Comprendere e utilizzare Sophos Firewall Zero-Day Protection

Sophos Firewall Zero-Day Protection analizza download sospetti e allegati e-mail tramite SophosLabs Intelix. Il firewall invia file appropriati e rischiosi al servizio cloud, dove apprendimento automatico, reputazione, analisi sandbox e ricerca sulle minacce lavorano insieme. L’obiettivo non è solo bloccare il malware noto, ma anche classificare meglio i file nuovi o insoliti.

Per gli amministratori è importante distinguere le funzioni: Zero-Day Protection non sostituisce regole ben definite, Web Protection, Mail Protection, TLS Inspection, registrazione degli eventi o protezione degli endpoint. Aggiunge un livello di protezione e analisi, particolarmente utile quando i file entrano in rete tramite download web o allegati e-mail e le firme tradizionali non consentono ancora una valutazione chiara.

Quale articolo sulla protezione scegliere?

Zero-Day Protection risponde innanzitutto alla domanda su come vengono analizzati i file sospetti. A seconda del problema, il modo migliore per iniziare è con l’accesso al web, il flusso di posta, gli attacchi di rete, il traffico crittografato o la valutazione:

• Controllare download sospetti o allegati e-mail con Intelix: questo articolo.
• Configurare e testare la scansione malware web classica con Single o Dual Engine: Configurare e testare la scansione malware di Sophos Firewall.
• Pianificare categorie web, gruppi URL, SafeSearch o regole di download: Configurare Web Protection con policy web in Sophos Firewall.
• Rendere visibile il traffico HTTPS e pianificare con cura le eccezioni: Implementare correttamente TLS Inspection in Sophos Firewall.
• Distribuire il certificato CA per la scansione HTTPS ai client: Installare il certificato CA per la scansione HTTPS in Sophos Firewall.
• Controllare il traffico e-mail in modalità MTA e gestire Mail Protection: Configurare Mail Protection in modalità MTA in Sophos Firewall.
• Bloccare exploit e schemi di attacco nel traffico di rete: Configurare IPS e testarlo in sicurezza in Sophos Firewall.
• Gestire IP, domini o URL dannosi tramite elenchi IoC: Configurare e gestire Threat Feeds in sicurezza in Sophos Firewall.
• Comprendere NDR, Active Threat Response, XDR, MDR e l’analisi SIEM: Gestire NDR e Active Threat Response in Sophos Firewall.
• Individuare scarti o blocchi imprevisti: Analizzare i pacchetti scartati da Sophos Firewall.

Questa distinzione evita false aspettative: Zero-Day Protection valuta i file, ma non sostituisce una policy web, IPS, la pianificazione dell’inoltro della posta o l’analisi centralizzata dei log. La protezione è più efficace quando i livelli relativi a file, web, posta, rete e registrazione degli eventi lavorano insieme.

Dove Zero-Day Protection aiuta nella pratica

Zero-Day Protection è particolarmente rilevante in questi scenari:

• Gli utenti scaricano file eseguibili, archivi o documenti da Internet.
• Gli allegati e-mail dovrebbero essere controllati più attentamente prima della consegna o del rilascio.
• Un file non è ancora chiaramente noto, ma sembra sospetto.
• Un download non deve essere solo scansionato localmente, ma anche monitorato in una sandbox.
• Un incidente di sicurezza deve essere valutato meglio utilizzando un rapporto dettagliato.

La funzionalità si adatta a un modello di sicurezza a più livelli: le regole del firewall limitano il traffico consentito, TLS Inspection permette di ispezionare il traffico web cifrato, Web Protection e Mail Protection valutano i contenuti e Zero-Day Protection integra questi controlli con analisi cloud e report sandbox.

Requisiti e limiti in SFOS 22

Zero-Day Protection richiede una sottoscrizione dedicata, inclusa in Xstream Protection; Base License o Web Protection da sole non bastano. In Administration > Licensing lo stato deve essere Subscribed o Evaluating (valutazione di 30 giorni). Comprende Machine Learning, Sandboxing File Analysis e Threat Intelligence. Il servizio non è supportato in un deployment air gap. Un firewall connesso a Internet sincronizza automaticamente le licenze ogni 24 ore. Se una sottoscrizione Zero-Day appena modificata risulta ancora obsoleta, attendi tale ciclo o avvia la sincronizzazione delle licenze prima di diagnosticare il percorso della policy.

Devono essere attivi anche i moduli di protezione e le policy del relativo percorso dati. Una semplice regola Allow senza profili di sicurezza adeguati non offre la stessa protezione. Per i download web, con Single engine Sophos deve essere il motore antivirus primario; in alternativa si usa Dual engine. Lo stesso requisito vale nella SMTP Route and Scan Policy quando è selezionato Single antivirus. Le impostazioni si trovano in Web > General settings e nella policy SMTP appropriata in Email > Policies and exceptions.

Limiti importanti nel funzionamento:

• Il firewall non invia tutti i tipi di file a Intelix, ma principalmente i tipi di file rischiosi.
• Molti tipi di file non pericolosi, ad esempio i tipici formati di immagine, non vengono inviati per la detonazione.
• Le eccezioni possono escludere file dall’analisi e quindi ridurre l’effetto protettivo.
• L’analisi del cloud richiede la connettività ai servizi Sophos e potrebbe ritardare i download.
• Il firewall richiede TCP 443 in uscita verso *.sandbox.sophos.com; TLS interception o un upstream proxy non devono interrompere questa connessione.
• Il rilascio prima del completamento dell’analisi potrebbe esporre contenuti dannosi.
• Zero-Day Protection non sostituisce Endpoint Detection and Response, MDR o un processo strutturato di risposta agli incidenti.

Se il firewall vede poco perché HTTPS non viene decrittografato o le regole vengono eseguite senza profili di sicurezza, anche Zero-Day Protection rimane limitato. L’articolo Sophos Firewall Log: quale funzione scrive in quale log? aiuta nell’assegnazione dei log e dei moduli.

Attivare nelle regole firewall

Per i download web non basta che Zero-Day Protection sia generalmente licenziata. La regola firewall corretta deve intercettare davvero il traffico web e attivare le opzioni di web scanning necessarie.

Il percorso tipico è:

Rules and policies > Firewall rules

Nella regola internet client interessata si dovrebbe verificare:

1. Source zone, Source network, Destination zone e Services corrispondono al traffico di test.
2. Log firewall traffic è attivo.
3. Nell’area Web filtering è selezionata una Web Policy adatta.
4. Scan HTTP and decrypted HTTPS è attivo.
5. Use zero-day protection è attivo.
6. Per i download HTTPS, TLS Inspection è pianificata ed efficace per il traffico di test.
7. QUIC/HTTP/3 non aggira il percorso di ispezione HTTPS previsto.
8. Le Web Exceptions non escludono involontariamente la scansione malware, le verifiche delle policy o l’analisi Zero-Day Protection.

Questo non garantisce ancora che ogni download appaia nella vista Zero-Day Protection. File noti, tipi di file non critici o download fuori dal percorso controllato possono essere valutati prima da altri moduli. Per l’accettazione non si dovrebbe quindi controllare solo se la casella è attiva, ma se un download concreto è tracciabile in Log Viewer, nel Web Log, nel log SSL/TLS Inspection e in Downloads and attachments.

Importante: Scan HTTP and decrypted HTTPS scansiona HTTP e traffico HTTPS già decrittografato. L’opzione non attiva automaticamente la decrittografia HTTPS. Nei setup DPI servono regole adatte sotto Rules and policies > SSL/TLS inspection rules; nel percorso Web Proxy è rilevante Decrypt HTTPS during web proxy filtering. Senza questa visibilità, Zero-Day Protection può vedere meno contenuto nei download cifrati, anche se la regola firewall sembra formalmente corretta.

Dove ha effetto Zero-Day Protection

Zero-Day Protection non deve essere considerato isolatamente. La funzione diventa rilevante solo se un file attraversa effettivamente un percorso di protezione adeguato.

Percorsi tipici:

• Download dal Web: devono applicarsi la regola firewall corretta, Web Protection, Scan HTTP and decrypted HTTPS, Use zero-day protection e, per HTTPS, spesso TLS Inspection. È possibile controllare il Web log, il log di SSL/TLS Inspection e la vista Downloads and attachments.
• Allegato e-mail: il flusso di posta deve passare attraverso Mail Protection, una policy per gli allegati adeguata e la scansione malware. È possibile controllare i log della posta, la quarantena e la vista Downloads and attachments.
• Download FTP: Scan FTP for malware attiva la scansione antivirus, ma non l’analisi cloud Zero-Day. In SFOS 22, Use zero-day protection è espressamente limitato ai download HTTP e HTTPS.
• Stato di rilascio o errore: il report non è ancora completo oppure l’analisi non è riuscita. In questo caso contano il processo di rilascio, il contesto utente, l’hash e gli altri log.
• Nessuna visibilità: il traffico non attraversa il percorso di protezione oppure il tipo di file non è rilevante. Occorre quindi controllare prima regola firewall, policy, TLS, flusso di posta e tipo di file.

Per i download web è importante innanzitutto verificare che la Web Policy corretta sia attiva nella regola firewall. Per gli allegati e-mail, il flusso di posta deve realmente passare attraverso Mail Protection in modalità MTA o un percorso controllato equivalente. Se il traffico è consentito solo da una normale regola Allow, non ci si può aspettare un’analisi completa dei file da Zero-Day Protection.

Le Web Exceptions richiedono particolare attenzione. Nei modi DPI e proxy, un’eccezione può fare in modo che il traffico corrispondente escluda decrittografia, scansione malware e contenuti, Zero-Day Protection o verifiche delle policy. Le eccezioni devono quindi essere più specifiche della regola di protezione e verificate con Log Viewer, il log di SSL/TLS Inspection e un download reale.

Attivare per gli allegati e-mail

In modalità MTA, aprire Email > Policies and exceptions > SMTP route and scan. Modificare la policy che corrisponde effettivamente a mittente, destinatario e dominio protetto, quindi aprire Malware protection:

1. Attivare Malware protection.
2. In Scanning, scegliere Single antivirus con Sophos come motore primario oppure Dual antivirus. Su XGS 87/87w e 88/88w è disponibile solo il motore primario.
3. Attivare Use zero-day protection.
4. Impostare nel campo associato la dimensione massima del file. È un limite di policy scelto dall’amministratore, non un valore universale del prodotto: gli allegati più grandi non vengono inviati a Zero-Day Protection.
5. Salvare la policy e verificarne l’ordine, affinché non corrisponda prima una policy più ampia.

Scegliere il limite in base al profilo e-mail reale, alla larghezza di banda e all’attesa accettabile. Iniziare, ad esempio, dal limite degli allegati già consentito dall’organizzazione invece di copiare un valore esterno. Verificare poi un allegato di test autorizzato per ora, mittente e destinatario in Email > Mail logs, Email > Mail spool e Monitor & analyze > Zero-day protection > Downloads and attachments. Un elemento nello spool con stato Zero-day protection attende l’analisi. SFOS ritenta la consegna per tre giorni e scarta il messaggio dopo altri quattro giorni; i messaggi scartati restano visibili nei mail logs.

Flusso di analisi

1. Rilevamento sul firewall

Un file attraversa il firewall tramite download o come allegato e-mail. Se la policy, il tipo di file e il contesto corrispondono, il file viene contrassegnato per Zero-Day Protection. I file noti e chiaramente classificati possono essere valutati in anticipo da altri moduli di protezione.

2. Passaggio a SophosLabs Intelix

I file idonei vengono inviati a un servizio Intelix SophosLabs tramite una connessione crittografata. Qui il file non viene solo confrontato con modelli noti, ma viene anche valutato utilizzando diversi livelli di analisi.

3. Apprendimento automatico e reputazione

SophosLabs Intelix utilizza più modelli di apprendimento automatico per valutare le caratteristiche, la struttura, la reputazione globale e la «genetica» di un file, cioè le somiglianze con altri file. I nuovi file vengono confrontati con milioni di file noti come sicuri o dannosi. Questo è particolarmente utile per i nuovi file che non sono ancora stati osservati su larga scala.

4. Analisi sandbox

L’analisi sandbox esamina il file in un ambiente isolato. La valutazione combina analisi dinamica e statica, deep learning, rilevamento di exploit, CryptoGuard e monitoraggio delle attività relative a file, memoria RAM, registro e rete. CryptoGuard rileva in tempo reale il ransomware attivo che cifra i file all’interno della sandbox; ciò non garantisce che venga impedita la cifratura sugli endpoint di produzione. L’analisi monitora anche le tecniche con cui un file tenta di eludere il rilevamento della sandbox. Per gli amministratori, il termine di marketing è meno importante della domanda: cosa ha effettivamente tentato di fare il file?

5. Decisione e relazione

Alla fine c’è una valutazione, ad esempio pulito, probabilmente pulito, sospetto, dannoso o PUA. A seconda del risultato, il file viene rilasciato, bloccato oppure rimane visibile con uno stato di errore o di analisi. Il report aiuta a giustificare chiaramente un rilascio, un blocco o ulteriori fasi di risposta all’incidente.

Leggere correttamente i report

La panoramica si trova in Sophos Firewall sotto Monitor & analyze > Zero-day protection > Downloads and attachments. Qui sono visibili i dati sulle attività relative a download sospetti e allegati e-mail, lo stato dell’analisi, i dettagli del report e le opzioni di rilascio.

Nell’elenco non va cercato solo il nome del file. Sono utili i filtri per periodo, utente, origine, stato e componente. Gli eventi Zero-Day Protection appaiono nei report e in Syslog come un Log Type separato. A seconda del percorso, il componente è Web o Mail, mentre i subtype possono essere Allowed, Denied o Pending.

Passando il puntatore del mouse sul Detection Status di una voce, viene visualizzata una vista sintetica con i risultati relativi alle minacce per ciascuna fase dell’analisi. View report apre il report completo. In alternativa, si seleziona More options > Show report per la voce per aprire i dettagli dell’analisi, invece di leggere soltanto la voce nell’elenco. Soprattutto con Pending, uno stato di errore o un rilascio successivo, il report dettagliato è la base della decisione.

Per restringere l’elenco, selezionare Filter e impostare i criteri desiderati.

Un report può contenere, tra le altre, queste aree:

• Download details: origine, momento e utente interessato.
• Analysis summary: valutazione complessiva e panoramica; le classificazioni sono clean, likely clean, suspicious, malicious o Potentially Unwanted Application (PUA).
• Machine learning analysis: risultato complessivo dell’apprendimento automatico, oltre all’analisi delle singole caratteristiche del file, delle loro combinazioni e della struttura del file.
• Reputation analysis: valutazione basata sulla distribuzione globale.
• Detonation results: comportamento del file durante l’esecuzione nella sandbox, screenshot del file in esecuzione, dettagli sui processi utilizzati e sulle attività generate nel registro. Questi artefatti aiutano a esaminare il comportamento sospetto in modo tracciabile.
• Full file analysis: firme, certificati, risorse, importazioni ed esportazioni.
• VirusTotal report: informazioni aggiuntive sul rilevamento esterno. I dati indicano quanti report relativi alla minaccia in questione sono presenti nel database di VirusTotal e quanti prodotti di rilevamento malware rilevano il file. I due numeri descrivono aspetti diversi: i report presenti e i prodotti che rilevano il file.

Nella valutazione di un file sospetto, non limitarsi allo stato finale. Sono rilevanti anche l’origine, l’utente, il nome del file, l’URL di destinazione, il comportamento del processo, l’attività di rete e l’eventuale presenza dello stesso download su altri sistemi. In caso di incidente, correlare il report con i log di endpoint, posta, web e firewall.

Procedura in presenza di un report sospetto

Un rilevamento di Zero-Day Protection va trattato come un caso di sicurezza, non come un semplice blocco del filtro web.

Processo pratico:

1. Aprire il report e registrare lo stato, il nome del file, la fonte, l’utente, l’ora e la valutazione.
2. Controllare se si trattava di un download web, di un allegato e-mail o di un altro percorso.
3. Confrontare i log web, di posta e del firewall per lo stesso periodo.
4. Se presente, controllare gli eventi endpoint o EDR per il client interessato.
5. Documentare hash del file, mittente, URL o dominio.
6. Decidere se si tratta di un falso positivo, di un attacco bloccato, di un sospetto irrisolto o di un incidente.
7. Valutare il rilascio solo se esiste una ragione aziendale comprensibile.
8. Documentare la decisione e, se necessario, definire un’azione relativa a un gruppo URL, una policy di posta, un Threat Feed o una misura di protezione degli endpoint.

Quando più utenti incontrano lo stesso file o dominio, una decisione individuale spesso non basta. Verificare quindi se occorre modificare la policy web, una regola della policy di posta, una voce in un Threat Feed o avviare una risposta all’incidente.

Rilasciare file

Sophos Firewall consente il rilascio solo di file o messaggi e-mail ancora in fase di analisi o restituiti con uno stato di errore. Tale rilascio può essere necessario se un processo aziendale è bloccato. Tuttavia, non è adatto come normale workaround.

Prima di rilasciare un file, controllare almeno:

• La fonte è affidabile e prevista?
• L’utente o il dipartimento sono stati consultati sul contesto?
• Esiste un hash, un nome file o un mittente che può essere ulteriormente controllato?
• Esistono registri endpoint o di posta per lo stesso processo?
• È possibile esaminare il file in un ambiente isolato o tramite uno strumento di analisi separato?
• È documentato chi ha deciso di rilasciarlo e per quale motivo?

⚠️ Il rilascio prima del completamento dell’analisi potrebbe consentire il download o la distribuzione di contenuti dannosi. Negli ambienti di produzione, questa decisione deve essere documentata e non delegata a una routine di primo livello.

Se il rilascio è stato espressamente approvato dopo queste verifiche, selezionare Release now per la voce interessata. Nel caso di un file, gli utenti possono scaricarlo subito dopo; il clic non attende il risultato dell’analisi.

Dopo il rilascio, l’analisi continua. Questo è importante per le attività operative: un file rilasciato può essere successivamente classificato come sospetto o dannoso. I rilasci devono quindi essere ricontrollati e, in caso di una valutazione negativa successiva, occorre correlare nuovamente i log di endpoint, posta, web e firewall.

Per i singoli file, il post del blog Avanet SophosLabs Intelix - Lo strumento di rilevamento delle minacce informatiche può essere d’aiuto. Ciò tuttavia non sostituisce la valutazione nello specifico contesto della rete e dell’utente.

Data center e protezione dei dati

È possibile specificare il data center per l’analisi in Monitor & analyze > Zero-day protection > Protection settings. Per impostazione predefinita, Sophos Firewall sceglie il data center più vicino. In alternativa è possibile selezionarne uno in modo esplicito. I file vengono trasferiti al cloud Sophos tramite una connessione SSL sicura.

Questa impostazione è importante per la privacy, la residenza dei dati e i requisiti interni. Cambiare data center può causare la perdita dell’analisi dei file in elaborazione. Prima del cambio, documentare le voci aperte e scegliere una finestra di manutenzione tranquilla; dopo il cambio, verificare la connettività e le nuove analisi. La scelta della regione non risolve da sola tutte le questioni di privacy: occorre valutare anche conservazione, accordi di trattamento e contenuti che è consentito inviare.

Usare le eccezioni con attenzione

In Monitor & analyze > Zero-day protection > Protection settings è possibile escludere tipi di file dall’analisi della protezione zero-day. A tale scopo, in Exclude file types > Add new item, selezionare il tipo di file desiderato dall’elenco. Il rilevamento del tipo di file si basa sull’estensione del file e sull’intestazione MIME. Se un archivio contiene un file di un tipo escluso, l’intero archivio viene automaticamente escluso dall’analisi della protezione zero-day, anche se contiene anche file di tipi non esclusi. Un’eccezione per un tipo di file si applica quindi anche agli archivi con contenuti misti; il loro contenuto restante non è protetto da questa analisi della protezione zero-day. Questa impostazione va distinta dall’eccezione web descritta più avanti.

Le eccezioni sono tecnicamente pratiche, ma rilevanti per la sicurezza. Ogni eccezione dovrebbe avere una chiara giustificazione:

• Quale applicazione o processo crea i file?
• Perché l’analisi disturba o non è utile?
• Esiste un’eccezione più ristretta di un intero tipo di file?
• L’eccezione viene controllata regolarmente?
• È noto quale effetto protettivo viene perso di conseguenza?

Dovrebbero essere evitate ampie eccezioni per archivi, script, file di Office o file eseguibili. Quando Zero-Day Protection interrompe un processo legittimo, il primo passo è spesso controllare la policy, il percorso di origine, la base utenti interessata o la distribuzione alternativa.

Per un’eccezione web, aprire Web > Exceptions > Add an exception. I criteri di tipo diverso sono combinati con AND e più valori dello stesso tipo con OR. Per HTTPS, i pattern del percorso URL corrispondono solo se il traffico è decrittografato; senza decrittografia, utilizzare quindi l’hostname. Escludere Malware and content scanning esclude automaticamente anche Zero-Day Protection. Se si esclude solo Zero-day protection, non vengono generati i report di analisi per i file interessati, anche quando la scansione malware rileva una minaccia. È una modifica di stato persistente: limitare l’eccezione a un hostname o pattern URL, selezionare Save, attivare l’interruttore e documentare responsabile e scadenza. Per il rollback, disattivare o rimuovere l’eccezione e convalidare di nuovo lo stesso percorso dati.

API XML: modificare le impostazioni di protezione in sicurezza

Nell’automazione, l’oggetto XML ZeroDayProtectionSettings corrisponde alle impostazioni in Monitor & analyze > Zero-day protection > Protection settings: DataCenterLocation indica il data center per l’analisi, ExcludeFileTypes i tipi di file esclusi, non le Web Exceptions. La documentazione di riferimento XML per SFOS 22/23 descrive entrambi i campi come valori scalari STRING opzionali e lascia vuote le colonne dei valori predefiniti. Questo non implica né un valore predefinito XML documentato né che l’omissione di un campo o un valore vuoto lasci invariate o elimini le impostazioni esistenti. Prima di una modifica, leggere lo stato salvato e conservare i valori precedenti per un ripristino mirato; verificare i valori della richiesta sulla base della documentazione di riferimento della versione installata.

I codici di stato di questa operazione di aggiornamento sono riportati nel risultato XML e non vanno equiparati allo stato del trasporto HTTP. La documentazione di riferimento associa loro i seguenti identificatori di messaggio, ossia le chiavi dei messaggi, non il testo visualizzato:

• 200: Language.SandboxSettingsUpdateSuccess (aggiornamento riuscito).
• 500: Language.SandboxSettingsUpdateFailed (aggiornamento non riuscito).
• 502: Language.SandboxSettingsFileTypesExceeded (limite dei tipi di file superato), da non interpretare genericamente in questo caso come «Nome già esistente». Questa documentazione di riferimento non indica un massimo numerico.

In caso di 500, 502 o risposta non chiara, non avviare ripetizioni automatiche della richiesta di scrittura. Leggere prima nuovamente lo stato effettivamente salvato e confrontarlo con i valori conservati e con quelli desiderati. In caso di 502, verificare le esclusioni dei tipi di file richieste e la selezione consentita per la versione installata, anziché rinominare gli oggetti o ipotizzare un limite. Anche dopo 200, controllare il data center e le esclusioni in Protection settings e verificare la connettività e un download autorizzato o un allegato di test di un tipo di file idoneo e non escluso, utilizzando i log e Downloads and attachments. Se è necessario un ripristino, riportare solo le impostazioni modificate ai valori precedentemente conservati e ripetere gli stessi controlli, senza disattivare indiscriminatamente la protezione. Per un cambio di data center, anche durante il rollback valgono la finestra di manutenzione e il rischio di perdita delle analisi in corso descritti sopra; le analisi già perse non vengono ripristinate.

Annullare una modifica in modo sicuro

Un rollback deve ripristinare il percorso dati precedente, non disattivare frettolosamente tutti i livelli di protezione:

1. Documentare i valori precedenti di regola, policy, motore, limite di dimensione, data center ed eccezione.
2. Per problemi web, disattivare prima la nuova eccezione circoscritta o ripristinare l’ordine delle regole. Annullare Scan HTTP and decrypted HTTPS e TLS Inspection solo se proprio quella modifica ha causato il problema e si accetta la protezione ridotta.
3. Per problemi e-mail, ripristinare i valori precedenti della SMTP Route and Scan Policy modificata; non rilasciare alla cieca i messaggi in attesa. Release now rende subito disponibile un file non ancora verificato, anche se l’analisi continua.
4. Dopo il rollback, verificare la corrispondenza della regola, il log web o mail e un download o allegato di test autorizzato. Se *.sandbox.sophos.com:443 resta irraggiungibile o i nuovi oggetti rimangono Pending, il rollback non è riuscito.

Controllare regolarmente rilasci ed eccezioni

Zero-Day Protection non è una funzione da attivare una sola volta. Il valore operativo emerge quando report, rilasci ed eccezioni vengono controllati regolarmente. Altrimenti le decisioni rischiose restano attive anche dopo che la ragione aziendale originaria è venuta meno.

Questi punti sono particolarmente utili per la revisione:

• File rilasciato: controllare il motivo del rilascio, l’utente o il dipartimento interessato, l’hash, l’origine del file, la data di scadenza e la valutazione successiva.
• Eccezione per tipo di file: controllare l’applicazione interessata, il responsabile, la data di revisione, un’alternativa più circoscritta e il rischio per archivi, script o file di Office.
• Stato di errore ricorrente: controllare la connettività Sophos, la dimensione del file, il tipo di file, la policy, il data center e l’eventuale caso di supporto.
• Molti rilevamenti dalla stessa origine: controllare la policy web o di posta, l’URL, il mittente, il gruppo utenti, il Threat Feed, il gruppo URL o la lista di blocco.

Un’eccezione non equivale alla normale manutenzione delle regole del firewall. Deve avere un responsabile, una motivazione e una data di revisione. In caso di rilasci ricorrenti, confrontare anche i log di endpoint, posta, web e firewall, per evitare che un’eccezione occasionale diventi un bypass permanente inosservato.

Risoluzione dei problemi

Nessuna voce visibile

Se sotto Downloads and attachments non compaiono voci, occorre prima verificare se il traffico passa effettivamente attraverso la regola firewall e il profilo di sicurezza appropriati. Per i download web sono particolarmente rilevanti Scan HTTP and decrypted HTTPS e Use zero-day protection nella regola firewall. Per il traffico HTTPS, l’assenza di TLS Inspection può spiegare perché il firewall vede meno contenuti. Vanno quindi controllate le impostazioni web, posta, malware e Zero-Day Protection.

Occorre inoltre verificare se una Web Exception esclude il traffico rilevante da decrittografia, scansione malware e contenuti o Zero-Day Protection. Se si applica un’eccezione, la configurazione può apparire corretta senza produrre alcuna voce.

Durante i test non vanno create aspettative errate con file già noti localmente o globalmente. Se la reputazione o altri moduli di protezione classificano già chiaramente un file, una nuova analisi sandbox completa non deve necessariamente essere visibile. Per il test di accettazione, intervallo temporale, client di test, Rule ID, URL, nome file e hash sono più importanti di un singolo download senza correlazione dei log.

I download richiedono troppo tempo

Un’analisi sandbox può richiedere tempo. Se gli utenti aspettano regolarmente per lunghi periodi di tempo, è necessario verificare se vengono analizzati molti file di grandi dimensioni o che cambiano frequentemente, se i processi interessati sono legittimi e se è giustificabile una ristretta eccezione tecnica. Una disattivazione generale è solitamente il primo passo sbagliato.

Molti falsi positivi

In caso di falsi positivi ricorrenti, controllare i dettagli del report, l’origine del file, gli hash, la reputazione, gli utenti e l’applicazione interessati. Definire eccezioni solo dopo aver compreso lo schema osservato. Per le liste di blocco dinamiche e la gestione degli IoC, consultare Configurare e gestire Threat Feeds in sicurezza in Sophos Firewall.

È stato richiesto il rilascio

Un rilascio dovrebbe essere trattato come una decisione di sicurezza. Se il dipartimento segnala solo “urgente”, non è sufficiente. Sono necessari fonte, scopo, file, utente, valutazione del rischio e una decisione documentata.

L’analisi rimane su Pending o termina con Error

Verificare prima System services > Log settings: il Log Type Zero-day protection deve essere selezionato per Local reporting, il server syslog desiderato o Central reporting. Controllare poi DNS, routing e TCP 443 in uscita verso *.sandbox.sophos.com; un’eccezione TLS generale per il traffico degli utenti non risolve la connettività del servizio. Per la posta, Email > Mail spool mostra separatamente i messaggi in attesa. Se l’errore si ripete con diversi tipi di file ammessi, raccogliere timestamp, hash, componente, Policy/Rule ID e stato del report per Sophos Support.

Controllare le Release Notes e i Known Issues di SFOS 22

Consultare la guida all’aggiornamento del firmware di Sophos Firewall per verificare le Release Notes e i Known Issues. L’istantanea dell'8 settembre 2026 indica 22.0 MR2 Build 546 come versione corrente a quella data. SFOS 22 introduce un nuovo motore antimalware Sophos con ricerche di reputazione globale e rilevamenti AI/ML. Questo cambio di motore non sostituisce la sottoscrizione Zero-Day dedicata né i selettori delle policy.

Prima di un aggiornamento o di un rollout esteso, seguire la guida e cercare nuovamente nelle Release Notes e nella Known Issues List Sophos Firewall, Zero-day, sandbox, email e la versione target, anziché basarsi su un risultato precedente. MR2 corregge anche un problema del mail spool; nelle installazioni con analisi della posta, esaminare quindi le correzioni Email oltre alle pagine Zero-Day.

Lista di controllo operativa

• Stato della licenza e del modulo Zero-Day Protection verificato.
• Policy web e di posta verificate per la scansione malware e i controlli di sicurezza.
• Nelle regole firewall web sono stati verificati Scan HTTP and decrypted HTTPS e Use zero-day protection.
• TLS Inspection o decrittografia tramite proxy web pianificata dove occorre ispezionare i download web cifrati.
• Le Web Exceptions sono state controllate per evitare bypass involontari di Zero-Day Protection.
• Data center scelto deliberatamente per l’analisi o documentato come standard.
• Nessuna eccezione estesa per tipi di file senza responsabile e data di revisione.
• La visualizzazione dei download e degli allegati viene controllata regolarmente.
• Processo di rilascio definito solo per file ancora in fase di analisi o restituiti con uno stato di errore.
• Report correlati ai registri di endpoint, posta, Web e firewall.
• Syslog, Central Reporting o SIEM presi in considerazione per una tracciabilità più lunga.

Domande frequenti