Sophos Firewall Zero-Day Protection begrijpen en bedienen

Sophos Firewall Zero-Day Protection analyseert verdachte downloads en e-mailbijlagen via SophosLabs Intelix. De firewall stuurt passende, risicovolle bestanden naar de clouddienst, waar machine learning, reputatie, sandboxanalyse en dreigingsonderzoek samenwerken. Het doel is niet alleen om bekende malware te blokkeren, maar ook om nieuwe of ongebruikelijke bestanden beter te classificeren.

Voor beheerders is het onderscheid belangrijk: Zero-Day Protection vervangt geen goed gedefinieerde regels, Web Protection, Mail Protection, TLS Inspection, logboekregistratie of endpointbeveiliging. Het voegt een beveiligings- en analyselaag toe, vooral wanneer bestanden via webdownloads of e-mailbijlagen het netwerk binnenkomen en traditionele malwaresignaturen nog geen duidelijk oordeel opleveren.

Welk beschermingsartikel past?

Zero-Day Protection geeft vooral antwoord op de vraag hoe verdachte bestanden worden geanalyseerd. Afhankelijk van het probleem is de betere manier om te beginnen met webtoegang, e-mailstroom, netwerkaanvallen, versleuteld verkeer of analyse:

• Controleer verdachte downloads of e-mailbijlagen met Intelix: Dit artikel.
• Klassieke Malware-Scanning voor webverkeer met Single of Dual Engine configureren en testen: Sophos Firewall Malware-Scanning configureren en testen.
• Webcategorieën, URL-groepen, SafeSearch- of downloadregels plannen: Sophos Firewall Webbeveiliging instellen met webbeleid.
• Maak HTTPS-verkeer zichtbaar en plan uitzonderingen netjes: Sophos Firewall TLS Inspection correct invoeren.
• CA-certificaat distribueren voor HTTPS-scannen naar clients: Sophos Firewall CA-certificaat installeren voor HTTPS-scannen.
• E-mailverkeer controleren in MTA-modus en mailbeveiliging instellen: Sophos Firewall Mailbeveiliging instellen in MTA-modus.
• Blokkeer exploits en aanvalspatronen in netwerkverkeer: Sophos Firewall IPS instellen en veilig testen.
• Behandel kwaadaardige IP’s, domeinen of URL’s via IoC-lijsten: Threat Feeds op Sophos Firewall instellen en veilig beheren.
• NDR, Active Threat Response, XDR, MDR en SIEM-analyse in context plaatsen: NDR en Active Threat Response op Sophos Firewall beheren.
• Onverwachte drops of blokkades begrijpen: Door Sophos Firewall verworpen pakketten analyseren.

Deze scheiding voorkomt valse verwachtingen: Zero-Day Protection evalueert bestanden, maar vervangt geen webbeleid, geen IPS, geen mail relay-planning en geen centrale logevaluatie. De beste bescherming ontstaat alleen als de bestands-, web-, mail-, netwerk- en logginglagen op elkaar aansluiten.

Waar Zero-Day Protection in de praktijk helpt

Zero-Day Protection is vooral relevant in deze scenario’s:

• Gebruikers downloaden uitvoerbare bestanden, archieven of documenten van internet.
• E-mailbijlagen moeten nauwkeuriger worden gecontroleerd voordat ze worden afgeleverd of goedgekeurd.
• Een bestand is nog niet goed bekend, maar lijkt verdacht.
• Een download moet niet alleen lokaal worden gescand, maar ook in een sandbox worden gemonitord.
• Een beveiligingsincident moet beter beoordeeld worden aan de hand van een gedetailleerd rapport.

De functie past goed bij een gelaagd beveiligingsmodel: Firewallregels beperken het toegestane verkeer, TLS Inspection maakt versleuteld webverkeer beter controleerbaar, Web Protection en Mail Protection beoordelen de inhoud, en Zero-Day Protection vult deze controles aan met cloudanalyses en sandboxrapporten.

Vereisten en grenzen in SFOS 22

Zero-Day Protection vereist een eigen abonnement en is opgenomen in Xstream Protection; alleen Base License of Web Protection is niet voldoende. Onder Administration > Licensing moet de status Subscribed of Evaluating zijn (evaluatie van 30 dagen). Het omvat Machine Learning, Sandboxing File Analysis en Threat Intelligence. De service wordt niet ondersteund in een air-gapimplementatie. Een firewall met internetverbinding synchroniseert licenties automatisch elke 24 uur. Als een pas gewijzigd Zero-Day-abonnement nog verouderd lijkt, wacht dan deze cyclus af of activeer de licentiesynchronisatie voordat u het policypad onderzoekt.

Ook de beschermingsmodules en policies van het betreffende gegevenspad moeten actief zijn. Een gewone Allow-regel zonder passende beveiligingsprofielen biedt niet dezelfde bescherming. Voor webdownloads vereist Single engine Sophos als primaire antivirus-engine; het alternatief is Dual engine. Dezelfde eis geldt in de SMTP Route and Scan Policy wanneer Single antivirus is geselecteerd. Deze instellingen staan onder Web > General settings en in de passende SMTP-policy onder Email > Policies and exceptions.

Belangrijke limieten tijdens gebruik:

• De firewall stuurt niet elk bestandstype naar Intelix, maar vooral risicovolle bestandstypen.
• Veel ongevaarlijke bestandstypen, bijvoorbeeld gangbare afbeeldingsformaten, worden niet voor uitvoering in de sandbox verzonden.
• Uitzonderingen kunnen bestanden uitsluiten van de analyse en zo de beschermende werking verminderen.
• Cloudanalyse vereist connectiviteit met Sophos-services en kan downloads vertragen.
• De firewall heeft uitgaand TCP 443 naar *.sandbox.sophos.com nodig; TLS interception of een upstream proxy mag deze verbinding niet verbreken.
• Vrijgave voordat de analyse is voltooid, kan schadelijke inhoud beschikbaar maken.
• Zero-Day Protection vervangt geen Endpoint Detection and Response, MDR of een gestructureerd incidentresponsproces.

Als de firewall weinig ziet omdat HTTPS niet wordt ontsleuteld of regels worden uitgevoerd zonder beveiligingsprofielen, blijft Zero-Day Protection ook beperkt. Het artikel Sophos Firewall Logboeken: welke functie schrijft naar welk log? helpt bij het toewijzen van logs en modules.

Activeren in firewallregels

Voor webdownloads is het niet voldoende dat Zero-Day Protection over het algemeen een licentie heeft. De juiste firewallregel moet zich daadwerkelijk op het webverkeer richten en de noodzakelijke webscanopties activeren.

Het typische pad is:

Rules and policies > Firewall rules

In de internetregel van de betreffende client moet u het volgende controleren:

1. Source zone, Source network, Destination zone en Services komen overeen met het testverkeer.
2. Log firewall traffic is actief.
3. Onder Web filtering is een geschikte Web Policy geselecteerd.
4. Scan HTTP and decrypted HTTPS is actief.
5. Use zero-day protection is actief.
6. Voor HTTPS-downloads is TLS Inspection gepland en effectief voor testverkeer.
7. QUIC/HTTP/3 mag het bedoelde HTTPS-inspectiepad niet omzeilen.
8. Webuitzonderingen slaan niet onbedoeld malwarescans, beleidscontroles of zero-day-beschermingsanalyses over.

Dit garandeert niet dat elke download in de Zero-Day Protection-weergave verschijnt. Bekende bestanden, niet-kritieke bestandstypen of downloads buiten het gecontroleerde pad kunnen vooraf anders worden beoordeeld. Voor acceptatie moet daarom niet alleen worden gecontroleerd of het selectievakje actief is, maar ook of een specifieke download terug te vinden is in Log Viewer, het Web log, het SSL/TLS Inspection-log en Downloads and attachments.

Belangrijk: Scan HTTP and decrypted HTTPS scant HTTP en reeds ontsleuteld HTTPS-verkeer. Deze optie schakelt HTTPS-decryptie niet automatisch in. In DPI-configuraties zijn passende Rules and policies > SSL/TLS inspection rules nodig; in het Web Proxy-pad is Decrypt HTTPS during web proxy filtering relevant. Zonder deze zichtbaarheid kan Zero-Day Protection minder van versleutelde downloads zien, ook als de firewallregel formeel correct lijkt.

Waar Zero-Day Protection van toepassing is

Zero-Day Protection moet niet op zichzelf worden bekeken. De functie wordt pas relevant als een bestand daadwerkelijk een geschikt beveiligingspad doorloopt.

Typische paden:

• Webdownload: vooraf moeten de juiste firewallregel, Web Protection, Scan HTTP and decrypted HTTPS, Use zero-day protection en voor HTTPS vaak TLS Inspection van toepassing zijn. Het Web log, het SSL/TLS Inspection-log en de weergave Downloads and attachments kunnen daarna worden gecontroleerd.
• E-mailbijlage: De mailstroom moet door Mail Protection, het passende bijlagebeleid en de malwarescan lopen. Controleer daarvoor de maillogs, quarantaine en de weergave Downloads and attachments.
• FTP-download: Scan FTP for malware activeert antivirusscanning, maar niet de Zero-Day-cloudanalyse. In SFOS 22 is Use zero-day protection uitdrukkelijk beperkt tot HTTP- en HTTPS-downloads.
• Vrijgave of foutstatus: Het rapport is nog niet voltooid of de analyse is mislukt. Dan zijn het vrijgaveproces, de gebruikerscontext, hash en andere logs van belang.
• Geen zichtbaarheid: Verkeer passeert het beveiligingspad niet of het bestandstype is niet relevant. Controleer dan eerst de firewallregel, het beleid, TLS, de mailstroom en het bestandstype.

Controleer bij webdownloads eerst of het juiste webbeleid actief is in de firewallregel. Voor e-mailbijlagen moet de mailstroom daadwerkelijk via Mail Protection in MTA-modus of een vergelijkbaar gecontroleerd pad lopen. Als alleen een gewone Allow-regel verkeer toestaat, mag u geen volledige bestandsanalyse door Zero-Day Protection verwachten.

Het is de moeite waard om bijzonder voorzichtig te zijn met webuitzonderingen. Een uitzondering kan ertoe leiden dat ontsleuteling, het scannen van malware en inhoud, Zero-Day Protection of beleidscontroles voor overeenkomend verkeer worden overgeslagen in de DPI- en proxymodus. Uitzonderingen moeten daarom nauwer worden geformuleerd dan de eigenlijke beveiligingsregel en worden gecontroleerd met Log Viewer, SSL/TLS Inspectionlogboek en een echte download.

Activeren voor e-mailbijlagen

Ga in MTA-modus naar Email > Policies and exceptions > SMTP route and scan. Bewerk de policy die werkelijk overeenkomt met afzender, ontvanger en beschermd domein en open Malware protection:

1. Schakel Malware protection in.
2. Kies onder Scanning voor Single antivirus met Sophos als primaire engine, of voor Dual antivirus. Op XGS 87/87w en 88/88w is alleen de primaire engine beschikbaar.
3. Schakel Use zero-day protection in.
4. Stel in het bijbehorende veld de maximale bestandsgrootte in. Dit is een door de beheerder gekozen policylimiet, geen algemene productwaarde: grotere bijlagen worden niet naar Zero-Day Protection verzonden.
5. Sla de policy op en controleer de volgorde, zodat niet eerst een bredere policy overeenkomt.

Kies de limiet op basis van het werkelijke mailprofiel, de bandbreedte en een acceptabele wachttijd. Begin bijvoorbeeld met de bijlagelimiet die de organisatie al toestaat, in plaats van een externe waarde te kopiëren. Controleer daarna een geautoriseerde testbijlage op tijdstip, afzender en ontvanger in Email > Mail logs, Email > Mail spool en Monitor & analyze > Zero-day protection > Downloads and attachments. Een spoolitem met status Zero-day protection wacht op analyse. SFOS probeert de bezorging drie dagen opnieuw en verwijdert het bericht na nog eens vier dagen; verwijderde berichten blijven zichtbaar in de mail logs.

Analysestroom

1. Detectie op de firewall

Een bestand komt door de firewall via een download of als e-mailbijlage. Als het beleid, het bestandstype en de context overeenkomen, wordt het bestand gemarkeerd voor Zero-Day Protection. Bekende, duidelijk geclassificeerde bestanden kunnen vooraf door andere beveiligingsmodules worden geëvalueerd.

2. Overdracht aan SophosLabs Intelix

In aanmerking komende bestanden worden via een versleutelde verbinding naar een SophosLabs Intelix-service verzonden. Daar wordt het bestand niet alleen gecontroleerd aan de hand van bekende patronen, maar ook geëvalueerd aan de hand van verschillende analyseniveaus.

3. Machine learning en reputatie

SophosLabs Intelix gebruikt meerdere machinelearningmodellen om de kenmerken, structuur, wereldwijde reputatie en de ‘genetica’ van een bestand te beoordelen: de overeenkomsten met andere bestanden. Nieuwe bestanden worden vergeleken met miljoenen bekende veilige en schadelijke bestanden. Dit is vooral nuttig voor nieuwe bestanden die nog niet op grote schaal zijn waargenomen.

4. Sandbox-analyse

Bij de sandbox-analyse wordt het bestand in een geïsoleerde omgeving onderzocht. De evaluatie combineert dynamische en statische analyse, deep learning, exploitdetectie, CryptoGuard en monitoring van bestands-, werkgeheugen-, register- en netwerkactiviteiten. CryptoGuard detecteert daarbij in realtime actieve ransomware die binnen de sandbox bestanden versleutelt; dit is geen garantie dat versleuteling op productie-endpoints wordt voorkomen. De analyse monitort ook technieken waarmee een bestand probeert sandbox-detectie te omzeilen. Voor beheerders is de marketingterm minder belangrijk dan de vraag: wat probeerde het bestand daadwerkelijk te doen?

5. Beslissing en rapport

Aan het einde is er een beoordeling, bijvoorbeeld schoon, waarschijnlijk schoon, verdacht, kwaadaardig of PUA. Afhankelijk van het resultaat wordt het bestand vrijgegeven, geblokkeerd of blijft het zichtbaar met een fout- of analysestatus. Het rapport helpt bij het duidelijk rechtvaardigen van een vrijgave, een blokkering of verdere incidentreactiestappen.

Lees rapporten correct

Het overzicht vindt u in Sophos Firewall onder Monitor & analyze > Zero-day protection > Downloads and attachments. Daar kunt u activiteitsgegevens over verdachte downloads en e-mailbijlagen, de analysestatus, rapportdetails en vrijgaveopties bekijken.

In de lijst moet niet alleen op bestandsnaam worden gezocht. Filters op periode, gebruiker, bron, status en component zijn nuttig. Zero-Day Protection-gebeurtenissen verschijnen in rapporten en Syslog als een afzonderlijk Log Type. Afhankelijk van het pad is de component Web of Mail, en subtypes kunnen Allowed, Denied of Pending zijn. Dit maakt correlatie met SIEM of Central Reporting overzichtelijker.

Wanneer u de muisaanwijzer boven de Detection Status van een vermelding houdt, verschijnt een kort overzicht met de dreigingsresultaten van de afzonderlijke analysefasen. Via View report opent u het volledige rapport. U kunt ook bij de vermelding More options > Show report kiezen om de analysedetails te openen, in plaats van alleen de lijstvermelding te lezen. Vooral bij Pending, een foutstatus of een latere vrijgave vormt het gedetailleerde rapport de basis voor de beslissing.

Kies Filter en stel de gewenste criteria in om de lijst te beperken.

Een rapport kan onder meer deze gebieden bevatten:

• Download details: bron, moment en betrokken gebruiker.
• Analysis summary: algemene beoordeling en overzicht; de classificaties zijn clean, likely clean, suspicious, malicious of Potentially Unwanted Application (PUA).
• Machine learning analysis: het algemene machinelearningresultaat, plus analyse van afzonderlijke bestandskenmerken, hun combinaties en de bestandsstructuur.
• Reputation analysis: beoordeling op basis van wereldwijde verspreiding.
• Detonation results: gedrag van het bestand tijdens uitvoering in de sandbox, screenshots van het bestand tijdens de uitvoering, details over gebruikte processen en gegenereerde registeractiviteiten. Deze artefacten helpen om verdacht gedrag inzichtelijk te onderzoeken.
• Full file analysis: handtekeningen, certificaten, resources, imports en exports.
• VirusTotal report: aanvullende externe detectiegegevens. De gegevens tonen hoeveel rapporten over de betreffende dreiging in de VirusTotal-database aanwezig zijn en hoeveel malwaredetectieproducten het bestand detecteren. De twee aantallen beschrijven verschillende zaken: aanwezige rapporten en producten die het bestand detecteren.

Bij een verdacht bestand is niet alleen de uiteindelijke status relevant. Ook bron, gebruiker, bestandsnaam, doel-URL, procesgedrag, netwerkactiviteit en de vraag of andere systemen dezelfde download hebben gezien, tellen mee. Als hieruit een incident ontstaat, moet het rapport worden gecorreleerd met endpoint-, mail-, web- en firewalllogs.

Proces voor verdachte meldingen

Een detectie door Zero-Day Protection moet worden behandeld als een beveiligingsmelding die onderzoek vereist, niet als een eenvoudige blokkade door het webfilter.

Praktisch proces:

1. Open het rapport en leg status, bestandsnaam, bron, gebruiker, tijdstip en beoordeling vast.
2. Controleer of het een webdownload, een e-mailbijlage of een ander pad was.
3. Vergelijk web-, mail- en firewalllogboeken voor dezelfde periode.
4. Controleer, indien aanwezig, de eindpunt- of EDR-gebeurtenissen voor de betrokken client.
5. Documenteer de bestandshash, afzender, URL of het domein.
6. Bepaal of het om een false positive, een geblokkeerde aanval, een onopgelost vermoeden of een incident gaat.
7. Overweeg vrijgave alleen als er een begrijpelijke zakelijke reden is.
8. Documenteer de beslissing en bepaal zo nodig een actie voor een URL-groep, mailbeleid, Threat Feed of endpointbeveiliging.

Wanneer meerdere gebruikers hetzelfde bestand of domein zien, is één enkele beslissing vaak niet voldoende. Vervolgens moet u controleren of een aanpassing van het webbeleid, een e-mailbeleidsregel, een bedreigingsfeed of een incidentreactie nodig is.

Bestanden vrijgeven

Sophos Firewall staat alleen vrijgave toe voor bestanden of e-mailberichten die nog worden geanalyseerd of die zijn teruggekeerd met een foutstatus. Een dergelijke vrijgave kan nodig zijn als een bedrijfsproces geblokkeerd is. Het is echter niet geschikt als normale oplossing.

Voordat u vrijgeeft, moet u in ieder geval het volgende controleren:

• Is de bron betrouwbaar en te verwachten?
• Werd de gebruiker of afdeling geraadpleegd over de context?
• Is er een hash, bestandsnaam of afzender die extra kan worden gecontroleerd?
• Zijn er eindpunt- of maillogboeken voor hetzelfde proces?
• Kan het bestand in een geïsoleerde omgeving of via een aparte analysetool worden onderzocht?
• Is gedocumenteerd wie heeft besloten het vrij te geven en om welke reden?

⚠️ Vrijgave voordat de analyse is voltooid, kan ertoe leiden dat schadelijke inhoud wordt gedownload of afgeleverd. In productieomgevingen moet deze beslissing worden gedocumenteerd en niet als routine aan eerstelijnssupport worden overgelaten.

Als de vrijgave na deze controles uitdrukkelijk is goedgekeurd, kiest u Release now bij de betreffende vermelding. Bij een bestand kunnen gebruikers het onmiddellijk daarna downloaden; de klik wacht niet op het analyseresultaat.

Na vrijgave gaat de analyse verder. Dit is belangrijk voor de bedrijfsvoering: een vrijgegeven bestand kan later alsnog als verdacht of schadelijk worden beoordeeld. Vrijgaven moeten daarom worden nagecontroleerd en bij een latere negatieve beoordeling opnieuw met endpoint-, mail-, web- en firewalllogs worden gecorreleerd.

Voor individuele bestanden kan de Avanet-blogpost SophosLabs Intelix - De tool voor het detecteren van cyberdreigingen aanvullende hulp bieden. Dit vervangt echter niet de evaluatie in de specifieke netwerk- en gebruikerscontext.

Datacenter en gegevensbescherming

Onder Monitor & analyze > Zero-day protection > Protection settings kunt u het datacenter voor de analyse opgeven. Standaard kiest Sophos Firewall het dichtstbijzijnde datacenter. Als alternatief kunt u bewust kiezen voor een datacenter. Bestanden worden via een beveiligde SSL-verbinding naar de Sophos-cloud verzonden.

Deze instelling is belangrijk voor privacy, gegevenslocatie en interne eisen. Een datacenterwijziging kan leiden tot verlies van de analyse van bestanden die nog worden verwerkt. Leg vóór de wijziging open vermeldingen vast en kies een rustig onderhoudsvenster; controleer daarna de connectiviteit en nieuwe analyses. De regiokeuze beantwoordt niet alle privacyvragen: beoordeel ook bewaartermijnen, verwerkingsovereenkomsten en de bestandsinhoud die mag worden verzonden.

Gebruik uitzonderingen zorgvuldig

Onder Monitor & analyze > Zero-day protection > Protection settings kunt u bestandstypen uitsluiten van de zero-day-beveiligingsanalyse. Selecteer hiervoor onder Exclude file types > Add new item het gewenste bestandstype uit de lijst. De bestandstypedetectie is gebaseerd op de bestandsextensie en de MIME-header. Als een archief een bestand van een uitgesloten type bevat, wordt automatisch het volledige archief uitgesloten van de zero-day-beveiligingsanalyse, ook als het daarnaast bestanden van niet-uitgesloten typen bevat. Een uitzondering voor een bestandstype heeft daarmee ook gevolgen voor archieven met gemengde inhoud; de overige inhoud daarvan wordt niet door deze zero-day-beveiligingsanalyse beschermd. Deze instelling moet worden onderscheiden van de webuitzondering die verderop wordt beschreven.

Uitzonderingen zijn technisch praktisch, maar veiligheidsgerelateerd. Elke uitzondering moet een duidelijke rechtvaardiging hebben:

• Welke applicatie of welk proces maakt de bestanden aan?
• Waarom verstoort de analyse het proces of is ze niet nuttig?
• Is er een kleinere uitzondering dan een heel bestandstype?
• Wordt de uitzondering regelmatig gecontroleerd?
• Is bekend welk beschermend effect hierdoor verloren gaat?

Brede uitzonderingen voor archieven, scripts, Office-bestanden of uitvoerbare bestanden moeten worden vermeden. Wanneer Zero-Day Protection een legitiem proces verstoort, is de eerste stap vaak het controleren van het beleid, het bronpad, de betrokken gebruikersgroep of een alternatieve implementatie.

Ga voor een webuitzondering naar Web > Exceptions > Add an exception. Criteria van verschillende typen worden met EN gecombineerd en meerdere waarden van hetzelfde type met OF. Bij HTTPS werken URL-padpatronen alleen als het verkeer is ontsleuteld; gebruik zonder ontsleuteling daarom hostname-matching. Het overslaan van Malware and content scanning slaat automatisch ook Zero-Day Protection over. Als alleen Zero-day protection wordt overgeslagen, ontbreken analyserapporten voor de betreffende bestanden, zelfs wanneer malwarescanning een dreiging detecteert. Dit is een blijvende statuswijziging: beperk de uitzondering tot een hostname of URL-patroon, kies Save, schakel de uitzondering in en leg eigenaar en vervaldatum vast. Schakel de uitzondering uit of verwijder deze voor een rollback en valideer hetzelfde gegevenspad opnieuw.

XML-API: Protection settings veilig wijzigen

Bij automatisering komt het XML-object ZeroDayProtectionSettings overeen met de instellingen onder Monitor & analyze > Zero-day protection > Protection settings: DataCenterLocation staat voor het datacenter voor de analyse, ExcludeFileTypes voor de uitgesloten bestandstypen, niet voor Web Exceptions. De XML-referentie voor SFOS 22/23 beschrijft beide velden als optionele scalaire STRING-waarden en laat de kolommen voor standaardwaarden blanco. Daaruit volgt niet dat er een gedocumenteerde XML-standaardwaarde is, en evenmin dat het weglaten van een veld of het opgeven van een lege waarde bestaande instellingen ongewijzigd laat of wist. Lees vóór een wijziging de opgeslagen toestand uit en bewaar de bestaande waarden om de wijziging gericht te kunnen terugdraaien; controleer de requestwaarden aan de hand van de referentie voor de geïnstalleerde versie.

De statuscodes van deze updatebewerking staan in het XML-resultaat en zijn niet gelijk te stellen aan de HTTP-transportstatus. De referentie koppelt hieraan de volgende berichtsleutels, geen uitgeschreven berichttekst:

• 200: Language.SandboxSettingsUpdateSuccess (update geslaagd).
• 500: Language.SandboxSettingsUpdateFailed (update mislukt).
• 502: Language.SandboxSettingsFileTypesExceeded (limiet voor bestandstypen overschreden), hier dus niet zonder meer ‘naam bestaat al’. Deze referentie noemt geen numeriek maximum.

Voer bij 500, 502 of een onduidelijk antwoord geen automatische herhalingen van het schrijfrequest uit. Lees eerst de daadwerkelijk opgeslagen toestand opnieuw uit en vergelijk die met de bewaarde en de beoogde waarden. Controleer bij 502 de aangevraagde uitsluitingen van bestandstypen en de toegestane selectie voor de geïnstalleerde versie, in plaats van objectnamen te wijzigen of een limiet te raden. Controleer ook na 200 het datacenter en de uitsluitingen in Protection settings en controleer de connectiviteit en een geautoriseerde download of testbijlage van een niet-uitgesloten, geschikt bestandstype aan de hand van de logs en Downloads and attachments. Als terugdraaien nodig is, herstel dan alleen de gewijzigde instellingen naar de eerder bewaarde waarden en herhaal dezelfde controles; schakel de bescherming niet zonder onderscheid uit. Bij een datacenterwijziging gelden ook tijdens een rollback het hierboven beschreven onderhoudsvenster en het risico op verlies van lopende analyses; reeds verloren analyses worden daarmee niet hersteld.

Een wijziging veilig terugdraaien

Een rollback moet het vorige gegevenspad herstellen en niet overhaast alle beschermingslagen uitschakelen:

1. Leg de vorige waarden voor regel, policy, engine, groottelimiet, data center en uitzondering vast.
2. Schakel bij webproblemen eerst de nieuwe beperkte uitzondering uit of herstel de regelvolgorde. Draai Scan HTTP and decrypted HTTPS en TLS Inspection alleen terug als juist die wijziging de storing veroorzaakte en de lagere bescherming wordt geaccepteerd.
3. Herstel bij mailproblemen de vorige waarden van de bewerkte SMTP Route and Scan Policy; geef wachtende berichten niet blind vrij. Release now maakt een nog niet gecontroleerd bestand direct beschikbaar, hoewel de analyse doorgaat.
4. Controleer na de rollback de regelmatch, het web- of maillog en een geautoriseerde download of testbijlage. Als *.sandbox.sophos.com:443 onbereikbaar blijft of nieuwe objecten op Pending blijven staan, is de rollback niet geslaagd.

Controleer vrijgaven en uitzonderingen regelmatig

Zero-Day Protection is niet alleen een functie die eenmaal wordt ingeschakeld. De operationele waarde ontstaat wanneer rapporten, vrijgaven en uitzonderingen regelmatig worden gecontroleerd. Anders blijven risicovolle beslissingen actief nadat de oorspronkelijke zakelijke reden is verdwenen.

Deze punten zijn bijzonder nuttig voor de beoordeling:

• Vrijgegeven bestand: Controleer de reden voor de vrijgave, de betrokken gebruiker of afdeling, hash, bestandsbron, vervaldatum en latere evaluatie.
• Uitzondering op bestandstype: Controleer de betrokken applicatie, eigenaar, beoordelingsdatum, een beperktere uitzondering als alternatief en het risico voor archieven, scripts of Office-bestanden.
• Terugkerende foutstatus: Controleer Sophos-connectiviteit, bestandsgrootte, bestandstype, beleid, datacenter en mogelijke ondersteuningsaanvraag.
• Veel hits uit één bron: Controleer web- of e-mailbeleid, URL, afzender, gebruikersgroep, bedreigingsfeed, URL-groep of blokkeerlijst.

Een uitzondering is geen gewone opschoning van firewallregels. Dergelijke vermeldingen moeten een eigenaar, reden en beoordelingsdatum hebben. Bij terugkerende vrijgaven moet u ook endpoint-, mail-, web- en firewalllogs vergelijken, zodat een eenmalige uitzondering niet onopgemerkt een permanente bypass wordt.

Problemen oplossen

Geen vermeldingen zichtbaar

Als er onder Downloads and attachments geen vermeldingen verschijnen, moet eerst worden gecontroleerd of het verkeer daadwerkelijk door de juiste firewallregel en het juiste beveiligingsprofiel gaat. Voor webdownloads zijn Scan HTTP and decrypted HTTPS en Use zero-day protection in de firewallregel bijzonder relevant. Voor HTTPS-verkeer kan ontbrekende TLS Inspection verklaren waarom de firewall minder inhoud ziet. Controleer vervolgens de web-, mail-, malware- en Zero-Day Protection-instellingen.

Controleer ook of een webuitzondering het relevante verkeer uitsluit van ontsleuteling, malware- en inhoudsscanning of Zero-Day Protection. Als een uitzondering van toepassing is, kan de configuratie correct lijken zonder dat er een vermelding wordt aangemaakt.

Bij het testen mag u geen valse verwachtingen scheppen met bestanden die al lokaal of wereldwijd bekend zijn. Als reputatie- of andere beschermingsmodules een bestand al duidelijk evalueren, hoeft er niet noodzakelijkerwijs een compleet nieuwe sandbox-analyse zichtbaar te zijn. Voor acceptatietests zijn tijdvenster, testclient, regel-ID, URL, bestandsnaam en hash belangrijker dan een enkele browserdownload zonder logcorrelatie.

Downloads duren te lang

Een sandboxanalyse kan enige tijd in beslag nemen. Als gebruikers regelmatig langere tijd wachten, moet u controleren of er veel grote of vaak wisselende bestanden worden geanalyseerd, of de betrokken processen legitiem zijn en of een beperkte technische uitzondering gerechtvaardigd is. Een algemene deactivering is meestal de verkeerde eerste stap.

Veel valse positieven

Voor terugkerende valse positieven controleert u de rapportdetails, bestandsbron, hashes, reputatie, betrokken gebruikers en applicatie. Alleen als het patroon begrepen wordt, mag u uitzonderingen instellen. Voor dynamische blokkeerlijsten en IOC-operaties is Threat Feeds op Sophos Firewall veilig instellen en beheren een gerelateerd onderwerp.

Vrijgave is aangevraagd

Een vrijgave moet worden behandeld als een beveiligingsbeslissing. Als de afdeling alleen ‘dringend’ meldt, is dat niet genoeg. U heeft bron, doel, bestand, gebruiker, risicobeoordeling en een gedocumenteerd besluit nodig.

Analyse blijft op Pending staan of eindigt met Error

Controleer eerst System services > Log settings: het Log Type Zero-day protection moet zijn geselecteerd voor Local reporting, de gewenste syslogserver of Central reporting. Controleer daarna DNS, routing en uitgaand TCP 443 naar *.sandbox.sophos.com; een algemene TLS-uitzondering voor gebruikersverkeer lost de connectiviteit van de service niet op. Voor mail toont Email > Mail spool wachtende berichten afzonderlijk. Als de fout zich bij verschillende toegestane bestandstypen herhaalt, leg dan tijdstempels, hash, component, Policy/Rule ID en rapportstatus vast voor Sophos Support.

SFOS 22 Release Notes en Known Issues controleren

Gebruik de handleiding voor Sophos Firewall-firmware-updates om Release Notes en Known Issues te controleren. De momentopname van 8 september 2026 noemt 22.0 MR2 Build 546 als de toen actuele versie. SFOS 22 introduceert een nieuwe Sophos-antimalware-engine met wereldwijde reputatiecontroles en AI/ML-detecties. Deze enginewijziging vervangt het afzonderlijke Zero-Day-abonnement en de policyschakelaars niet.

Volg vóór een upgrade of brede uitrol die handleiding en zoek in de Release Notes en Known Issues List opnieuw op Sophos Firewall, Zero-day, sandbox, email en de doelversie, in plaats van op een eerder zoekresultaat te vertrouwen. MR2 verhelpt onder meer een mail-spoolprobleem; controleer bij mailanalyse daarom ook de Email-fixes en niet alleen de Zero-Day-pagina’s.

Operationele checklist

• Zero-Day Protection Licentie- en modulestatus gecontroleerd.
• Web- en e-mailbeleid gecontroleerd met malware en beveiligingsscans.
• In webfirewallregels zijn Scan HTTP and decrypted HTTPS en Use zero-day protection gecontroleerd.
• TLS Inspection of ontsleuteling via de webproxy gepland waar versleutelde webdownloads moeten worden geïnspecteerd.
• Webuitzonderingen gecontroleerd op onbedoelde zero-day-bypasses.
• Datacenter bewust gekozen voor analyse of standaard gedocumenteerd.
• Geen brede uitzonderingen op bestandstypen zonder eigenaar en beoordelingsdatum.
• De weergave Downloads and attachments wordt regelmatig gecontroleerd.
• Vrijgaveproces alleen gedefinieerd voor bestanden die nog worden geanalyseerd of met een foutstatus zijn teruggekeerd.
• Rapporten gecorreleerd met eindpunt-, mail-, web- en firewalllogboeken.
• Er wordt rekening gehouden met Syslog, Centrale Rapportage of SIEM voor langere traceerbaarheid.

Veelgestelde vragen