностыку вашага ПК.

## Ці было гэта кіраўніцтва карысным?

Дастаткова адказаць "так" або "не". Выберыце прычыну, калі хочаце, або дадайце кароткую нататку.

---

Source: [Canonical Feex Wiki page](https://feex.it/wiki/l/be/software/system/verify-executable-path-signature/)

[Developer guide](https://feex.it/wiki/developers/) | [API policy](https://feex.it/developers/api-policy/) | [Agent guidance](https://feex.it/wiki/llms.txt)