Comprendre et exploiter Sophos Firewall Zero-Day Protection

Sophos Firewall Zero-Day Protection analyse les téléchargements suspects et les pièces jointes aux e-mails via SophosLabs Intelix. Le pare-feu envoie les fichiers appropriés et risqués au service cloud, où l’apprentissage automatique, la réputation, l’analyse sandbox et la recherche sur les menaces fonctionnent ensemble. L’objectif n’est pas seulement de bloquer les malwares connus, mais aussi de mieux classer les fichiers nouveaux ou inhabituels.

C’est important pour les administrateurs : Zero-Day Protection ne remplace pas les règles propres, la protection Web, la protection du courrier, TLS Inspection, la journalisation ou la protection des points de terminaison. La fonction est un module supplémentaire de protection et d’analyse. Cela est particulièrement utile lorsque les fichiers entrent sur le réseau via des téléchargements Web ou des pièces jointes à des e-mails et que les signatures classiques ne fournissent pas encore de décision claire.

Quel article de protection convient ?

Zero-Day Protection répond principalement à la question de savoir comment les fichiers suspects sont analysés. Selon le problème, la meilleure façon de commencer est de commencer par l’accès au Web, le flux de messagerie, les attaques réseau, le trafic chiffré ou l’évaluation :

• Vérifiez les téléchargements suspects ou les pièces jointes aux e-mails avec Intelix : Cet article.
• Configurer et tester l’analyse antimalware web classique avec Single ou Dual Engine : Configurer et tester l’analyse antimalware de Sophos Firewall.
• Planifiez des catégories Web, des groupes d’URL, des règles SafeSearch ou de téléchargement : Sophos Firewall Configurer la protection Web avec des politiques Web.
• Rendre le trafic HTTPS visible et planifier proprement les exceptions : Insérer correctement Sophos Firewall TLS Inspection.
• Distribuer le certificat CA pour l’analyse HTTPS aux clients : Sophos Firewall Installer le certificat CA pour l’analyse HTTPS.
• Vérifiez le trafic de messagerie en mode MTA et activez la protection du courrier : Sophos Firewall Configurer la protection du courrier en mode MTA.
• Bloquer les exploits et les modèles d’attaque dans le trafic réseau : Sophos Firewall Configurez IPS et testez-le en toute sécurité.
• Gérer les adresses IP, domaines ou URL malveillants via les listes IoC : Sophos Firewall Configurer des flux de menaces et les exploiter en toute sécurité.
• Classez l’évaluation NDR, Active Threat Response, XDR, MDR ou SIEM : Sophos Firewall NDR et Active Threat Response fonctionnent.
• Suivez les chutes ou les blocages inattendus : Sophos Firewall Analyser les paquets abandonnés.

Cette séparation évite les fausses attentes : Zero-Day Protection évalue les fichiers, mais elle ne remplace pas une politique Web, pas d’IPS, pas de planification de relais de courrier et pas d’évaluation centrale des journaux. La meilleure protection ne se produit que lorsque les couches de fichiers, Web, messagerie, réseau et journalisation s’intègrent ensemble.

Où Zero-Day Protection aide dans la pratique

Zero-Day Protection est particulièrement pertinent dans ces scénarios :

• Les utilisateurs téléchargent des fichiers exécutables, des archives ou des documents depuis Internet.
• Les pièces jointes des e-mails doivent être vérifiées plus attentivement avant leur livraison ou leur libération.
• Un dossier n’est pas encore clairement connu, mais semble suspect.
• Un téléchargement doit non seulement être analysé localement, mais également surveillé dans un bac à sable.
• Un incident de sécurité doit être mieux évalué à l’aide d’un rapport détaillé.

La fonctionnalité s’intègre bien dans un modèle de sécurité à plusieurs niveaux : Règles de pare-feu limite le trafic autorisé, TLS Inspection rend le trafic Web chiffré plus vérifiable, Web Protection et Mail Protection évaluent le contenu, et Zero-Day Protection complète ces contrôles avec des analyses cloud et des rapports sandbox.

Exigences et limites

Zero-Day Protection ne fonctionne utilement que si les modules et politiques de protection appropriés sont actifs. Une règle d’autorisation pure sans profils de sécurité appropriés n’offre pas la même protection. En fonction du domaine d’application, vous devez donc planifier consciemment la protection Web, la protection du courrier, l’analyse des logiciels malveillants, SSL/TLS Inspection et la journalisation.

Limites importantes en fonctionnement :

• Le pare-feu n’envoie pas tous les types de fichiers à Intelix, mais principalement les types de fichiers à risque.
• De nombreux types de fichiers non dangereux, par exemple les formats d’image typiques, ne sont pas envoyés pour détonation.
• Des exceptions peuvent exclure des fichiers de l’analyse et ainsi réduire l’effet protecteur.
• L’analyse cloud nécessite une connectivité aux services Sophos et peut retarder les téléchargements.
• La libération avant la fin de l’analyse peut exposer du contenu malveillant.
• Zero-Day Protection ne remplace ni Endpoint Detection and Response, ni MDR, ni un processus de réponse aux incidents rigoureux.

Si le pare-feu voit peu de choses parce que HTTPS n’est pas déchiffré ou que les règles s’exécutent sans profils de sécurité, Zero-Day Protection reste également restreint. L’article Sophos Firewall Journaux : quelle fonction écrit dans quel journal ? aide à l’affectation des journaux et des modules.

Activer dans les règles firewall

Pour les téléchargements Web, il ne suffit pas que Zero-Day Protection soit généralement licencié. La règle firewall concernée doit réellement matcher le trafic Web et activer les options de Web scanning nécessaires.

Le chemin typique est :

Rules and policies > Firewall rules

Dans la règle client-Internet concernée, vérifier :

1. Source zone, Source network, Destination zone et Services matchent le trafic de test.
2. Log firewall traffic est actif.
3. Dans la section Web filtering, une Web Policy adaptée est sélectionnée.
4. Scan HTTP and decrypted HTTPS est actif.
5. Use zero-day protection est actif.
6. Pour les téléchargements HTTPS, TLS Inspection est planifiée et effective pour le trafic de test.
7. QUIC/HTTP/3 ne contourne pas le chemin d’inspection HTTPS attendu.
8. Les Web Exceptions n’excluent pas involontairement l’analyse des malwares, les contrôles de politiques ou l’analyse Zero-Day Protection.

Cela ne garantit pas encore que chaque téléchargement apparaisse dans la vue Zero-Day Protection. Des fichiers connus, des types de fichiers non critiques ou des téléchargements hors du chemin inspecté peuvent être évalués autrement auparavant. Pour l’acceptation, il ne faut donc pas seulement vérifier si la case est active, mais si un téléchargement concret est traçable dans Log Viewer, Web log, SSL/TLS inspection log et Downloads and attachments.

Important : Scan HTTP and decrypted HTTPS scanne HTTP et le trafic HTTPS déjà déchiffré. L’option n’active pas automatiquement le déchiffrement HTTPS. Dans les setups DPI, il faut pour cela des Rules and policies > SSL/TLS inspection rules adaptées ; dans le chemin Web Proxy, Decrypt HTTPS during web proxy filtering est pertinent. Sans cette visibilité, Zero-Day Protection voit moins de choses pour les téléchargements chiffrés, même si la règle firewall semble formellement correcte.

Où Zero-Day Protection prend effet

Zero-Day Protection ne doit pas être considéré isolément. La fonction ne devient pertinente que si un fichier passe effectivement par un chemin de protection approprié.

Chemins typiques :

• Téléchargement Web : la règle firewall adaptée, Web Protection, Scan HTTP and decrypted HTTPS, Use zero-day protection et souvent TLS Inspection pour HTTPS doivent intervenir au préalable. Les contrôles se font dans le Web log, le SSL/TLS inspection log et la vue Downloads and attachments.
• Pièce jointe à un e-mail : Le flux de courrier doit passer par la protection du courrier, une politique de pièce jointe appropriée et une vérification des logiciels malveillants. Vous pouvez contrôler les journaux de courrier, la quarantaine et l’affichage des téléchargements et des pièces jointes.
• Statut de version ou d’erreur : Le rapport n’est pas encore terminé ou l’analyse a échoué. Ensuite, le processus de publication, le contexte utilisateur, le hachage et les autres journaux comptent.
• Aucune visibilité : Le trafic ne passe pas par le chemin de protection ou le type de fichier n’est pas pertinent. Vérifiez ensuite d’abord la règle de pare-feu, la politique, TLS, le flux de messagerie et le type de fichier.

Pour les téléchargements Web, la première chose importante est de savoir si le bon Politique Web est actif dans la règle de pare-feu. Pour les pièces jointes aux e-mails, le flux de messagerie doit effectivement s’exécuter via Protection du courrier en mode MTA ou un chemin vérifié comparable. Si seule une règle d’autorisation normale autorise le trafic, vous ne devez pas vous attendre à une analyse complète des fichiers de Zero-Day Protection.

Les Web Exceptions exigent une prudence particulière. Une exception peut, en mode DPI comme en mode Proxy, faire sauter Decryption, Malware and content scanning, Zero-Day Protection ou Policy Checks pour le trafic correspondant. Les exceptions doivent donc être plus étroites que la règle de protection elle-même et être vérifiées avec Log Viewer, SSL/TLS inspection log et un téléchargement réel.

Flux d’analyse

1. Détection sur le pare-feu

Un fichier passe à travers le pare-feu via un téléchargement ou sous forme de pièce jointe à un e-mail. Si la politique, le type de fichier et le contexte correspondent, le fichier est marqué pour Zero-Day Protection. Les fichiers connus et clairement classifiés peuvent être évalués au préalable par d’autres modules de protection.

2. Remise à SophosLabs Intelix

Les fichiers éligibles sont envoyés à un service Intelix SophosLabs via une connexion cryptée. Là, le fichier est non seulement vérifié par rapport à des modèles connus, mais est également évalué à l’aide de plusieurs niveaux d’analyse.

3. Apprentissage automatique et réputation

SophosLabs Intelix évalue les caractéristiques, la structure, la réputation globale et la similarité avec des fichiers bons ou malveillants connus. Ceci est particulièrement utile pour les nouveaux fichiers qui n’ont pas encore été largement diffusés.

4. Analyse du bac à sable

L’analyse Sandbox examine le fichier dans un environnement isolé. L’évaluation combine l’analyse dynamique et statique, l’apprentissage en profondeur, la détection d’exploits, CryptoGuard et la surveillance des activités de fichiers, de stockage, de registre et de réseau. Pour les administrateurs, le terme marketing est moins important que la question : qu’essayait réellement de faire le fichier ?

5. Décision et rapport

À la fin, il y a une note, par exemple propre, probablement propre, suspect, malveillant ou PUA. En fonction du résultat, le fichier est libéré, bloqué ou reste visible avec un état d’erreur ou d’analyse. Le rapport permet de justifier clairement une version, un blocage ou d’autres mesures de réponse à un incident.

Lire correctement les rapports

L’aperçu se trouve dans Sophos Firewall sous Monitor & analyze > Zero-day protection > Downloads and attachments. Il affiche les données d’activité sur les téléchargements suspects et les pièces jointes aux e-mails, l’état de l’analyse, les détails du rapport et les options de libération.

Dans la liste, il ne faut pas seulement chercher le nom du fichier. Les filtres par période, utilisateur, source, statut et composant sont utiles. Techniquement, les événements Zero-Day Protection apparaissent dans les rapports et Syslog comme un Log Type propre ; selon le chemin, le composant est Web ou Mail, et les subtypes peuvent être Allowed, Denied ou Pending. Cela rend la corrélation avec SIEM ou Central Reporting plus propre.

Le Detection Status fournit une vue courte de la progression de l’analyse. Pour l’évaluation complète, ouvrir View report ou Show report au lieu de lire uniquement l’entrée de liste. Surtout avec Pending, un statut d’erreur ou une libération ultérieure, le rapport détaillé est la base de la décision.

Un rapport peut contenir, entre autres, les domaines suivants :

• Download details: source, moment et utilisateur concerné.
• Analysis summary: évaluation globale du fichier.
• Machine learning analysis: caractéristiques, structure et évaluation ML.
• Reputation analysis: évaluation basée sur la distribution mondiale.
• Detonation results: comportement du fichier lors de l’exécution dans la sandbox.
• Full file analysis: signatures, certificats, ressources, importations et exportations.
• VirusTotal report: informations supplémentaires de détection externe.

Lorsqu’il s’agit d’un fichier suspect, vous ne devez pas vous contenter de regarder son statut final. La source, l’utilisateur, le nom du fichier, l’URL cible, le comportement du processus, l’activité du réseau et si d’autres systèmes ont vu le même téléchargement sont également pertinents. Si cela entraîne un incident, le rapport doit être fusionné avec les journaux des points finaux, de la messagerie, du Web et du pare-feu.

Processus pour les rapports suspects

Une attaque de protection Zero Day doit être traitée comme un petit cas de sécurité, et non comme un pur bloc de filtre Web.

Processus pratique :

1. Ouvrez le rapport et enregistrez l’état, le nom du fichier, la source, l’utilisateur, l’heure et la note.
2. Vérifiez s’il s’agit d’un téléchargement Web, d’une pièce jointe à un e-mail ou d’un autre chemin.
3. Comparez les journaux Web, de messagerie et de pare-feu pour la même période.
4. Le cas échéant, vérifiez les événements de point de terminaison ou EDR pour le client concerné.
5. Documentez le hachage, l’expéditeur, l’URL ou le domaine du fichier.
6. Décidez s’il s’agit d’un faux positif, d’une attaque bloquée, d’un soupçon non résolu ou d’un incident.
7. N’envisager la libération que s’il existe une raison métier compréhensible.
8. Documentez la décision et, si nécessaire, dérivez un groupe d’URL, une politique de messagerie, un flux de menaces ou une mesure de point de terminaison.

Lorsque plusieurs utilisateurs voient le même fichier ou domaine, une seule décision ne suffit souvent pas. Vous devez ensuite vérifier si un ajustement de la politique Web, une règle de politique de messagerie, une entrée dans le flux de menaces ou une réponse à un incident est nécessaire.

Libérer des fichiers

Sophos Firewall permet une libération uniquement pour les fichiers ou messages e-mail qui sont encore en cours d’analyse ou qui sont revenus avec un statut d’erreur. Une telle libération peut être nécessaire si un processus métier est bloqué. Comme workaround normal, elle est toutefois inadaptée.

Avant de publier, vous devez au moins vérifier :

• La source est-elle fiable et attendue ?
• L’utilisateur ou le service a-t-il été consulté sur le contexte ?
• Existe-t-il un hachage, un nom de fichier ou un expéditeur qui peut être vérifié en plus ?
• Existe-t-il des journaux de points de terminaison ou de messagerie pour le même processus ?
• Le dossier peut-il être examiné dans un environnement isolé ou via un outil d’analyse distinct ?
• Est-il documenté qui a décidé de le publier et pour quelle raison ?

⚠️ Une libération avant la fin de l’analyse peut entraîner le téléchargement ou la diffusion de contenu malveillant. Dans les environnements de production, cette décision doit être documentée et ne pas être déléguée à une routine de premier niveau.

Après une libération, l’analyse continue. C’est important pour l’exploitation : un fichier libéré peut ensuite tout de même être évalué comme suspect ou malveillant. Les libérations doivent donc être contrôlées a posteriori et, en cas d’évaluation négative ultérieure, les logs Endpoint, Mail, Web et Firewall doivent être rapprochés à nouveau.

Pour les fichiers individuels, le billet de blog Avanet SophosLabs Intelix - L’outil de détection des cybermenaces peut vous aider. Cependant, cela ne remplace pas l’évaluation dans le contexte spécifique du réseau et de l’utilisateur.

Centre de données et protection des données

Vous pouvez spécifier le centre de données pour l’analyse sous Monitor & analyze > Zero-day protection > Protection settings. Par défaut, Sophos Firewall choisit le centre de données le plus proche. Vous pouvez également choisir consciemment un centre de données.

Ce paramètre est particulièrement important si la protection des données, la résidence des données ou les réglementations internes jouent un rôle. Un changement de centre de données peut avoir un impact sur les analyses en cours. Par conséquent, le cadre ne doit pas être modifié au cours d’un cas d’analyse aiguë, mais doit être planifié et documenté.

Utilisez les exceptions avec précaution

Dans les paramètres de protection, vous pouvez exclure des types de fichiers de l’analyse de la protection Zero Day. La détection du type de fichier est basée sur l’extension du fichier et l’en-tête MIME. Les archives contenant des types de fichiers exclus peuvent également être exclues.

Les exceptions sont techniquement pratiques, mais importantes pour la sécurité. Chaque exception doit être clairement justifiée :

• Quelle application ou processus crée les fichiers ?
• Pourquoi l’analyse est-elle dérangeante ou inutile ?
• Existe-t-il une exception plus étroite qu’un type de fichier entier ?
• L’exception est-elle vérifiée régulièrement ?
• Sait-on quel effet protecteur est perdu en conséquence ?

Les exceptions générales concernant les archives, les scripts, les fichiers Office ou les fichiers exécutables doivent être évitées. Lorsque Zero-Day Protection perturbe un processus légitime, la première étape consiste souvent à vérifier la stratégie, le chemin source, le groupe d’utilisateurs concerné ou une mise à disposition alternative.

Vérifier régulièrement les libérations et les exceptions

Zero-Day Protection n’est pas une fonction à activer une seule fois. Sa valeur opérationnelle apparaît lorsque les rapports, les libérations et les exceptions sont vérifiés régulièrement. Dans le cas contraire, les décisions risquées restent actives longtemps après la disparition de la raison métier initiale.

Ces points sont particulièrement utiles pour la révision :

• Fichier publié : Vérifiez la raison de la publication, l’utilisateur ou le service concerné, le hachage, la source du fichier, la date d’expiration et l’évaluation ultérieure.
• Exception de type de fichier : Vérifiez l’application concernée, le propriétaire, la date de révision, l’alternative la plus proche et le risque pour les archives, les scripts ou les fichiers Office.
• Statut d’erreur récurrente : Vérifiez la connectivité Sophos, la taille du fichier, le type de fichier, la politique, le centre de données et l’éventuel cas de support.
• De nombreux appels provenant d’une seule source : Vérifiez la politique Web ou de messagerie, l’URL, l’expéditeur, le groupe d’utilisateurs, le flux de menaces, le groupe d’URL ou la liste de blocage.

Une exception n’est pas un nettoyage normal des règles de pare-feu. Ces entrées doivent avoir un propriétaire, un motif et une date de révision. Pour les versions récurrentes, vous devez également comparer les journaux des points de terminaison, de la messagerie, du Web et du pare-feu afin qu’une seule exception ne se transforme pas en un contournement permanent inaperçu.

Dépannage

Aucune entrée visible

Si aucune entrée n’apparaît sous Downloads and attachments, vérifier d’abord si le trafic passe réellement par la règle firewall et le profil de sécurité adaptés. Pour les téléchargements Web, Scan HTTP and decrypted HTTPS et Use zero-day protection dans la règle firewall sont particulièrement importants. Pour le trafic HTTPS, l’absence de TLS Inspection peut expliquer pourquoi la firewall voit moins de contenu. Vérifier ensuite les paramètres Web, Mail, Malware et Zero-Day.

Vérifier aussi si une Web Exception exclut le trafic pertinent de Decryption, Malware and content scanning ou Zero-Day Protection. Si une exception s’applique, la configuration Zero-Day Protection peut sembler correcte et pourtant ne produire aucune entrée.

Pour les tests, il ne faut pas créer de fausses attentes avec des fichiers déjà connus localement ou globalement. Si Reputation ou d’autres modules de protection évaluent déjà clairement un fichier, une nouvelle analyse Sandbox complète n’est pas forcément visible. Pour les tests d’acceptation, fenêtre temporelle, client de test, Rule ID, URL, nom de fichier et hash sont plus importants qu’un seul téléchargement navigateur sans corrélation de logs.

Les téléchargements prennent trop de temps

Une analyse sandbox peut prendre du temps. Si les utilisateurs attendent régulièrement pendant de longues périodes, vous devez vérifier si de nombreux fichiers volumineux ou changeant fréquemment sont analysés, si les processus concernés sont légitimes et si une exception technique étroite est justifiable. Une désactivation globale n’est généralement pas une bonne première étape.

Beaucoup de faux positifs

Pour les faux positifs récurrents, vérifiez les détails du rapport, la source du fichier, les hachages, la réputation, les utilisateurs concernés et l’application. Ce n’est que lorsque le modèle est compris que vous devez définir des exceptions. Pour les listes de blocage dynamiques et les opérations IOC, Sophos Firewall Configurer des flux de menaces et les exploiter en toute sécurité est une rubrique connexe.

Une libération a été demandée

Une libération doit être considérée comme une décision de sécurité. Si le service métier signale seulement « urgent », cela ne suffit pas. Il faut une source, un objectif, un fichier, un utilisateur, une évaluation des risques et une décision documentée.

Liste de contrôle opérationnel

• Zero-Day Protection Licence et statut du module vérifiés.
• Politiques Web et de messagerie contrôlées par des analyses de logiciels malveillants et de sécurité.
• Dans les règles Web firewall, Scan HTTP and decrypted HTTPS et Use zero-day protection vérifiés.
• TLS Inspection est prévu là où les téléchargements Web doivent être vérifiés judicieusement.
• Web Exceptions vérifiées pour éviter des contournements Zero-Day involontaires.
• Data center volontairement choisi pour analyse ou documenté en standard.
• Aucune exception générale de type de fichier sans propriétaire et date de révision.
• La vue des téléchargements et des pièces jointes est vérifiée régulièrement.
• Processus de libération défini pour les fichiers analysés ou incorrects.
• Rapports corrélés aux journaux des points de terminaison, de la messagerie, du Web et du pare-feu.
• Prise en compte de Syslog, Central Reporting ou SIEM pour une traçabilité plus longue.

FAQ