Ověření integrity souborů pomocí Sigcheck ve Windows

Ověřování integrity a autorství toho, co spouštíte ve Windows, není rozmar: je to rutina, která vás ušetří nepříjemných překvapení a ztráty času. S nástrojem Sigcheck od Sysinternals můžete rychle a přesně porovnávat digitální podpisy, řetězce certifikátů a reputaci VirusTotal přímo z příkazového řádku.

Kromě teorie spočívá hodnota v praktickém využití: vyhledávání nepodepsaných binárních souborů v klíčových cestách, jako je C:\Windows\System32 , kontrola dat vypršení platnosti a zrušení, generování hashů pro porovnání se záznamy dodavatele a protokolování procesu ve formátu CSV/TSV . Současně můžete používat vestavěné nástroje systému Windows (PowerShell, Certutil), ověřovat seznamy a spoléhat se na podpisy PGP, když dodavatel publikuje soubory .sig.

Co je Sigcheck a proč se vyplatí?

Sigcheck je utilita příkazového řádku od společnosti Sysinternals (vytvořená Markem Russinovichem ), která zobrazuje verzi souboru, časová razítka a podrobnosti o digitálním podpisu , včetně řetězce certifikátů. Integruje se také s VirusTotal pro kontrolu reputace hashů a v případě potřeby nahrávání vzorků, které ještě nejsou v jeho databázi.

Související článek:

AccessChk: Řešení problémů s přístupem k souborům ve Windows

Jeho typické použití pokrývá dvě fronty: inventarizaci a detekci nepodepsaných nebo problematicky podepsaných spustitelných souborů a bezpečnostní třídění pomocí desítek antivirových enginů. Dokáže také vypsat certifikáty ze systémových úložišť a rekurzivně procházet adresáře s užitečnými filtry.

Stažení, kompatibilita a počáteční kontroly

Nástroj je přenosný a lehký (oficiální webové stránky uvádějí velikost stahování kolem několika stovek KB ). Jeho dokumentace a specifikace zmiňují kompatibilitu, jako například Client: Windows 8.1+ / Server: 2012+ / Nano Server: 2016+ , a také odkazy na jeho funkčnost ve Windows Vista/Server 2008 a novějších . S jeho spuštěním na moderních systémech byste neměli mít problém.

Pro bezobslužné nasazení si můžete stáhnout a extrahovat soubory pomocí PowerShellu do aktuální složky, což urychlí testování a tvorbu playbooků :

Invoke-WebRequest -Uri https://download.sysinternals.com/files/Sigcheck.zip -OutFile Sigcheck.zip
Expand-Archive -Path .\Sigcheck.zip -DestinationPath .\

Před skenováním si ověřte cestu a oprávnění v nápovědě k binárnímu souboru. Jedná se o rychlý krok, který vám zabrání zmatku v prostředí a ušetří vám čas hned od první minuty.

sigcheck.exe -?

Obecná syntaxe a režimy provádění

Sigcheck nabízí několik režimů v závislosti na tom, zda analyzujete soubory/adresáře, vytváříte výpisy katalogů, dotazujete se na CSV soubory offline nebo prozkoumáváte úložiště certifikátů . Pro efektivní navigaci si pamatujte obecné rozvržení.

sigcheck [-a][-h][-i][-e][-l][-n][[-s]|[-c|-ct]|[-m]][-q][-r][-u][-vt][-v[r][s]][-f catalog_file] <archivo o carpeta>
sigcheck -d [-c|-ct] <archivo o carpeta>
sigcheck -o [-vt][-v[r]] <csv_de_sigcheck>
sigcheck -t[u][v] [-i] [-c|-ct] <nombre_almacen|*>

V některých výpisech se -q objevuje bez podrobného popisu; ostatní modifikátory jsou dobře zdokumentovány a umožňují upravit úroveň detailů, formát a dotazy VirusTotal.

Možnosti a parametry klíče Sigcheck

Pochopení modifikátorů zabraňuje opakovanému skenování a zvyšuje vaši produktivitu . Zde je základní mapa, přepsaná a uspořádaná pro rychlou orientaci.

Parametr	popis
-a	Zobrazuje rozšířené informace o verzi a entropie (bity/bajty) obsahu.
-accepteula	Tiše přijímá EULA, užitečné pro neinteraktivní skripty.
-c / -ct	Výstup v CSV s kómata o záložky, ideální pro reportáže.
-d	Vypíše obsah soubor katalogu (.kočka).
-e	Pouze analyzovat spustitelné obrazy, ignorujte rozšíření.
-f	Hledejte podpis na specifikovaný katalog.
-h	Vzorek hash ze souboru.
-i	Zahrnuje jméno katalog a řetězec podpisů.
-l	Následuj symbolické odkazy a odbory.
-m	Otočte manifest vložené.
-n	Zobrazit pouze číslo verze.
-nobanner	Skryje úvodní banner; ideální pro tiché popravy.
-o	Zkontrolujte VirusTotal pomocí hash z CSV generováno programem Sigcheck (režim vhodný pro offline použití).
-p	Ověřte podpisy oproti zásady (GUID) beton.
-r	Zakáže kontrolu odvolání (používejte to moudře).
-s	Procházka podadresáře rekurzivně.
-t[u][v]	Převrací sklady certifikované (použijte * pro všechny). S -vy konzultuje s uživatelem. S -televize stáhne kořenový seznam od společnosti Microsoft a zobrazí se pouze platné certifikáty není zakořeněn v tomto seznamu; pokud není internet, pokusí se použít authrootstl.cab o authroot.stl z aktuálního adresáře.
-u	Bez VT: pouze zobrazení nepodepsané souboryS VT: zobrazuje soubory neznámé nebo s detekcí nenulové.
-v[rs]	konzultace VirusTotal pomocí hash. Přidat r otevřít zprávy s detekcemi a s nahrát nenaskenované soubory (výsledky se mohou zobrazit až za několik minut).
-vt	Znamená to přijetí Podmínky VT; pokud ne, zobrazí se interaktivní výzva.

Praktické případy použití se Sigcheck

Rychlé vyhledávání nepodepsaných spustitelných souborů v System32 je jistý způsob, jak odhalit zjevné anomálie . Na legitimním systému Windows je obvykle vše v této cestě podepsáno; cokoli, co podepsáno není, si zaslouží kontrolu.

sigcheck -u -e C:\\Windows\\System32

Pokud chcete kombinovat podpis a reputaci, nejprve přijměte Podmínky služby VT a v případě potřeby spusťte dotaz na podporu. Tím se propojí lokální kryptografická integrita s kolektivní inteligencí více enginů .

Přijmout podmínky: sigcheck -vt <archivo>
Dotaz s reporty pro pozitiva: sigcheck -vrs <archivo>
Filtr neznámý/pozitivní ve složce: sigcheck -u -s -v <carpeta>

Pro velké audity nebo týmy bez přístupu k internetu oddělte sběr hashů od vyhledávání reputace . Tento pracovní postup urychluje třídění a minimalizuje dopad na síť.

sigcheck -h -ct -s C:\\Windows\\System32 > inventario.tsv
sigcheck -o -vt -vr inventario.tsv

Certifikáty, sklady a řetězce důvěry

Sigcheck také pracuje s úložišti certifikátů . Můžete zobrazit výpis konkrétního úložiště (nebo všech pomocí *) a přidat -tu pro přepnutí do úložiště uživatele. S -tv bude filtrovat pomocí seznamu důvěryhodných kořenových certifikátů společnosti Microsoft a zobrazí pouze platné certifikáty , které v tomto seznamu nejsou zakořeněny.

sigcheck -tv -i -ct *

V izolovaných prostředích připravte soubor authrootstl.cab nebo authroot.stl v pracovním adresáři , aby filtrování root adresářů fungovalo i bez přístupu k internetu.

Pokud potřebujete ověřit shodu s podnikovými zásadami , použijte -p s odpovídajícím GUID. A pokud chcete ladit problémy s ověřováním, -r zakáže dotaz na odvolání (ve výchozím nastavení se mu vyhněte).

Forenzní scénáře a katalogy

Při analýze připojených obrazů se doporučuje importovat katalog zdrojového systému, aby se maximalizovalo ověřování podpisů. Zkopírování složek kryptografických služeb (například CatRoot) na analyzační hostitel a restartování služby Cryptographic Services obvykle výrazně zlepšuje ověřování řetězců.

Pro práci přímo s katalogy nezapomeňte: -d vypíše jeho obsah a -f vyhledá signaturu v zadaném katalogu. To je klíčové při práci s ovladači a systémovými komponentami, které závisí na souboru .cat.

sigcheck -d -ct 'C:\\Windows\\System32\\CatRoot\\*.cat'

Hashe: co to je a které použít

Hash je digitální otisk souboru: změníte jeden bit a výsledná hodnota je zcela jiná. Proto jsou užitečné pro ověřování stahování, uchovávání forenzních důkazů nebo detekci duplikátů.

Algoritmy a praktické aspekty, které je třeba mít na paměti denně, s prioritou zabezpečení a kompatibility :

MD5: velmi rychlé, ale s kolizemi; platné pro neadverzární identifikace.
SHA-1: také se známými kolizemi; pro nová použití je nejlepší se vyhnout.
SHA-2 (224/256/384/512): aktuální standard; SHA-256 je doporučený zástupný znak.
SHA-3Moderní alternativa schválená NIST.
BLAKE2/BLAKE3Velmi vysoký výkon se spolehlivými zárukami.

U hesel se vyhněte rychlým hashům; používejte odvozovací funkce jako bcrypt , scrypt nebo Argon2 . A nezapomeňte: vždy ověřujte přes HTTPS a z oficiálních zdrojů.

Ověření ve Windows bez nutnosti instalace: PowerShell a Certutil

Systém Windows obsahuje vestavěné nástroje, které řeší základní kontroly integrity během několika sekund. Pomocí PowerShellu můžete okamžitě získat hash SHA-256 a porovnat ho s hashem publikovaným dodavatelem.

Get-FileHash 'C:\\Ruta\\archivo.ext' -Algorithm SHA256

Certutil (z CMD nebo PowerShellu) můžete také použít k generování různých hashů a automatizaci dávek; je to velmi praktické pro skripty a opakované ověřování.

certutil -hashfile 'C:\\Ruta\\archivo.ext' SHA256

Pokud dáváte přednost vizuálnímu přístupu, 7-Zip přidává do kontextové nabídky možnosti CRC/SHA, které zobrazují hodnoty za běhu (pokud je to možné, upřednostňují SHA-256).

Ověření a kontrolní seznamy pro Linux

V GNU/Linuxu máte k dispozici standardní utility jako sha256sum , sha512sum nebo md5sum . Pracovní postup je identický: výpočet lokálně a porovnání s oficiálním hashem.

Související článek:

Výukový program Accessenum pro Windows

MD5: md5sum archivo
SHA-256: sha256sum archivo
Rychlý CRC32: cksum archivo

Pro více souborů to značně usnadňují seznamy .sfv/.md5/.sha1. Pomocí cksfv nebo cfv můžete snadno ověřovat nebo vytvářet seznamy v terminálu.

Instalace cksfv: sudo apt install cksfv
Zkontrolujte seznam: cksfv -g /ruta/lista.sfv
Vytvořte nový: cksfv fichero1 fichero2 > listado.sfv

Pokud dáváte přednost CFV , budete mít k dispozici širokou podporu formátů (SFV, MD5, Par2…), což je ideální pro heterogenní inventáře .

Nainstalujte: sudo apt install cfv
Šek: cfv -f /ruta/test.sfv
Vytvořit: cfv -C -flista.sfv -tsfv documento.pdf documento2.jpg

Podpisy PGP a soubory .sig

Když projekt publikuje balíček s příponou .sig , díváte se na podpis OpenPGP. V tomto případě neporovnáváte náhodný hash, ale ověřujete, že soubor byl podepsán klíčem správce a že nebyl změněn.

Importujte veřejný klíč autora nebo synchronizujte klíčenku vaší distribuce.
Šek: gpg --verify paquete.tar.zst.sig paquete.tar.zst

Pokud je podpis platný a klíč správný, máte zaručenou integritu a původ . Manažeři jako Pacman tento proces automatizují denně.

Porovnání souborů mezi sebou

Chcete-li zjistit, zda je kopie identická s originálem, vypočítejte hash obou a porovnejte je. Pokud se shodují, je kopie kousek po kousku identická; pokud se liší, něco se během procesu změnilo.

Původní: sha256sum documento.bin
Kopírovat: sha256sum documento_copia.bin

Doporučené grafické nástroje

Pokud dáváte přednost grafickému rozhraní, existují lehké a výkonné utility s podporou více algoritmů a dalšími funkcemi. Umožňují hromadně generovat hashe, porovnávat složky a vytvářet seznamy.

QuickHash (Win/Linux/macOS): Open source, čistý a všestranný; podporuje MD5, SHA-1/2/3, BLAKE2/3, xxHash atd.
HashMyFiles (Windows): přenosný, hromadně generuje hashe, integruje kontextové menu.
multi-hasher (Windows): Funguje podle složky a podsložky; více algoritmů.
Nástroj pro kontrolní součty MD5 a SHA (Windows): Získání/ověření MD5, SHA-1/256/512 a export sestav.
HashCalc, Kontrola haše MD5, Hasher Lite, DeadHash, Hash generátor, IVF y Řízení kontrolního součtu: další možnosti, které je třeba zvážit v závislosti na vašich potřebách.

HashCheck ve Windows: Integrace s Průzkumníkem

HashCheck přidá do vlastností souboru záložku Kontrolní součet a umožní vám uložit ověřovací soubor . Po jeho otevření pak červeně označí všechny neshody – což je velmi pohodlný způsob, jak auditovat celé složky.

Vlastnosti > karta Kontrolní součet > Uložit seznam.
Pokud se soubor změní, po opětovném otevření seznamu se zobrazí označené nesrovnalosti.
Můžete také vytvořit řídicí soubor pro všechny soubory ve složce.

I bez nainstalovaného HashChecku můžete ověřovací soubor otevřít v programu Poznámkový blok a v případě potřeby ručně porovnat hashe.

Rizika, kolize a osvědčené postupy

Přestože MD5 a SHA-1 vykazovaly kolize, použití SHA-256/512 nebo SHA-3 vás udržuje v bezpečné zóně z hlediska integrity. Ověřte vše přes HTTPS a z oficiálních webů, abyste se vyhnuli manipulaci s hashem na podvodných stránkách.

Útočníci se mohou pokusit o padělání hashů sdílených na fórech nebo klonovaných stránkách, nebo dokonce zneužít ověřování k narušení služeb. Proto je vhodné ověřovat prostřednictvím více kanálů (podpis nebo katalog PGP, reputace VT) a v případě potřeby implementovat řízení přístupu a segregaci.

Užitečné tipy a rychlé příklady

Pokud se chystáte prověřit tisíce souborů, přesměrujte je na CSV/TSV a sdílejte výsledek se svým týmem: všichni budou pracovat se stejnou důkazní základnou.

sigcheck -l -s -e -h -c 'D:\\Apps' > inventario_apps.csv
sigcheck -o -vt -vr inventario_apps.csv

Kombinace -a (entropie) , -h (haše) a -v (VT) poskytuje vrstvený pohled, který snižuje falešně pozitivní výsledky. Pro System32 je rychlá a efektivní metoda tato:

sigcheck.exe -u -e -vt C:\\Windows\\System32

Kontext a ekosystém Sysinternals

Sysinternals je kolekce bezplatných nástrojů od společnosti Microsoft pro diagnostiku a zabezpečení. Prezentace a ukázky ukázaly, jak je používat k identifikaci a odstranění malwaru . Sigcheck je lehký, přesný a snadno integrovatelný nástroj pro systémy správy zabezpečení.

Další reálné aplikace hashů

Kromě stahování pomáhají hashe udržovat řetězec úschovy ve forenzních analýzách, identifikovat duplikáty, urychlit deduplikaci záloh a podporovat digitální podpisy dokumentů a softwaru.

Ve světě blockchainu a kryptoměn jsou hashe páteří (Merkle stromy, adresy, těžba, smlouvy). Jsou také základem antimalwarových signatur (katalogy známých hashů hrozeb ) a mohou podporovat vymáhání autorských práv sledováním integrity obsahu.

Při stahování firmwaru (routerů, BIOSu atd.) vám ověření hashe před aktualizací zabrání v zablokování zařízení . Pokud se neshoduje, nepokračujte.

Související článek:

Jak detekovat e-maily obsahující malware nebo phishing

Zavedení Sigchecku a jeho doplnění o PowerShell, Certutil, 7-Zip a osvědčené postupy ověřování vás staví do rovnováhy: vysoká viditelnost , nízké náklady a informovaná rozhodnutí. Tento přístup snižuje riziko spouštění pochybných binárních souborů, zlepšuje vaše důvěryhodné inventáře a poskytuje silné argumenty pro audity nebo následné analýzy . Sdílejte tento tutoriál, aby se o tomto systému ve Windows mohlo dozvědět více uživatelů.