Útmutató

Hogyan ellenőrizhető egy végrehajtható fájl elérési útja és digitális aláírása

Azonosítsa a ténylegesen futó fájlt, vizsgálja meg annak aláíróját és verzióját, és kezelje külön az aláírási bizonyítékot a kártevő-ítélettől.

A pontos fájl azonosítása

Induljon ki a Task Manager futó folyamatából, és nyissa meg a fájl helyét vagy a tulajdonságait. Jegyezze fel a teljes elérési utat, a végrehajtható fájl nevét és verzióját. A hasonló fájlnevek tartozhatnak egymástól független termékekhez is, és ugyanazon termék különböző telepítései jogszerűen használhatnak eltérő könyvtárakat. Ha a folyamat már kilépett, különböztesse meg a lemezen lévő fájlt a korábbi folyamatpéldánytól.

Hasonlítsa össze a programot a telepítési forrásával és a kiadó dokumentációjával. A fájlleírásban szereplő terméknév szerkeszthető metaadat. A fájlnév önmagában nem bizonyítja, hogy egy folyamat biztonságos.

A digitális aláírás vizsgálata

Ahol a Windows megjeleníti a Digital Signatures lapot, vizsgálja meg az aláírót és az aláírás részleteit. Egyes Windows-fájlok katalógusalapú aláírást használnak a beágyazott aláírás helyett, így a lap hiánya nem jelent végleges kártevő-megállapítást. Hasonlítsa össze az aláírót a várt kiadóval, figyelembe véve a dokumentált vállalati vagy tanúsítványváltozásokat.

A Microsoft Sysinternals Sigcheck verzió-, hash- és aláírás-információkat jelent, beleértve a tanúsítványláncokat is. Használja a hivatalos letöltést, és tekintse át a parancs súgóját. Egy helyi ellenőrzés, például a sigcheck -h -i, amelyet az idézőjelek közé tett teljes fájlelérési út követ, megvizsgálja a kiválasztott fájlt. Az adott verzióra vonatkozó bizonyítékok összehasonlításakor őrizze meg a pontos hash-értéket.

A bizonyítékok jelentésének értelmezése

Az érvényes aláírás igazolja az aláírt tartalom kiadójának kilétét és integritását. Nem garantálja, hogy a szoftver megfelelő, hibamentes vagy ártalmatlan. Egy aláíratlan fájl lehet legitim belső eszköz is. Az érvénytelen aláírás módosításra vagy olyan ellenőrzési problémára utalhat, amely kivizsgálást igényel. Kezelje ezeket tisztázandó bizonyítékként, nem pedig automatikus ítéletként.

Az online megbízhatóság külön lépést jelent. A Sigcheck kínál VirusTotal-lal kapcsolatos beállításokat, amelyek közül néhány fájlokat is beküldhet. Engedély nélkül ne töltsön fel bizalmas végrehajtható fájlokat vagy dokumentumokat. A helyi aláírás-ellenőrzéshez nincs szükség nyilvános fájlfeltöltésre.

A következő lépés kiválasztása a bizonyítékok alapján

Ha az elérési út, az aláíró vagy a telepítési forrás váratlan, kerülje a fájl ismételt elindítását. Használja a Windows Security eszközt vagy a szervezete biztonsági eszközeit, és őrizze meg a releváns bizonyítékokat. Ha az eltávolítás indokolt, használja a termék támogatott eltávolítási eljárását.

Ne töröljön egy Windows rendszerbinárist pusztán azért, mert a neve megjelenik egy keresési eredményben, vagy mert egyetlen erőforrás-mintavétel magasnak tűnik. Ha segítségre van szüksége, adja meg a pontos elérési utat, az aláíró állapotát, a fájlverziót, a hash-értéket és a megfigyelt hibajelenséget. A naplók megosztása előtt távolítsa el a személyes azonosítókat.

Források

Szerkesztői jogtulajdonos: Feex. Független felülvizsgálati dátum nincs rögzítve. Hogyan kutatunk.

Microsoft Sysinternals: Sigcheck · Elsődleges dokumentáció. A diagnosztikai lépések a Feex szerkesztői útmutatását tükrözik; nem minősülnek az Ön számítógépére vonatkozó, mért diagnózisnak.
Microsoft Sysinternals: Process Explorer · Elsődleges dokumentáció. A diagnosztikai lépések a Feex szerkesztői útmutatását tükrözik; nem minősülnek az Ön számítógépére vonatkozó, mért diagnózisnak.

Hasznos volt ez az útmutató?

Egy igen vagy nem is elég. Válasszon egy indokot, ha szeretne, vagy írjon egy rövid megjegyzést.