Comprender y operar Sophos Firewall Zero-Day Protection

Sophos Firewall Zero-Day Protection analiza descargas sospechosas y archivos adjuntos de correo electrónico a través de SophosLabs Intelix. El firewall envía archivos apropiados y riesgosos al servicio en la nube, donde el aprendizaje automático, la reputación, el análisis de espacio aislado y la investigación de amenazas trabajan juntos. El objetivo no es sólo bloquear el malware conocido, sino también clasificar mejor los archivos nuevos o inusuales.

Para los administradores, la distinción es importante: Zero-Day Protection no reemplaza reglas bien definidas, Web Protection, Mail Protection, TLS Inspection, el registro de eventos ni la protección de endpoints. Añade una capa de protección y análisis, especialmente cuando los archivos entran en la red mediante descargas web o adjuntos de correo y las firmas tradicionales aún no permiten una evaluación clara.

¿Qué artículo de protección encaja?

Zero-Day Protection responde principalmente a la pregunta de cómo se analizan los archivos sospechosos. Dependiendo del problema, la mejor forma de empezar es con el acceso web, el flujo de correo, los ataques a la red, el tráfico cifrado o la evaluación:

• Comprobar descargas sospechosas o archivos adjuntos de correo electrónico con Intelix: Este artículo.
• Configurar y probar el escaneo de malware web clásico con Single o Dual Engine: Configurar y probar el escaneo de malware en Sophos Firewall.
• Planificar categorías web, URL Groups, SafeSearch o reglas de descarga: Configurar Web Protection con políticas web en Sophos Firewall.
• Hacer visible el tráfico HTTPS y planificar bien las excepciones: Implantar TLS Inspection correctamente en Sophos Firewall.
• Distribuir certificado CA para escaneo HTTPS a clientes: Sophos Firewall Instalar certificado CA para escaneo HTTPS.
• Verificar el tráfico de correo electrónico en modo MTA y operar la protección de correo: Sophos Firewall Configurar la protección de correo en modo MTA.
• Bloquear exploits y patrones de ataque en el tráfico de red: Sophos Firewall Configure IPS y pruébelo de forma segura.
• Manejar IP, dominios o URL maliciosos a través de listas IoC: Sophos Firewall Configurar fuentes de amenazas y operarlas de forma segura.
• Entender NDR, Active Threat Response, XDR, MDR y el análisis con SIEM: Operar NDR y Active Threat Response en Sophos Firewall.
• Investigar descartes o bloqueos inesperados: Analizar paquetes descartados en Sophos Firewall.

Esta separación evita falsas expectativas: Zero-Day Protection evalúa archivos, pero no reemplaza una política web, ni IPS, ni planificación de retransmisión de correo ni evaluación de registros central. La mejor protección sólo se produce cuando las capas de archivos, web, correo, red y registro encajan.

Donde ayuda Zero-Day Protection en la práctica

Zero-Day Protection es particularmente relevante en estos escenarios:

• Los usuarios descargan archivos ejecutables, archivos comprimidos o documentos de Internet.
• Los archivos adjuntos de correo electrónico deben revisarse con más detalle antes de su entrega o liberación.
• Un archivo aún no se conoce bien, pero parece sospechoso.
• Una descarga no sólo debe escanearse localmente, sino también monitorearse en una zona de pruebas.
• Un incidente de seguridad debe evaluarse mejor mediante un informe detallado.

La función encaja bien con un modelo de seguridad por capas: las reglas del firewall limitan el tráfico permitido, TLS Inspection permite inspeccionar el tráfico web cifrado, Web Protection y Mail Protection evalúan el contenido, y Zero-Day Protection complementa estos controles con análisis en la nube e informes de sandbox.

Requisitos y límites en SFOS 22

Zero-Day Protection requiere una suscripción propia, incluida en Xstream Protection; Base License o Web Protection por sí solas no bastan. En Administration > Licensing, el estado debe ser Subscribed o Evaluating (evaluación de 30 días). Incluye Machine Learning, Sandboxing File Analysis y Threat Intelligence. El servicio no está soportado en un despliegue air gap porque necesita la conexión a la nube. Un firewall conectado a Internet sincroniza automáticamente las licencias cada 24 horas. Si una suscripción Zero-Day recién modificada aún aparece desactualizada, espere ese ciclo o inicie la sincronización de licencias antes de revisar la ruta de la política.

También deben estar activos los módulos de protección y las policies de la ruta de datos correspondiente. Una regla Allow sin perfiles de seguridad adecuados no ofrece la misma protección. Para descargas web, con Single engine Sophos debe ser el motor antivirus primario; alternativamente se usa Dual engine. El mismo requisito se aplica en SMTP Route and Scan Policy cuando se selecciona Single antivirus. Estas opciones se encuentran en Web > General settings y en la policy SMTP correspondiente bajo Email > Policies and exceptions.

Límites importantes en funcionamiento:

• El firewall no envía todos los tipos de archivos a Intelix, sino principalmente los tipos con riesgo.
• Muchos tipos de archivos no peligrosos, por ejemplo los formatos de imagen típicos, no se envían para su detonación.
• Las excepciones pueden excluir archivos del análisis y así reducir el efecto protector.
• El análisis de la nube requiere conectividad a los servicios de Sophos y puede retrasar las descargas.
• El firewall necesita TCP 443 saliente hacia *.sandbox.sophos.com; TLS interception o un upstream proxy no deben interrumpir esta conexión.
• Liberar un archivo antes de que se complete el análisis puede hacer que el contenido malicioso esté disponible.
• Zero-Day Protection no reemplaza Endpoint Detection and Response, MDR ni un proceso estructurado de respuesta a incidentes.

Si el firewall ve poco porque HTTPS no está descifrado o las reglas se ejecutan sin perfiles de seguridad, Zero-Day Protection también permanece restringido. El artículo Sophos Firewall Registros: ¿Qué función escribe en qué registro? ayuda con la asignación de registros y módulos.

Activar en reglas de firewall

Para descargas web no basta con que Zero-Day Protection esté licenciado en general. La regla de firewall adecuada debe captar realmente el tráfico web y activar las opciones necesarias de Web Scanning.

La ruta típica es:

Rules and policies > Firewall rules

En la regla cliente-Internet afectada se debería comprobar:

1. Source zone, Source network, Destination zone y Services coinciden con el tráfico de prueba.
2. Log firewall traffic está activo.
3. En Web filtering hay seleccionada una Web Policy adecuada.
4. Scan HTTP and decrypted HTTPS está activo.
5. Use zero-day protection está activo.
6. Para descargas HTTPS, TLS Inspection está planificada y funciona para el tráfico de prueba.
7. QUIC/HTTP/3 no evita la ruta de inspección HTTPS esperada.
8. Las Web Exceptions no omiten de forma involuntaria el análisis de malware, las comprobaciones de políticas ni el análisis de Zero-Day Protection.

Esto no garantiza que cada descarga aparezca en la vista de Zero-Day Protection. Archivos conocidos, tipos de archivo poco críticos o descargas fuera de la ruta inspeccionada pueden evaluarse antes de otra forma. Para la aceptación no basta con revisar la casilla; hay que poder seguir una descarga concreta en Log Viewer, Web log, SSL/TLS-inspection log y Downloads and attachments.

Importante: Scan HTTP and decrypted HTTPS analiza HTTP y tráfico HTTPS ya descifrado. La opción no activa automáticamente el descifrado HTTPS. En setups DPI hacen falta reglas adecuadas en Rules and policies > SSL/TLS inspection rules; en el camino Web Proxy es relevante Decrypt HTTPS during web proxy filtering. Sin esa visibilidad, Zero-Day Protection ve menos en descargas cifradas aunque la regla de firewall parezca correcta.

Dónde entra en vigor Zero-Day Protection

Zero-Day Protection no debe verse de forma aislada. La función sólo resulta relevante si un archivo realmente pasa por una ruta de protección adecuada.

Caminos típicos:

• Descarga web: Antes deben aplicarse la regla de firewall adecuada, Web Protection, Scan HTTP and decrypted HTTPS, Use zero-day protection y, con HTTPS, a menudo TLS Inspection. Puede consultarse Web log, SSL/TLS-inspection log y la vista Downloads and attachments.
• Adjunto de correo electrónico: El flujo de correo debe pasar por protección de correo, política de archivos adjuntos adecuada y verificación de malware. Puede controlar los registros de correo, la cuarentena y la vista de descargas y archivos adjuntos.
• Descarga FTP: Scan FTP for malware activa el análisis antivirus, pero no el análisis cloud de Zero-Day. En SFOS 22, Use zero-day protection se limita expresamente a descargas HTTP y HTTPS.
• Liberación o estado de error: El informe aún no está completo o el análisis ha fallado. En ese caso importan el proceso de liberación, el contexto del usuario, el hash y los demás registros.
• Sin visibilidad: El tráfico no pasa por la ruta de protección o el tipo de archivo no es relevante. Luego, primero verifique la regla del firewall, la política, TLS, el flujo de correo y el tipo de archivo.

Para las descargas web, lo primero es comprobar si la política web correcta está activa en la regla de firewall. Para los adjuntos de correo, el flujo debe pasar realmente por Mail Protection en modo MTA o una ruta verificada equivalente. Una regla Allow sin más no permite esperar un análisis completo de archivos por parte de Zero-Day Protection.

Las Web Exceptions requieren especial cuidado. En los modos DPI y proxy, una excepción puede hacer que el tráfico coincidente omita el descifrado, el análisis de malware y contenido, Zero-Day Protection o las comprobaciones de políticas. Por eso las excepciones deben ser más específicas que la regla de protección y comprobarse con Log Viewer, el registro de SSL/TLS Inspection y una descarga real.

Activar para archivos adjuntos de correo electrónico

En modo MTA, vaya a Email > Policies and exceptions > SMTP route and scan. Edite la política que realmente coincide con remitente, destinatario y dominio protegido y abra Malware protection:

1. Active Malware protection.
2. En Scanning, elija Single antivirus con Sophos como motor primario o Dual antivirus. En XGS 87/87w y 88/88w solo está disponible el motor primario.
3. Active Use zero-day protection.
4. Defina en el campo correspondiente el tamaño máximo de archivo. Es un límite de política elegido por el administrador, no un valor general del producto: los adjuntos mayores no se envían a Zero-Day Protection.
5. Guarde la política y compruebe su orden para que una política más amplia no coincida primero.

Elija el límite según el perfil real de correo, el ancho de banda y la espera aceptable. Empiece, por ejemplo, por el límite de adjuntos ya permitido en la organización, en vez de copiar un valor ajeno. Verifique después un adjunto de prueba autorizado por hora, remitente y destinatario en Email > Mail logs, Email > Mail spool y Monitor & analyze > Zero-day protection > Downloads and attachments. Un elemento del spool con estado Zero-day protection espera el análisis. SFOS reintenta la entrega durante tres días y descarta el mensaje tras otros cuatro días; los mensajes descartados siguen visibles en los registros de correo.

Flujo de análisis

1. Detección en el firewall

Un archivo atraviesa el firewall durante una descarga o como adjunto de correo. Si la política, el tipo de archivo y el contexto coinciden, se selecciona para el análisis de Zero-Day Protection. Los archivos conocidos y claramente clasificados pueden ser evaluados previamente por otros módulos de protección.

2. Entrega a SophosLabs Intelix

Los archivos elegibles se envían a un servicio Intelix SophosLabs a través de una conexión cifrada. Allí el archivo no sólo se compara con patrones conocidos, sino que también se evalúa utilizando varios niveles de análisis.

3. Aprendizaje automático y reputación

SophosLabs Intelix utiliza varios modelos de aprendizaje automático para evaluar las características, la estructura, la reputación global y la «genética» de un archivo, es decir, sus similitudes con otros archivos. Los archivos nuevos se comparan con millones de archivos conocidos, tanto seguros como maliciosos. Esto es especialmente útil para los archivos nuevos que todavía no se han observado de forma generalizada.

4. Análisis de Sandbox

El análisis Sandbox examina el archivo en un entorno aislado. La evaluación combina análisis dinámico y estático, Deep Learning, detección de exploits, CryptoGuard y monitorización de actividades de archivos, memoria RAM, registro y red. CryptoGuard detecta en tiempo real ransomware activo que cifra archivos dentro de la sandbox; esto no garantiza que se impida el cifrado en los endpoints de producción. El análisis también monitoriza las técnicas con las que un archivo intenta evadir la detección de la sandbox. Para los administradores, el término de marketing es menos importante que la pregunta: ¿qué intentó hacer realmente el archivo?

5. Decisión e informe

Al final hay una clasificación, por ejemplo, limpio, probablemente limpio, sospechoso, malicioso o PUA. Dependiendo del resultado, el archivo se libera, se bloquea o permanece visible con un estado de error o análisis. El informe ayuda a justificar claramente una liberación, un bloqueo o pasos adicionales de respuesta a incidentes.

Leer informes correctamente

La vista general se encuentra en Monitor & analyze > Zero-day protection > Downloads and attachments. Allí se muestran datos de actividad sobre descargas sospechosas y archivos adjuntos, el estado del análisis, detalles del informe y opciones de liberación.

En la lista no conviene buscar solo por nombre de archivo. Son útiles los filtros por periodo, usuario, origen, estado y componente. Técnicamente, los eventos de Zero-Day Protection aparecen en reports y Syslog como un Log Type propio; según la ruta, el componente es Web o Mail, y los subtypes pueden ser Allowed, Denied o Pending. Esto facilita la correlación con SIEM o Central Reporting.

Al pasar el cursor sobre el Detection Status de una entrada, aparece una vista breve con los resultados de amenazas de cada etapa del análisis. Mediante View report se abre el informe completo. Como alternativa, se selecciona More options > Show report en la entrada para abrir los detalles del análisis, en lugar de leer solo la entrada de la lista. Especialmente con Pending, estados de error o una autorización posterior, el informe detallado es la base de la decisión.

Para acotar la lista, seleccione Filter y defina los criterios deseados.

Un informe puede contener, entre otras, estas áreas:

• Download details: origen, momento y usuario afectado.
• Analysis summary: evaluación global y vista general; las clasificaciones son clean, likely clean, suspicious, malicious o Potentially Unwanted Application (PUA).
• Machine learning analysis: resultado global del aprendizaje automático, además del análisis de las características individuales del archivo, sus combinaciones y la estructura del archivo.
• Reputation analysis: evaluación basada en la distribución global.
• Detonation results: comportamiento del archivo durante la ejecución en la sandbox, capturas de pantalla del archivo en ejecución, detalles de los procesos utilizados y actividades generadas en el registro. Estos artefactos ayudan a investigar el comportamiento sospechoso de forma trazable.
• Full file analysis: firmas, certificados, recursos, importaciones y exportaciones.
• VirusTotal report: información adicional sobre la detección externa. Los datos muestran cuántos informes sobre la amenaza en cuestión existen en la base de datos de VirusTotal y cuántos productos de detección de malware detectan el archivo. Las dos cifras describen cosas distintas: informes existentes y productos que detectan el archivo.

Al evaluar un archivo sospechoso, no debe fijarse únicamente en el estado final. También son relevantes el origen, el usuario, el nombre del archivo, la URL de destino, el comportamiento del proceso, la actividad de red y si otros sistemas han visto la misma descarga. Si se produce un incidente, el informe debe correlacionarse con los registros de endpoints, correo, web y firewall.

Proceso para informes sospechosos

Una detección de Zero-Day Protection debe tratarse como un caso de seguridad, no como un simple bloqueo del filtro web.

Proceso práctico:

1. Abra el informe y registre el estado, nombre del archivo, fuente, usuario, hora y calificación.
2. Compruebe si se trata de una descarga web, un archivo adjunto de correo electrónico u otra ruta.
3. Compare los registros web, de correo y de firewall durante el mismo período de tiempo.
4. Si está presente, verifique los eventos de endpoint o EDR del cliente afectado.
5. Documente el hash del archivo, el remitente, la URL o el dominio.
6. Decida si se trata de un falso positivo, un ataque bloqueado, una sospecha no resuelta o un incidente.
7. Considere la liberación solo si existe un motivo comercial comprensible.
8. Documente la decisión y, si es necesario, derive un URL Group, una Mail Policy, un Threat Feed o una medida de protección del endpoint.

Cuando varios usuarios ven el mismo archivo o dominio, una sola decisión a menudo no es suficiente. Luego debe verificar si es necesario un ajuste de la política web, una regla de política de correo, una entrada de fuente de amenazas o una respuesta a incidentes.

Liberar archivos

Sophos Firewall permite liberar solo archivos o mensajes de correo electrónico que todavía se están analizando o han vuelto con un estado de error. Esta liberación puede ser necesaria si un proceso de negocio está bloqueado. Como workaround normal, no es adecuada.

Antes de liberar un archivo, compruebe al menos:

• ¿La fuente es confiable y esperada?
• ¿Se consultó al usuario o departamento sobre el contexto?
• ¿Existe un hash, un nombre de archivo o un remitente que se pueda verificar adicionalmente?
• ¿Existen registros de puntos finales o de correo para el mismo proceso?
• ¿Se puede examinar el archivo en un entorno aislado o mediante una herramienta de análisis independiente?
• ¿Está documentado quién decidió liberarlo y por qué motivo?

⚠️ Liberar un archivo antes de que termine el análisis puede permitir la descarga o entrega de contenido malicioso. En entornos de producción, esta decisión debe documentarse y no delegarse a una rutina de primer nivel.

Si la liberación se ha aprobado expresamente tras estas comprobaciones, seleccione Release now en la entrada correspondiente. En el caso de un archivo, los usuarios pueden descargarlo inmediatamente después; el clic no espera al resultado del análisis.

Después de una liberación, el análisis continúa. Esto es importante para la operación: un archivo liberado puede valorarse más tarde como sospechoso o malicioso. Por eso hay que revisar las liberaciones y, ante una valoración negativa posterior, correlacionar de nuevo los logs de endpoint, mail, web y firewall.

Para archivos individuales, la publicación del blog de Avanet SophosLabs Intelix - La herramienta de detección de ciberamenazas puede resultar útil. Sin embargo, esto no reemplaza la evaluación en el contexto específico de la red y del usuario.

Centro de datos y protección de datos

Puede especificar el centro de datos para el análisis en Monitor & analyze > Zero-day protection > Protection settings. De forma predeterminada, Sophos Firewall elige el centro de datos más cercano. Alternativamente, puede elegirse conscientemente un centro de datos. Los archivos se transfieren a la cloud de Sophos mediante una conexión SSL segura.

Esta configuración es importante para la privacidad, la residencia de los datos y los requisitos internos. Cambiar de centro de datos puede provocar la pérdida del análisis de archivos en curso. Antes del cambio, documente las entradas abiertas y elija una ventana de mantenimiento tranquila; después, compruebe la conectividad y los nuevos análisis. La elección de la región no resuelve por sí sola todas las cuestiones de privacidad: también deben evaluarse la conservación, los acuerdos de tratamiento y el contenido de los archivos que se permite enviar.

Utilice las excepciones con cuidado

En Monitor & analyze > Zero-day protection > Protection settings se pueden excluir tipos de archivos del análisis de protección de día cero. Para ello, en Exclude file types > Add new item, se selecciona el tipo de archivo deseado de la lista. La detección del tipo de archivo se basa en la extensión del archivo y el encabezado MIME. Si un archivo comprimido contiene un archivo de un tipo excluido, todo el archivo comprimido queda automáticamente excluido del análisis de protección de día cero, aunque también contenga archivos de tipos no excluidos. Por tanto, una excepción de tipo de archivo también afecta a los archivos comprimidos con contenido mixto; su contenido restante no queda protegido por este análisis de protección de día cero. Esta configuración debe distinguirse de la excepción web descrita más adelante.

Las excepciones son técnicamente prácticas, pero relevantes para la seguridad. Cada excepción debe tener una justificación clara:

• ¿Qué aplicación o proceso crea los archivos?
• ¿Por qué el análisis interfiere con el proceso o no resulta útil?
• ¿Existe una excepción más limitada que un tipo de archivo completo?
• ¿Se comprueba periódicamente la excepción?
• ¿Se sabe qué efecto protector se pierde como resultado?

Deben evitarse excepciones amplias para archivos comprimidos, scripts, archivos de Office o ejecutables. Cuando Zero-Day Protection interrumpe un proceso legítimo, el primer paso suele ser comprobar la política, la ruta de origen, el grupo de usuarios afectado o una distribución alternativa.

Para una excepción web, vaya a Web > Exceptions > Add an exception. Los criterios de tipos distintos se combinan con AND y varios valores del mismo tipo con OR. En HTTPS, los patrones de ruta URL solo coinciden cuando el tráfico está descifrado; sin descifrado, utilice el nombre de host. Omitir Malware and content scanning omite automáticamente Zero-Day Protection. Si se omite solo Zero-day protection, no se generan informes de análisis para los archivos afectados, incluso cuando el análisis de malware detecta una amenaza. Es un cambio de estado persistente: limite la excepción a un nombre de host o patrón URL, seleccione Save, active el conmutador y documente el responsable y la fecha de caducidad. Para revertir el cambio, desactive o elimine la excepción y vuelva a validar la misma ruta de datos.

API XML: cambiar los ajustes de protección de forma segura

En la automatización, el objeto XML ZeroDayProtectionSettings corresponde a los ajustes de Monitor & analyze > Zero-day protection > Protection settings: DataCenterLocation indica el centro de datos para el análisis y ExcludeFileTypes los tipos de archivo excluidos, no las Web Exceptions. La referencia XML para SFOS 22/23 describe ambos campos como valores escalares opcionales de tipo STRING y deja en blanco las columnas de valores predeterminados. De ello no se deduce que exista un valor predeterminado XML documentado ni que omitir un campo o enviar un valor vacío mantenga sin cambios o elimine los ajustes existentes. Antes de realizar un cambio, lea el estado guardado y conserve los valores anteriores para poder revertir de forma específica los ajustes modificados; compruebe los valores de la solicitud según la referencia de la versión instalada.

Los códigos de estado de esta operación de actualización aparecen en el resultado XML y no deben equipararse al estado del transporte HTTP. La referencia les asigna las siguientes claves de mensaje, no el texto completo de los mensajes:

• 200: Language.SandboxSettingsUpdateSuccess (actualización correcta).
• 500: Language.SandboxSettingsUpdateFailed (actualización fallida).
• 502: Language.SandboxSettingsFileTypesExceeded (límite de tipos de archivo superado), que aquí no significa de forma general «el nombre ya existe». Esta referencia no indica un máximo numérico.

Ante 500, 502 o una respuesta ambigua, no inicie reintentos automáticos de la solicitud de escritura. Primero vuelva a leer el estado realmente guardado y compárelo con los valores conservados y los previstos. Ante 502, compruebe las exclusiones de tipos de archivo solicitadas y las opciones permitidas para la versión instalada, en lugar de cambiar nombres de objetos o suponer un límite. También después de 200, verifique el centro de datos y las exclusiones en Protection settings y compruebe la conectividad y una descarga autorizada o un adjunto de prueba autorizado de un tipo de archivo apto y no excluido mediante los registros y Downloads and attachments. Si es necesario revertir el cambio, restaure únicamente los ajustes modificados a los valores conservados previamente y repita las mismas comprobaciones, sin desactivar la protección de forma general. Al cambiar de centro de datos, la ventana de mantenimiento y el riesgo de pérdida de los análisis en curso descritos anteriormente también se aplican a la reversión; esta no recupera los análisis ya perdidos.

Revertir un cambio de forma segura

Una reversión debe restaurar la ruta de datos anterior, no desactivar precipitadamente todas las capas de protección:

1. Documente los valores anteriores de regla, política, motor, límite de tamaño, centro de datos y excepción.
2. Ante problemas web, desactive primero la nueva excepción limitada o restaure el orden de reglas. Revierta Scan HTTP and decrypted HTTPS y TLS Inspection solo si ese cambio concreto causó la incidencia y se acepta la protección reducida.
3. Ante problemas de correo, restaure los valores anteriores de la SMTP Route and Scan Policy editada; no libere a ciegas mensajes en espera. Release now hace disponible de inmediato un archivo aún no comprobado, aunque el análisis continúa.
4. Tras la reversión, compruebe la coincidencia de la regla, el registro web o de correo y una descarga o adjunto de prueba autorizado. Si *.sandbox.sophos.com:443 sigue inaccesible o los objetos nuevos permanecen en Pending, la reversión no ha sido satisfactoria.

Verifique las liberaciones y excepciones con regularidad

Zero-Day Protection no es solo una función que se activa una vez. El valor operativo surge cuando los informes, las liberaciones y las excepciones se verifican periódicamente. De lo contrario, las decisiones arriesgadas permanecen activas mucho después de que desaparezca el motivo comercial original.

Estos puntos son particularmente útiles para la revisión:

• Archivo liberado: Verifique el motivo de la liberación, usuario o departamento afectado, hash, fuente del archivo, fecha de vencimiento y evaluación posterior.
• Excepción de tipo de archivo: Verifique la aplicación afectada, el responsable, la fecha de revisión, una alternativa más limitada y el riesgo para archivos comprimidos, scripts o archivos de Office.
• Estado de error recurrente: Verifique la conectividad de Sophos, el tamaño y el tipo de archivo, la política, el centro de datos y el posible caso de soporte.
• Muchas detecciones de un mismo origen: Verifique la política web o de correo, URL, remitente, grupo de usuarios, Threat Feed, URL Group o lista de bloqueo.

Una excepción no equivale a una limpieza habitual de las reglas del firewall. Estas entradas deben tener un responsable, un motivo y una fecha de revisión. Si se liberan archivos de forma recurrente, compare también los registros de endpoints, correo, web y firewall para que una excepción puntual no se convierta inadvertidamente en una omisión permanente de la protección.

Solución de problemas

No hay entradas visibles

Si no aparecen entradas en Downloads and attachments, primero hay que verificar si el tráfico pasa realmente por la regla de firewall y el security profile adecuados. Para descargas web son relevantes sobre todo Scan HTTP and decrypted HTTPS y Use zero-day protection en la regla de firewall. En tráfico HTTPS, la falta de TLS Inspection puede explicar por qué el firewall ve menos contenido. Después se revisan los ajustes web, mail, malware y Zero-Day.

También hay que comprobar si una Web Exception excluye el tráfico relevante de Decryption, Malware and content scanning o Zero-Day Protection. Si aplica una excepción, la configuración de Zero-Day Protection puede parecer correcta y aun así no generar entrada.

Para pruebas no conviene crear expectativas falsas con archivos ya conocidos local o globalmente. Si Reputation u otro módulo ya clasifica claramente un archivo, no tiene que aparecer necesariamente un nuevo análisis Sandbox completo. Para pruebas de aceptación importan más periodo, cliente de prueba, Rule ID, URL, nombre de archivo y hash que una única descarga de navegador sin correlación de logs.

Las descargas tardan demasiado

Un análisis de sandbox puede llevar tiempo. Si los usuarios suelen esperar durante periodos largos, compruebe si se analizan muchos archivos grandes o que cambian con frecuencia, si los procesos afectados son legítimos y si se justifica una excepción técnica limitada. Una desactivación general suele ser el primer paso equivocado.

Muchos falsos positivos

Ante falsos positivos recurrentes, verifique los detalles del informe, el origen del archivo, los hashes, la reputación, los usuarios y la aplicación afectados. Establezca excepciones solo después de comprender el patrón. Para listas de bloqueo dinámicas y gestión de IoC, consulte Configurar y operar Threat Feeds de forma segura en Sophos Firewall.

Se ha solicitado una liberación

Una liberación debe tratarse como una decisión de seguridad. Si el área usuaria solo dice “urgente”, no basta. Se necesita origen, finalidad, archivo, usuario, evaluación de riesgo y una decisión documentada.

El análisis permanece en Pending o termina con Error

Compruebe primero System services > Log settings: el Log Type Zero-day protection debe estar seleccionado para Local reporting, el servidor syslog deseado o Central reporting. Después, compruebe DNS, el enrutamiento y TCP 443 saliente hacia *.sandbox.sophos.com; una excepción TLS general para el tráfico de usuarios no resuelve la conectividad del servicio. Para el correo, Email > Mail spool muestra por separado los mensajes en espera. Si el error se repite con distintos tipos de archivo admitidos, recopile las marcas de tiempo, el hash, el componente, la Policy/Rule ID y el estado del informe para Sophos Support.

Consultar las Release Notes y Known Issues de SFOS 22

Utilice la guía de actualización de firmware de Sophos Firewall para seguir el procedimiento actual de comprobación de Release Notes y Known Issues. Su instantánea del 8 de septiembre de 2026 registra 22.0 MR2 Build 546 como versión actual en esa fecha. SFOS 22 incorpora un nuevo motor antimalware de Sophos con consultas de reputación globales y detecciones AI/ML. Este cambio de motor no sustituye la suscripción Zero-Day independiente ni los selectores de las políticas.

Antes del despliegue, siga esa guía y vuelva a buscar en las Release Notes y la Known Issues List Sophos Firewall, Zero-day, sandbox, email y la versión objetivo, en lugar de confiar en un resultado anterior. MR2 corrige, entre otros, un fallo de mail spool; para las instalaciones con análisis de correo, revise también las correcciones de Email, no solo las páginas de Zero-Day.

Lista de verificación operativa

• Licencia y estado del módulo Zero-Day Protection verificados.
• Políticas web y de correo revisadas para el análisis de malware y los controles de seguridad.
• En reglas web de firewall se comprobaron Scan HTTP and decrypted HTTPS y Use zero-day protection.
• TLS Inspection o descifrado mediante el proxy web planificado donde se deben inspeccionar las descargas web cifradas.
• Web Exceptions revisadas para evitar bypasses no intencionados de Zero-Day.
• Centro de datos elegido deliberadamente para análisis o documentado como estándar.
• No hay excepciones amplias de tipos de archivos sin propietario ni fecha de revisión.
• Vista de descargas y archivos adjuntos revisada periódicamente.
• Proceso de liberación definido solo para archivos que se están analizando o han vuelto con un estado de error.
• Informes correlacionados con registros de endpoints, correo, web y firewall.
• Se tienen en cuenta Syslog, Central Reporting o SIEM para una trazabilidad más larga.

Preguntas frecuentes