Ръководство

Как да проверите пътя до изпълним файл и цифровия подпис

Идентифицирайте действително работещия файл, проверете неговия издател и версия и отделяйте доказателствата от подписа от заключението за зловреден софтуер.

Идентифициране на точния файл

Започнете от работещия процес в Task Manager и отворете неговото местоположение на файла или свойствата. Запишете пълния път, името на изпълнимия файл и версията. Подобни имена на файлове могат да принадлежат на несвързани продукти, а различни инсталации на един и същ продукт могат легитимно да използват различни директории. Ако процесът е приключил, разграничете файла на диска от предишния екземпляр на процеса.

Сравнете програмата с нейния източник на инсталация и документацията на издателя. Името на продукта в описанието на файла е метаданни, които подлежат на редакция. Само името на файла не може да установи, че процесът е безопасен.

Проверка на цифровия подпис

Където Windows показва раздел Digital Signatures, проверете подписващия и подробностите за подписа. Някои файлове на Windows използват каталожно подписване (catalog signing) вместо вграден подпис, така че липсата на този раздел не е категорично доказателство за зловреден софтуер. Сравнете подписващия с очаквания издател, като вземете предвид документирани промени в компанията или сертификатите.

Microsoft Sysinternals Sigcheck докладва информация за версията, хеша и подписа, включително вериги от сертификати. Използвайте официалното изтегляне и прегледайте помощната информация за командата. Локална проверка като sigcheck -h -i, последвана от пълния път до файла в кавички, проверява избрания файл. Запазете точния хеш, когато сравнявате доказателства за тази версия.

Разбиране на значението на доказателствата

Валидният подпис потвърждава самоличността на издателя и целостта на подписаното съдържание. Той не гарантира, че софтуерът е подходящ, без грешки или безвреден. Неподписан файл може да бъде легитимен вътрешен инструмент. Невалиден подпис може да отразява модификация или проблем с проверката, който изисква разследване. Третирайте тези констатации като доказателства за изясняване, а не като автоматични присъди.

Онлайн репутацията е отделна стъпка. Sigcheck предлага опции, свързани с VirusTotal, някои от които могат да изпращат файлове. Не качвайте поверителни изпълними файлове или документи без разрешение. Локалната проверка на подписа не изисква публично качване на файла.

Избор на следваща стъпка въз основа на доказателствата

Ако пътят, подписващият или произходът на инсталацията са неочаквани, избягвайте да стартирате файла отново. Използвайте Windows Security или инструментите за сигурност на вашата организация и запазете съответните доказателства. Използвайте поддържаната процедура за деинсталиране на продукта, когато премахването е уместно.

Не изтривайте системен двоичен файл на Windows само защото името му се появява в резултат от търсене или защото дадена извадка от ресурси изглежда висока. Ако имате нужда от помощ, предоставете точния път, състоянието на подписващия, версията на файла, хеша и наблюдавания симптом. Премахнете личните идентификатори, преди да споделяте регистрационни файлове.

Източници

Редакционна собственост: Feex. Не е записана дата на независим преглед. Как проучваме.

Microsoft Sysinternals: Sigcheck · Основна документация. Диагностичната последователност представлява редакционни насоки на Feex; тя не е конкретна хардуерна или софтуерна диагностика на вашия компютър.
Microsoft Sysinternals: Process Explorer · Основна документация. Диагностичната последователност представлява редакционни насоки на Feex; тя не е конкретна хардуерна или софтуерна диагностика на вашия компютър.

Беше ли полезно това ръководство?

Достатъчно е "да" или "не". Изберете причина, ако желаете, или добавете кратка бележка.