Comprendere e utilizzare Sophos Firewall Zero-Day Protection

Sophos Firewall Zero-Day Protection analizza download sospetti e allegati e-mail tramite SophosLabs Intelix. Il firewall invia file appropriati e rischiosi al servizio cloud, dove apprendimento automatico, reputazione, analisi sandbox e ricerca sulle minacce lavorano insieme. L’obiettivo non è solo bloccare il malware noto, ma anche classificare meglio i file nuovi o insoliti.

È importante per gli amministratori: Zero-Day Protection non sostituisce le regole pulite, la protezione web, la protezione della posta, TLS Inspection, il logging o la protezione degli endpoint. La funzione è un modulo aggiuntivo di protezione e analisi. È particolarmente utile quando i file entrano in rete tramite download web o allegati e-mail e le firme classiche non forniscono ancora una decisione chiara.

Quale articolo di protezione è adatto?

Zero-Day Protection risponde innanzitutto alla domanda su come vengono analizzati i file sospetti. A seconda del problema, il modo migliore per iniziare è con l’accesso al web, il flusso di posta, gli attacchi di rete, il traffico crittografato o la valutazione:

• Controlla download sospetti o allegati e-mail con Intelix: questo articolo.
• Configurare e testare la scansione malware web classica con Single o Dual Engine: Configurare e testare la scansione malware di Sophos Firewall.
• Pianifica categorie Web, gruppi URL, SafeSearch o regole di download: Sophos Firewall Configura la protezione web con policy web.
• Rendi visibile il traffico HTTPS e pianifica le eccezioni in modo pulito: Inserire correttamente Sophos Firewall TLS Inspection.
• Distribuisci il certificato CA per la scansione HTTPS ai client: Sophos Firewall Installa il certificato CA per la scansione HTTPS.
• Controlla il traffico e-mail in modalità MTA e attiva la protezione della posta: Sophos Firewall Configura la protezione della posta in modalità MTA.
• Blocca exploit e modelli di attacco nel traffico di rete: Sophos Firewall Configura IPS e testalo in sicurezza.
• Gestione di IP, domini o URL dannosi tramite elenchi IoC: Sophos Firewall Configura feed di minacce e gestiscili in modo sicuro.
• Classificare NDR, Active Threat Response, XDR, MDR o valutazione SIEM: Sophos Firewall NDR e Active Threat Response funzionano.
• Traccia cadute o blocchi imprevisti: Sophos Firewall Analizza i pacchetti scartati.

Questa separazione evita false aspettative: Zero-Day Protection valuta i file, ma non sostituisce una politica web, nessun IPS, nessuna pianificazione dell’inoltro della posta e nessuna valutazione centrale del registro. La migliore protezione si ottiene solo quando i livelli di file, web, posta, rete e registrazione si integrano perfettamente.

Dove Zero-Day Protection aiuta nella pratica

Zero-Day Protection è particolarmente rilevante in questi scenari:

• Gli utenti scaricano file eseguibili, archivi o documenti da Internet.
• Gli allegati e-mail dovrebbero essere controllati più attentamente prima della consegna o del rilascio.
• Un file non è ancora chiaramente noto, ma sembra sospetto.
• Un download non deve essere solo scansionato localmente, ma anche monitorato in una sandbox.
• Un incidente di sicurezza deve essere valutato meglio utilizzando un rapporto dettagliato.

La funzionalità si adatta bene a un modello di sicurezza a più livelli: Regole del firewall limita il traffico consentito, TLS Inspection rende il traffico web crittografato più controllabile, Web Protection e Mail Protection valutano i contenuti e Zero-Day Protection integra questi controlli con analisi cloud e report sandbox.

Requisiti e limiti

Zero-Day Protection funziona utilmente solo se sono attivi i relativi moduli e policy di protezione. Una regola Consenti pura senza profili di sicurezza appropriati non fornisce la stessa protezione. A seconda del campo di applicazione è quindi necessario pianificare consapevolmente la protezione web, la protezione della posta, la scansione del malware, SSL/TLS Inspection e il logging.

Limiti importanti nel funzionamento:

• Il firewall non invia tutti i tipi di file a Intelix, ma principalmente i tipi di file rischiosi.
• Molti tipi di file non pericolosi, ad esempio i tipici formati di immagine, non vengono inviati per la detonazione.
• Le eccezioni possono escludere file dall’analisi e quindi ridurre l’effetto protettivo.
• L’analisi del cloud richiede la connettività ai servizi Sophos e potrebbe ritardare i download.
• Il rilascio prima del completamento dell’analisi potrebbe esporre contenuti dannosi.
• Zero-Day Protection non sostituisce il rilevamento e la risposta dell’endpoint, nessun MDR e nessuna risposta pulita agli incidenti.

Se il firewall vede poco perché HTTPS non viene decrittografato o le regole vengono eseguite senza profili di sicurezza, anche Zero-Day Protection rimane limitato. L’articolo Sophos Firewall Log: quale funzione scrive in quale log? aiuta nell’assegnazione dei log e dei moduli.

Attivare nelle regole firewall

Per i download web non basta che Zero-Day Protection sia generalmente licenziata. La regola firewall corretta deve intercettare davvero il traffico web e attivare le opzioni di web scanning necessarie.

Il percorso tipico è:

Rules and policies > Firewall rules

Nella regola internet client interessata si dovrebbe verificare:

1. Source zone, Source network, Destination zone e Services corrispondono al traffico di test.
2. Log firewall traffic è attivo.
3. Nell’area Web filtering è selezionata una Web Policy adatta.
4. Scan HTTP and decrypted HTTPS è attivo.
5. Use zero-day protection è attivo.
6. Per i download HTTPS, TLS Inspection è pianificata ed efficace per il traffico di test.
7. QUIC/HTTP/3 non aggira il percorso di ispezione HTTPS previsto.
8. Le Web Exceptions non escludono involontariamente la scansione malware, le verifiche delle policy o l’analisi Zero-Day Protection.

Questo non garantisce ancora che ogni download appaia nella vista Zero-Day Protection. File noti, tipi di file non critici o download fuori dal percorso controllato possono essere valutati prima da altri moduli. Per l’accettazione non si dovrebbe quindi controllare solo se la casella è attiva, ma se un download concreto è tracciabile in Log Viewer, nel Web Log, nel log SSL/TLS Inspection e in Downloads and attachments.

Importante: Scan HTTP and decrypted HTTPS scansiona HTTP e traffico HTTPS già decrittografato. L’opzione non attiva automaticamente la decrittografia HTTPS. Nei setup DPI servono regole adatte sotto Rules and policies > SSL/TLS inspection rules; nel percorso Web Proxy è rilevante Decrypt HTTPS during web proxy filtering. Senza questa visibilità, Zero-Day Protection può vedere meno contenuto nei download cifrati, anche se la regola firewall sembra formalmente corretta.

Dove ha effetto Zero-Day Protection

Zero-Day Protection non deve essere considerato isolatamente. La funzione diventa rilevante solo se un file attraversa effettivamente un percorso di protezione adeguato.

Percorsi tipici:

• Download dal Web: devono applicarsi la regola firewall corretta, Web Protection, Scan HTTP and decrypted HTTPS, Use zero-day protection e, per HTTPS, spesso TLS Inspection. È possibile controllare il Web log, il log di SSL/TLS Inspection e la vista Downloads and attachments.
• Allegato e-mail: il flusso di posta deve passare attraverso Mail Protection, una policy per gli allegati adeguata e la scansione malware. È possibile controllare i log della posta, la quarantena e la vista Downloads and attachments.
• Stato di rilascio o errore: il report non è ancora completo oppure l’analisi non è riuscita. In questo caso contano il processo di rilascio, il contesto utente, l’hash e gli altri log.
• Nessuna visibilità: il traffico non attraversa il percorso di protezione oppure il tipo di file non è rilevante. Occorre quindi controllare prima regola firewall, policy, TLS, flusso di posta e tipo di file.

Per i download web è importante innanzitutto verificare che la Web Policy corretta sia attiva nella regola firewall. Per gli allegati e-mail, il flusso di posta deve realmente passare attraverso Mail Protection in modalità MTA o un percorso controllato equivalente. Se il traffico è consentito solo da una normale regola Allow, non ci si può aspettare un’analisi completa dei file da Zero-Day Protection.

Le Web Exceptions richiedono particolare attenzione. Nei modi DPI e proxy, un’eccezione può fare in modo che il traffico corrispondente escluda decrittografia, scansione malware e contenuti, Zero-Day Protection o verifiche delle policy. Le eccezioni devono quindi essere più specifiche della regola di protezione e verificate con Log Viewer, il log di SSL/TLS Inspection e un download reale.

Flusso di analisi

1. Rilevamento sul firewall

Un file attraversa il firewall tramite download o come allegato e-mail. Se la policy, il tipo di file e il contesto corrispondono, il file viene contrassegnato per Zero-Day Protection. I file noti e chiaramente classificati possono essere valutati in anticipo da altri moduli di protezione.

2. Passaggio a SophosLabs Intelix

I file idonei vengono inviati a un servizio Intelix SophosLabs tramite una connessione crittografata. Qui il file non viene solo confrontato con modelli noti, ma viene anche valutato utilizzando diversi livelli di analisi.

3. Apprendimento automatico e reputazione

SophosLabs Intelix valuta le caratteristiche, la struttura, la reputazione globale e la somiglianza con file noti come buoni o dannosi. Ciò è particolarmente utile per i nuovi file che non sono ancora stati ampiamente diffusi.

4. Analisi sandbox

L’analisi sandbox esamina il file in un ambiente isolato. La valutazione combina analisi dinamica e statica, deep learning, rilevamento di exploit, CryptoGuard e monitoraggio delle attività di file, archiviazione, registro e rete. Per gli amministratori, il termine di marketing è meno importante della domanda: cosa stava effettivamente cercando di fare il file?

5. Decisione e relazione

Alla fine c’è una valutazione, ad esempio pulito, probabilmente pulito, sospetto, dannoso o PUA. A seconda del risultato, il file viene rilasciato, bloccato oppure rimane visibile con uno stato di errore o di analisi. Il report aiuta a giustificare chiaramente un rilascio, un blocco o ulteriori fasi di risposta all’incidente.

Leggi correttamente i report

La panoramica si trova in Sophos Firewall sotto Monitor & analyze > Zero-day protection > Downloads and attachments. Qui sono visibili i dati sulle attività relative a download sospetti e allegati e-mail, lo stato dell’analisi, i dettagli del report e le opzioni di rilascio.

Nell’elenco non va cercato solo il nome del file. Sono utili i filtri per periodo, utente, origine, stato e componente. Gli eventi Zero-Day Protection appaiono nei report e in Syslog come un Log Type separato. A seconda del percorso, il componente è Web o Mail, mentre i subtype possono essere Allowed, Denied o Pending.

Detection Status offre una vista sintetica dell’avanzamento dell’analisi. Per la valutazione completa occorre aprire View report o Show report invece di leggere soltanto la voce nell’elenco. Soprattutto con Pending, uno stato di errore o un rilascio successivo, il report dettagliato è la base della decisione.

Un report può contenere, tra le altre, queste aree:

• Download details: origine, momento e utente interessato.
• Analysis summary: valutazione complessiva del file.
• Machine learning analysis: caratteristiche, struttura e valutazione ML.
• Reputation analysis: valutazione basata sulla distribuzione globale.
• Detonation results: comportamento del file durante l’esecuzione nella sandbox.
• Full file analysis: firme, certificati, risorse, importazioni ed esportazioni.
• VirusTotal report: informazioni aggiuntive sul rilevamento esterno.

Quando si tratta di un file sospetto, non dovresti limitarti a guardare lo stato finale. Sono rilevanti anche la fonte, l’utente, il nome del file, l’URL di destinazione, il comportamento del processo, l’attività di rete e se altri sistemi hanno visto lo stesso download. Se ciò si traduce in un incidente, il rapporto deve essere unito ai registri di endpoint, posta, web e firewall.

Procedura per segnalazioni sospette

Un problema di protezione zero-day dovrebbe essere trattato come un piccolo caso di sicurezza, non come un puro blocco del filtro web.

Processo pratico:

1. Aprire il report e registrare lo stato, il nome del file, la fonte, l’utente, l’ora e la valutazione.
2. Controlla se si trattava di un download Web, di un allegato e-mail o di un altro percorso.
3. Confronta i registri web, di posta e del firewall per lo stesso periodo di tempo.
4. Se presente, controllare gli eventi endpoint o EDR per il client interessato.
5. Documentare hash del file, mittente, URL o dominio.
6. Decidere se si tratta di un falso positivo, di un attacco bloccato, di un sospetto irrisolto o di un incidente.
7. Valutare il rilascio solo se esiste una ragione aziendale comprensibile.
8. Documentare la decisione e, se necessario, ricavare un gruppo URL, una policy di posta, un feed delle minacce o una misura dell’endpoint.

Quando più utenti visualizzano lo stesso file o dominio, una singola decisione spesso non è sufficiente. Dovresti quindi verificare se è necessario un adeguamento della politica web, una regola della politica di posta, una voce nel feed delle minacce o una risposta all’incidente.

Rilasciare file

Sophos Firewall consente il rilascio solo di file o messaggi e-mail ancora in fase di analisi o restituiti con uno stato di errore. Tale rilascio può essere necessario se un processo aziendale è bloccato. Tuttavia, non è adatto come normale workaround.

Prima di rilasciare, dovresti almeno controllare:

• La fonte è affidabile e prevista?
• L’utente o il dipartimento sono stati consultati sul contesto?
• Esiste un hash, un nome file o un mittente che può essere ulteriormente controllato?
• Esistono registri endpoint o di posta per lo stesso processo?
• È possibile esaminare il file in un ambiente isolato o tramite uno strumento di analisi separato?
• È documentato chi ha deciso di rilasciarlo e per quale motivo?

⚠️ Il rilascio prima del completamento dell’analisi potrebbe consentire il download o la distribuzione di contenuti dannosi. Negli ambienti di produzione, questa decisione deve essere documentata e non delegata a una routine di primo livello.

Dopo il rilascio, l’analisi continua. Questo è importante per le attività operative: un file rilasciato può essere successivamente classificato come sospetto o dannoso. I rilasci devono quindi essere ricontrollati e, in caso di una valutazione negativa successiva, occorre correlare nuovamente i log di endpoint, posta, web e firewall.

Per i singoli file, il post del blog Avanet SophosLabs Intelix - Lo strumento di rilevamento delle minacce informatiche può essere d’aiuto. Ciò tuttavia non sostituisce la valutazione nello specifico contesto della rete e dell’utente.

Data center e protezione dei dati

È possibile specificare il data center per l’analisi in Monitor & analyze > Zero-day protection > Protection settings. Per impostazione predefinita, Sophos Firewall sceglie il data center più vicino. In alternativa potete scegliere consapevolmente un data center.

Questa impostazione è particolarmente importante se la protezione dei dati, la residenza dei dati o le normative interne svolgono un ruolo importante. Un cambiamento nel data center può influire sull’analisi in corso. Pertanto il setting non dovrebbe essere modificato durante un caso di analisi acuta, ma dovrebbe essere pianificato e documentato.

Usa le eccezioni con attenzione

Nelle impostazioni di protezione è possibile escludere tipi di file dall’analisi della protezione zero-day. Il rilevamento del tipo di file si basa sull’estensione del file e sull’intestazione MIME. È possibile escludere anche gli archivi contenenti tipi di file esclusi.

Le eccezioni sono tecnicamente pratiche, ma rilevanti per la sicurezza. Ogni eccezione dovrebbe avere una chiara giustificazione:

• Quale applicazione o processo crea i file?
• Perché l’analisi disturba o non è utile?
• Esiste un’eccezione più ristretta di un intero tipo di file?
• L’eccezione viene controllata regolarmente?
• È noto quale effetto protettivo viene perso di conseguenza?

Dovrebbero essere evitate ampie eccezioni per archivi, script, file di Office o file eseguibili. Quando Zero-Day Protection interrompe un processo legittimo, il primo passo è spesso controllare la policy, il percorso di origine, la base utenti interessata o la distribuzione alternativa.

Controllare regolarmente rilasci ed eccezioni

Zero-Day Protection non è una funzione da attivare una sola volta. Il valore operativo emerge quando report, rilasci ed eccezioni vengono controllati regolarmente. Altrimenti le decisioni rischiose restano attive anche dopo che la ragione aziendale originaria è venuta meno.

Questi punti sono particolarmente utili per la revisione:

• File rilasciato: controlla il motivo del rilascio, l’utente o il dipartimento interessato, l’hash, l’origine del file, la data di scadenza e la valutazione successiva.
• Eccezione del tipo di file: controlla l’applicazione interessata, il proprietario, la data di revisione, l’alternativa più vicina e il rischio per archivi, script o file di Office.
• Stato di errore ricorrente: Controlla la connettività Sophos, la dimensione del file, il tipo di file, la policy, il data center e l’eventuale caso di supporto.
• Molti risultati da un’unica fonte: controlla la policy web o di posta, l’URL, il mittente, il gruppo utenti, il feed delle minacce, il gruppo URL o la lista bloccata.

Un’eccezione non è una normale pulizia delle regole del firewall. Tali voci dovrebbero avere un proprietario, un motivo e una data di revisione. Per i rilasci ricorrenti, dovresti anche confrontare i log di endpoint, posta, web e firewall in modo che una singola eccezione non si trasformi in un bypass permanente inosservato.

Risoluzione dei problemi

Nessuna voce visibile

Se sotto Downloads and attachments non compaiono voci, occorre prima verificare se il traffico passa effettivamente attraverso la regola firewall e il profilo di sicurezza appropriati. Per i download web sono particolarmente rilevanti Scan HTTP and decrypted HTTPS e Use zero-day protection nella regola firewall. Per il traffico HTTPS, l’assenza di TLS Inspection può spiegare perché il firewall vede meno contenuti. Vanno quindi controllate le impostazioni web, posta, malware e Zero-Day Protection.

Occorre inoltre verificare se una Web Exception esclude il traffico rilevante da decrittografia, scansione malware e contenuti o Zero-Day Protection. Se si applica un’eccezione, la configurazione può apparire corretta senza produrre alcuna voce.

Durante i test non vanno create aspettative errate con file già noti localmente o globalmente. Se la reputazione o altri moduli di protezione classificano già chiaramente un file, una nuova analisi sandbox completa non deve necessariamente essere visibile. Per il test di accettazione, intervallo temporale, client di test, Rule ID, URL, nome file e hash sono più importanti di un singolo download senza correlazione dei log.

I download richiedono troppo tempo

Un’analisi sandbox può richiedere tempo. Se gli utenti aspettano regolarmente per lunghi periodi di tempo, è necessario verificare se vengono analizzati molti file di grandi dimensioni o che cambiano frequentemente, se i processi interessati sono legittimi e se è giustificabile una ristretta eccezione tecnica. Una disattivazione generale è solitamente il primo passo sbagliato.

Molti falsi positivi

Per i falsi positivi ricorrenti, controlla i dettagli del report, l’origine del file, gli hash, la reputazione, gli utenti interessati e l’applicazione. Solo quando il modello è compreso dovresti impostare delle eccezioni. Per gli elenchi di blocchi dinamici e le operazioni IOC, Sophos Firewall Configura feed di minacce e gestiscili in modo sicuro è un argomento correlato.

È stato richiesto il rilascio

Un rilascio dovrebbe essere trattato come una decisione di sicurezza. Se il dipartimento segnala solo “urgente”, non è sufficiente. Sono necessari fonte, scopo, file, utente, valutazione del rischio e una decisione documentata.

Lista di controllo operativa

• Zero-Day Protection Stato licenza e modulo controllato.
• Criteri web e di posta controllati con malware e scansione di sicurezza.
• Nelle regole firewall web sono stati verificati Scan HTTP and decrypted HTTPS e Use zero-day protection.
• TLS Inspection ha pianificato dove i download web dovrebbero essere controllati in modo sensato.
• Le Web Exceptions sono state controllate per evitare bypass involontari di Zero-Day Protection.
• Data center scelto deliberatamente per l’analisi o documentato come standard.
• Nessuna eccezione di tipi di file generici senza proprietario e data di revisione.
• La visualizzazione dei download e degli allegati viene controllata regolarmente.
• Processo di rilascio definito per file analizzati o errati.
• Report correlati ai registri di endpoint, posta, Web e firewall.
• Syslog, Central Reporting o SIEM presi in considerazione per una tracciabilità più lunga.

Domande frequenti