ガイド

実行可能ファイルのパスとデジタル署名を確認する方法

実際に実行されているファイルを特定し、その署名者とバージョンを調査し、署名のエビデンスとマルウェア判定を明確に区別します。

正確なファイルを特定する

タスクマネージャーで実行中のプロセスから開始し、そのファイルの場所またはプロパティを開きます。完全なパス、実行可能ファイル名、およびバージョンを記録します。似たファイル名が無関係な製品に属している場合があり、同一製品の異なるインストールが正当に異なるディレクトリを使用することもあります。プロセスが終了している場合は、ディスク上のファイルと以前のプロセスインスタンスを区別してください。

プログラムをそのインストール元および発行元のドキュメントと比較します。ファイルの説明に含まれる製品名は編集可能なメタデータです。ファイル名単体では、プロセスが安全であることを証明できません。

デジタル署名を調査する

Windowsに「デジタル署名」タブが表示されている場合は、署名者と署名の詳細を調査します。一部のWindowsファイルは組み込み署名ではなくカタログ署名を使用しているため、このタブが存在しないこと自体はマルウェアの決定的な根拠にはなりません。文書化された企業や証明書の変更を考慮しながら、署名者を想定される発行元と比較してください。

Microsoft SysinternalsのSigcheckは、証明書チェーンを含むバージョン、ハッシュ、および署名情報を報告します。公式のダウンロードを使用し、コマンドのヘルプを確認してください。引用符で囲んだ完全なファイルパスを伴う sigcheck -h -i などのローカルチェックにより、選択したファイルが調査されます。そのバージョンに関するエビデンスを比較する際は、正確なハッシュを保持してください。

エビデンスが意味する内容を理解する

有効な署名は、署名されたコンテンツの発行者の身元と整合性を裏付けます。ただし、ソフトウェアが適切であること、バグがないこと、または無害であることを保証するものではありません。未署名のファイルが正当な社内ツールであることもあります。無効な署名は、改ざんや調査が必要な検証上の問題を反映している可能性があります。これらは自動的な判定ではなく、解決すべきエビデンスとして扱ってください。

オンラインのレピュテーション確認は別のステップです。SigcheckにはVirusTotal関連のオプションが用意されており、その一部はファイルを送信する場合があります。許可なく機密の実行可能ファイルやドキュメントをアップロードしないでください。ローカルでの署名調査には、公開ファイルアップロードは不要です。

エビデンスに基づいて次のステップを選択する

パス、署名者、またはインストールの送信元が予期しないものである場合は、そのファイルを再度起動しないでください。Windows セキュリティまたは組織のセキュリティツールを使用し、関連するエビデンスを保持してください。削除が適切な場合は、製品でサポートされているアンインストール手順を使用してください。

検索結果に名前が表示されたり、リソースのサンプル値が1回高く見えたりしたという理由だけで、Windowsシステムバイナリを削除しないでください。サポートが必要な場合は、正確なパス、署名者のステータス、ファイルバージョン、ハッシュ、および確認された症状を提示してください。ログを共有する前に個人識別情報を削除してください。

出典

エディトリアル所有権: Feex。独立したレビュー日は記録されていません。調査方法.

Microsoft Sysinternals: Sigcheck · 一次資料。この診断手順はFeexの編集ガイダンスであり、お使いのPCの定量的な診断結果ではありません。
Microsoft Sysinternals: Process Explorer · 一次資料。この診断手順はFeexの編集ガイダンスであり、お使いのPCの定量的な診断結果ではありません。

このガイドは役に立ちましたか？

「はい」または「いいえ」を選択するだけで完了します。必要に応じて理由を選択するか、簡単なメモを追加してください。