Sophos Firewall Zero-Day Protection: działanie i obsługa

Sophos Firewall Zero-Day Protection analizuje podejrzane pliki do pobrania i załączniki do wiadomości e-mail za pośrednictwem SophosLabs Intelix. Zapora wysyła odpowiednie, ryzykowne pliki do usługi w chmurze, gdzie współdziałają uczenie maszynowe, reputacja, analiza piaskownicy i badanie zagrożeń. Celem jest nie tylko blokowanie znanego złośliwego oprogramowania, ale także lepsza klasyfikacja nowych lub nietypowych plików.

Dla administratorów ważne jest rozróżnienie funkcji: Zero-Day Protection nie zastępuje poprawnie zdefiniowanych reguł, Web Protection, Mail Protection, TLS Inspection, rejestrowania zdarzeń ani ochrony punktów końcowych. Zapewnia dodatkową warstwę ochrony i analizy, szczególnie gdy pliki trafiają do sieci przez pobieranie z witryn WWW lub załączniki e-mail, a tradycyjne sygnatury nie pozwalają jeszcze na jednoznaczną ocenę.

Który artykuł o ochronie wybrać?

Zero-Day Protection odpowiada przede wszystkim na pytanie, w jaki sposób analizowane są podejrzane pliki. W zależności od problemu lepiej zacząć od dostępu do sieci, przepływu poczty, ataków sieciowych, ruchu szyfrowanego lub oceny:

• Sprawdź podejrzane pliki do pobrania lub załączniki do wiadomości e-mail za pomocą Intelix: Ten artykuł.
• Skonfiguruj i przetestuj klasyczne skanowanie malware w ruchu webowym za pomocą Single lub Dual Engine: Konfigurowanie i testowanie skanowania malware w Sophos Firewall.
• Zaplanuj kategorie witryn, grupy adresów URL, SafeSearch lub reguły pobierania: Konfiguracja Web Protection za pomocą polityk webowych w Sophos Firewall.
• Zapewnij widoczność ruchu HTTPS i odpowiednio zaplanuj wyjątki: Poprawne wdrażanie TLS Inspection w Sophos Firewall.
• Rozprowadź certyfikat CA do skanowania HTTPS wśród klientów: Sophos Firewall Zainstaluj certyfikat CA do skanowania HTTPS.
• Sprawdź ruch e-mail w trybie MTA i obsługuj Mail Protection: Sophos Firewall skonfiguruj Mail Protection w trybie MTA.
• Blokuj exploity i wzorce ataków w ruchu sieciowym: Skonfiguruj Sophos Firewall IPS i przetestuj go bezpiecznie.
• Obsługuj złośliwe adresy IP, domeny lub adresy URL za pomocą list IoC: Sophos Firewall Bezpiecznie konfiguruj i obsługuj źródła zagrożeń.
• Poznaj role NDR, Active Threat Response, XDR, MDR i analizy SIEM: Obsługa NDR i Active Threat Response w Sophos Firewall.
• Wyjaśnij nieoczekiwane odrzucenia lub blokady: Analiza pakietów odrzuconych przez Sophos Firewall.

Ten podział zapobiega błędnym oczekiwaniom: Zero-Day Protection ocenia pliki, ale nie zastępuje polityki webowej, IPS, planowania przekazywania poczty ani centralnej analizy logów. Najlepszą ochronę zapewnia współdziałanie warstw ochrony plików, ruchu webowego, poczty, sieci i rejestrowania zdarzeń.

Gdzie Zero-Day Protection pomaga w praktyce

Zero-Day Protection jest szczególnie istotny w następujących scenariuszach:

• Użytkownicy pobierają pliki wykonywalne, archiwa lub dokumenty z Internetu.
• Załączniki wiadomości e-mail należy dokładniej sprawdzić przed dostarczeniem lub udostępnieniem.
• Plik nie jest jeszcze całkowicie znany, ale wydaje się podejrzany.
• Pobieranie powinno być nie tylko skanowane lokalnie, ale także monitorowane w piaskownicy.
• Incydent związany z bezpieczeństwem należy lepiej ocenić na podstawie szczegółowego raportu.

Funkcja pasuje do wielowarstwowego modelu bezpieczeństwa: reguły zapory ograniczają dozwolony ruch, TLS Inspection umożliwia kontrolę zaszyfrowanego ruchu webowego, Web Protection i Mail Protection oceniają zawartość, a Zero-Day Protection uzupełnia te kontrole analizą w chmurze i raportami z piaskownicy.

Wymagania i ograniczenia w SFOS 22

Zero-Day Protection wymaga osobnej subskrypcji, zawartej w Xstream Protection; sama Base License lub Web Protection nie wystarczy. W Administration > Licensing status musi mieć wartość Subscribed albo Evaluating (30-dniowa ewaluacja). Obejmuje Machine Learning, Sandboxing File Analysis i Threat Intelligence. Usługa nie jest obsługiwana we wdrożeniu air gap. Zapora połączona z Internetem automatycznie synchronizuje licencje co 24 godziny. Jeśli niedawno zmieniona subskrypcja Zero-Day nadal wygląda na nieaktualną, zaczekaj na ten cykl lub uruchom synchronizację licencji przed diagnozowaniem ścieżki policy.

Aktywne muszą być również moduły ochrony i policies odpowiedniej ścieżki danych. Zwykła reguła Allow bez właściwych profili zabezpieczeń nie zapewnia tej samej ochrony. W przypadku pobierania z internetu opcja Single engine wymaga Sophos jako podstawowego silnika antywirusowego; alternatywą jest Dual engine. Ten sam wymóg dotyczy SMTP Route and Scan Policy po wybraniu Single antivirus. Ustawienia znajdują się w Web > General settings oraz we właściwej policy SMTP w Email > Policies and exceptions.

Ważne ograniczenia w działaniu:

• Zapora nie wysyła do usługi Intelix wszystkich typów plików, lecz głównie typy obarczone ryzykiem.
• Wiele niezagrażających typów plików, na przykład typowe formaty obrazów, nie jest wysyłanych do detonacji.
• Wyjątki mogą wykluczyć pliki z analizy i w ten sposób zmniejszyć efekt ochrony.
• Analityka w chmurze wymaga połączenia z usługami Sophos i może opóźniać pobieranie.
• Zapora wymaga wychodzącego TCP 443 do *.sandbox.sophos.com; TLS interception ani upstream proxy nie mogą przerywać tego połączenia.
• Dopuszczenie pliku przed zakończeniem analizy może udostępnić użytkownikom złośliwą zawartość.
• Zero-Day Protection nie zastępuje Endpoint Detection and Response, MDR ani uporządkowanego reagowania na incydenty.

Jeśli zapora sieciowa niewiele widzi, ponieważ HTTPS nie zostało odszyfrowane lub reguły działają bez profili zabezpieczeń, Zero-Day Protection również pozostaje ograniczony. Artykuł Sophos Firewall Logi: Która funkcja zapisuje do jakiego logu? pomoże Ci w przypisaniu logów i modułów.

Włącz w regułach zapory

W przypadku pobierania przez WWW sama licencja Zero-Day Protection nie wystarczy. Odpowiednia reguła zapory musi faktycznie pasować do ruchu webowego i włączać wymagane opcje jego skanowania.

Typowa ścieżka to:

Rules and policies > Firewall rules

W regule internetowej klienta, której dotyczy problem, powinieneś sprawdzić:

1. Source zone, Source network, Destination zone i Services odpowiadają ruchowi testowemu.
2. Log firewall traffic jest aktywny.
3. W obszarze Web filtering wybrano odpowiednią Web Policy.
4. Scan HTTP and decrypted HTTPS jest aktywny.
5. Use zero-day protection jest aktywny.
6. W przypadku pobrań HTTPS TLS Inspection jest zaplanowane i obowiązuje dla ruchu testowego.
7. QUIC/HTTP/3 nie może omijać przewidzianej ścieżki inspekcji HTTPS.
8. Wyjątki internetowe nie pomijają w sposób niezamierzony skanowania złośliwego oprogramowania, sprawdzania zasad ani analizy ochrony typu zero-day.

Nie gwarantuje to, że każde pobranie będzie widoczne w widoku ochrony typu zero-day. Znane pliki, niekrytyczne typy plików lub pliki do pobrania poza sprawdzoną ścieżką można wcześniej ocenić inaczej. Aby uzyskać akceptację, należy zatem nie tylko sprawdzić, czy pole wyboru jest aktywne, ale także czy konkretne pobranie można prześledzić w Log Viewer, logu webowym, dzienniku kontroli SSL/TLS oraz w Downloads and attachments.

Ważne: Scan HTTP and decrypted HTTPS skanuje HTTP i już odszyfrowany ruch HTTPS. Opcja nie włącza automatycznie deszyfrowania HTTPS. W konfiguracjach DPI wymaga to odpowiednich Rules and policies > SSL/TLS inspection rules; w ścieżce Web Proxy istotne jest Decrypt HTTPS during web proxy filtering. Bez tej widoczności Zero-Day Protection widzi mniej zaszyfrowanych plików, mimo że reguła zapory wygląda formalnie poprawnie.

Gdzie Zero-Day Protection ma zastosowanie

Zero-Day Protection nie należy rozpatrywać oddzielnie. Funkcja staje się istotna tylko wtedy, gdy plik faktycznie przebiega przez odpowiednią ścieżkę ochrony.

Typowe ścieżki:

• Pobieranie przez WWW: Muszą działać odpowiednia reguła zapory, Web Protection, Scan HTTP and decrypted HTTPS, Use zero-day protection, a dla HTTPS często także TLS Inspection. Sprawdź log webowy, log inspekcji SSL/TLS oraz widok Downloads and attachments.
• Załącznik e-mail: Przepływ poczty musi podlegać Mail Protection, odpowiedniej polityce załączników i skanowaniu antymalware. Sprawdź logi poczty, kwarantannę oraz widok pobranych plików i załączników.
• Pobieranie FTP: Scan FTP for malware włącza skanowanie antywirusowe, ale nie analizę Zero-Day w chmurze. W SFOS 22 opcja Use zero-day protection jest wyraźnie ograniczona do pobierania HTTP i HTTPS.
• Dopuszczenie pliku lub status błędu: Raport nie jest jeszcze gotowy lub analiza nie powiodła się. Wówczas ważne są proces dopuszczania pliku, kontekst użytkownika, hash i pozostałe logi.
• Brak widoczności: Ruch nie przechodzi przez ścieżkę ochrony lub typ pliku nie ma znaczenia. Następnie najpierw sprawdź regułę zapory, politykę, TLS, przepływ poczty i typ pliku.

Dlatego w przypadku pobierania z Internetu ważne jest przede wszystkim, czy w regule zapory jest aktywna prawidłowa polityka webowa. W przypadku załączników do wiadomości e-mail przepływ poczty naprawdę musi przebiegać przez Mail Protection w MTA Mode lub porównywalną sprawdzoną ścieżkę. Jeśli tylko normalna reguła Allow zezwala na ruch, nie powinieneś oczekiwać pełnej analizy plików od Zero-Day Protection.

Zachowaj szczególną ostrożność w przypadku wyjątków internetowych. Wyjątek może spowodować pominięcie odszyfrowywania, skanowania złośliwego oprogramowania i zawartości, Zero-Day Protection lub sprawdzania zasad pod kątem pasującego ruchu w trybie DPI i proxy. Wyjątki należy zatem sformułować wężniej niż rzeczywista zasada ochrony i porównać z Log Viewer, dziennikiem inspekcji SSL/TLS i rzeczywistym pobraniem.

Włączanie dla załączników wiadomości e-mail

W trybie MTA przejdź do Email > Policies and exceptions > SMTP route and scan. Edytuj policy, która rzeczywiście pasuje do nadawcy, odbiorcy i chronionej domeny, a następnie otwórz Malware protection:

1. Włącz Malware protection.
2. W sekcji Scanning wybierz Single antivirus z Sophos jako silnikiem podstawowym albo Dual antivirus. W XGS 87/87w i 88/88w dostępny jest tylko silnik podstawowy.
3. Włącz Use zero-day protection.
4. Ustaw maksymalny rozmiar pliku w odpowiednim polu. Jest to limit policy wybrany przez administratora, a nie uniwersalna wartość produktu: większe załączniki nie są wysyłane do Zero-Day Protection.
5. Zapisz policy i sprawdź jej kolejność, aby szersza policy nie została dopasowana jako pierwsza.

Dobierz limit do rzeczywistego profilu poczty, przepustowości i akceptowalnego czasu oczekiwania. Zacznij na przykład od limitu załączników już dozwolonego w organizacji, zamiast kopiować obcą wartość. Następnie sprawdź autoryzowany załącznik testowy według czasu, nadawcy i odbiorcy w Email > Mail logs, Email > Mail spool oraz Monitor & analyze > Zero-day protection > Downloads and attachments. Element spool o stanie Zero-day protection oczekuje na analizę. SFOS ponawia dostarczenie przez trzy dni, a po kolejnych czterech dniach odrzuca wiadomość; odrzucone wiadomości pozostają widoczne w mail logs.

Przebieg analizy

1. Wykrywanie na zaporze ogniowej

Plik przechodzi przez zaporę podczas pobierania lub jako załącznik e-mail. Jeśli polityka, typ pliku i kontekst są zgodne, plik zostaje zakwalifikowany do analizy Zero-Day Protection. Znane, jednoznacznie sklasyfikowane pliki mogą zostać wcześniej ocenione przez inne moduły ochrony.

2. Przekazanie do SophosLabs Intelix

Kwalifikujące się pliki są wysyłane do usługi SophosLabs Intelix za pośrednictwem szyfrowanego połączenia. Tam plik jest nie tylko sprawdzany pod kątem znanych wzorców, ale także oceniany na kilku poziomach analizy.

3. Uczenie maszynowe i reputacja

SophosLabs Intelix wykorzystuje wiele modeli uczenia maszynowego do oceny cech, struktury, globalnej reputacji i „genetyki” pliku, czyli podobieństw do innych plików. Nowe pliki są porównywane z milionami znanych bezpiecznych i złośliwych plików. Jest to szczególnie przydatne w przypadku nowych plików, których jeszcze nie zaobserwowano na szeroką skalę.

4. Analiza piaskownicy

Podczas analizy w piaskownicy plik jest badany w izolowanym środowisku. Ocena łączy analizę dynamiczną i statyczną, głębokie uczenie się, wykrywanie exploitów, CryptoGuard oraz monitorowanie działań związanych z plikami, pamięcią RAM, rejestrem i siecią. CryptoGuard wykrywa przy tym w czasie rzeczywistym aktywne oprogramowanie ransomware, które szyfruje pliki wewnątrz piaskownicy; nie jest to gwarancja zapobiegania szyfrowaniu na produkcyjnych urządzeniach końcowych. Analiza monitoruje również techniki, za pomocą których plik próbuje uniknąć wykrycia podczas analizy w piaskownicy. Dla administratorów termin marketingowy jest mniej ważny niż pytanie: Co plik rzeczywiście próbował zrobić?

5. Decyzja i raport

Analiza kończy się oceną, na przykład: bezpieczny, prawdopodobnie bezpieczny, podejrzany, złośliwy lub PUA. Zależnie od wyniku plik jest dopuszczany, blokowany lub pozostaje widoczny ze statusem błędu albo analizy. Raport pomaga uzasadnić dopuszczenie, blokadę lub dalsze działania w odpowiedzi na incydent.

Poprawnie odczytaj raporty

Przegląd znajduje się w Sophos Firewall w Monitor & analyze > Zero-day protection > Downloads and attachments. Widać tam dane dotyczące podejrzanych pobieranych plików i załączników e-mail, status analizy, szczegóły raportu i opcje dopuszczania plików.

Na liście nie należy wyszukiwać wyłącznie nazwy pliku. Pomocne są filtry według okresu, użytkownika, źródła, statusu i komponentu. Zdarzenia Zero-Day Protection pojawiają się w raportach i Syslog jako osobny Log Type. W zależności od ścieżki komponentem jest Web lub Mail, a subtype może mieć wartość Allowed, Denied albo Pending. Ułatwia to korelację z SIEM lub Central Reporting.

Po najechaniu kursorem myszy na Detection Status danego wpisu pojawia się skrócony widok wyników dotyczących zagrożeń na poszczególnych etapach analizy. View report otwiera pełny raport. Alternatywnie można wybrać dla danego wpisu More options > Show report, aby otworzyć szczegóły analizy, zamiast czytać tylko wpis na liście. Zwłaszcza w przypadku Pending, statusu błędu lub późniejszego dopuszczenia pliku szczegółowy raport stanowi podstawę decyzji.

Aby zawęzić listę, wybierz Filter i określ odpowiednie kryteria.

Raport może zawierać między innymi następujące obszary:

• Download details: źródło, czas i użytkownik, którego dotyczy zdarzenie.
• Analysis summary: ogólna ocena i przegląd; klasyfikacje to clean, likely clean, suspicious, malicious lub Potentially Unwanted Application (PUA).
• Machine learning analysis: ogólny wynik uczenia maszynowego oraz analiza poszczególnych cech pliku, ich kombinacji i struktury pliku.
• Reputation analysis: ocena na podstawie globalnej dystrybucji.
• Detonation results: zachowanie pliku podczas wykonywania w piaskownicy, zrzuty ekranu uruchomionego pliku, szczegóły dotyczące używanych procesów i zarejestrowane działania w rejestrze. Te artefakty pomagają dokładnie prześledzić podejrzane zachowanie.
• Full file analysis: podpisy, certyfikaty, zasoby, importy i eksporty.
• VirusTotal report: dodatkowe informacje z zewnętrznych mechanizmów detekcji. Dane pokazują, ile raportów dotyczących danego zagrożenia znajduje się w bazie danych VirusTotal oraz ile produktów do wykrywania złośliwego oprogramowania wykrywa dany plik. Te dwie liczby opisują różne rzeczy: istniejące raporty i produkty wykrywające plik.

Przy ocenie podejrzanego pliku nie ograniczaj się do statusu końcowego. Ważne są również źródło, użytkownik, nazwa pliku, docelowy URL, zachowanie procesu, aktywność sieciowa i to, czy inne systemy zaobserwowały pobieranie tego samego pliku. Jeśli okaże się, że doszło do incydentu, skoreluj raport z logami punktów końcowych, poczty, ruchu webowego i zapory.

Proces dotyczący podejrzanego raportu

Wykrycie zagrożenia przez Zero-Day Protection należy traktować jako sprawę bezpieczeństwa, a nie zwykłą blokadę filtra webowego.

Proces praktyczny:

1. Otwórz raport i zapisz status, nazwę pliku, źródło, użytkownika, czas oraz ocenę.
2. Sprawdź, czy było to pobieranie z Internetu, załącznik do wiadomości e-mail lub inna ścieżka.
3. Porównaj logi ruchu webowego, poczty i zapory sieciowej z tego samego okresu.
4. Jeśli występuje, sprawdź zdarzenia punktu końcowego lub EDR dla klienta, którego dotyczy problem.
5. Udokumentuj hash pliku, nadawcę, adres URL lub domenę.
6. Zdecyduj, czy jest to fałszywy alarm, zablokowany atak, nierozwiązane podejrzenie czy incydent.
7. Rozważ dopuszczenie pliku tylko przy uzasadnionej potrzebie biznesowej.
8. Udokumentuj decyzję i w razie potrzeby określ działania dotyczące URL Group, polityki pocztowej, Threat Feed lub ochrony punktów końcowych.

Kiedy wielu użytkowników widzi ten sam plik lub domenę, pojedyncza decyzja często nie wystarcza. Następnie należy sprawdzić, czy konieczne jest dostosowanie zasad filtrowania WWW, reguł dotyczących poczty, wpis w kanale zagrożeń lub reakcja na incydent.

Dopuszczanie plików

Sophos Firewall pozwala dopuścić tylko pliki lub wiadomości e-mail, które są nadal analizowane albo zostały zwrócone ze statusem błędu. Może to być konieczne, gdy zablokowany jest proces biznesowy, ale nie powinno być rutynowym obejściem problemu.

Przed dopuszczeniem pliku sprawdź przynajmniej:

• Czy źródło jest godne zaufania i oczekiwane?
• Czy skonsultowano się z użytkownikiem lub działem w sprawie kontekstu?
• Czy istnieje skrót, nazwa pliku lub nadawca, który można dodatkowo sprawdzić?
• Czy istnieją dzienniki punktów końcowych lub poczty dla tego samego procesu?
• Czy plik można sprawdzić w izolowanym środowisku lub za pomocą osobnego narzędzia do analizy?
• Czy udokumentowano, kto zdecydował o dopuszczeniu pliku i z jakiego powodu?

⚠️ Dopuszczenie pliku przed zakończeniem analizy może spowodować pobranie lub dostarczenie złośliwej zawartości. W środowisku produkcyjnym decyzję trzeba udokumentować i nie traktować jej jako rutynowej czynności wsparcia pierwszej linii.

Jeśli po tych kontrolach dopuszczenie pliku zostało wyraźnie zatwierdzone, wybierz Release now przy odpowiednim wpisie. Użytkownicy mogą pobrać plik natychmiast po tej czynności; kliknięcie nie czeka na wynik analizy.

Po dopuszczeniu pliku analiza trwa dalej. To ważne dla obsługi: dopuszczony plik może później zostać oceniony jako podejrzany lub szkodliwy. Dlatego trzeba kontrolować takie decyzje i przy późniejszej negatywnej ocenie ponownie skorelować logi punktów końcowych, poczty, ruchu webowego i zapory.

W przypadku pojedynczych plików dodatkową pomoc można znaleźć w poście na blogu Avanet SophosLabs Intelix - Narzędzie do wykrywania zagrożeń cybernetycznych. Nie zastępuje to jednak oceny w konkretnym kontekście sieci i użytkownika.

Centrum danych i ochrona danych

Możesz określić centrum danych do analizy w Monitor & analyze > Zero-day protection > Protection settings. Domyślnie Sophos Firewall wybiera najbliższe centrum danych. Alternatywnie możesz świadomie wybrać centrum danych. Pliki są przesyłane do chmury Sophos przez bezpieczne połączenie SSL.

To ustawienie jest ważne dla prywatności, lokalizacji danych i wymagań wewnętrznych. Zmiana centrum danych może spowodować utratę analizy plików będących w trakcie przetwarzania. Przed zmianą zapisz otwarte wpisy i wybierz spokojne okno serwisowe, a po zmianie sprawdź łączność i nowe analizy. Sam wybór regionu nie rozstrzyga wszystkich kwestii prywatności: trzeba też ocenić retencję, umowy dotyczące przetwarzania i zawartość plików, którą wolno przesyłać.

Używaj wyjątków ostrożnie

W sekcji Monitor & analyze > Zero-day protection > Protection settings można wykluczyć typy plików z analizy ochrony zero-day. W tym celu w sekcji Exclude file types > Add new item należy wybrać żądany typ pliku z listy. Wykrywanie typu pliku opiera się na rozszerzeniu pliku i nagłówku MIME. Jeśli archiwum zawiera plik wykluczonego typu, całe archiwum jest automatycznie wykluczane z analizy ochrony zero-day, nawet jeśli zawiera również pliki typów, które nie zostały wykluczone. Wyjątek dotyczący typu pliku obejmuje zatem także archiwa o mieszanej zawartości; ich pozostała zawartość nie jest zabezpieczana przez tę analizę ochrony zero-day. To ustawienie należy odróżnić od wyjątku dotyczącego ruchu internetowego opisanego poniżej.

Wyjątki są technicznie praktyczne, ale związane z bezpieczeństwem. Każdy wyjątek powinien mieć jasne uzasadnienie:

• Jaka aplikacja lub proces tworzy pliki?
• Dlaczego analiza jest zakłócająca lub nieprzydatna?
• Czy istnieje węższy wyjątek niż cały typ pliku?
• Czy wyjątek jest regularnie sprawdzany?
• Czy wiadomo, jaki efekt ochronny zostaje w rezultacie utracony?

Należy unikać szerokich wyjątków dla archiwów, skryptów, plików pakietu Office i plików wykonywalnych. Kiedy Zero-Day Protection zakłóca prawidłowy proces, pierwszym krokiem jest często sprawdzenie polityki, ścieżki źródłowej, grupy użytkowników, której dotyczy problem, lub alternatywnego wdrożenia.

Aby dodać wyjątek dla ruchu webowego, przejdź do Web > Exceptions > Add an exception. Kryteria różnych typów są łączone operatorem AND, a wiele wartości tego samego typu operatorem OR. Dla HTTPS wzorce ścieżki URL działają tylko po odszyfrowaniu ruchu; bez odszyfrowania użyj dopasowania nazwy hosta. Pominięcie Malware and content scanning automatycznie pomija Zero-Day Protection. Gdy pomijana jest tylko Zero-day protection, raporty analizy pasujących plików nie są generowane, nawet jeśli skanowanie antymalware wykryje zagrożenie. Jest to trwała zmiana stanu: ogranicz wyjątek do nazwy hosta lub wzorca URL, wybierz Save, włącz przełącznik oraz zapisz właściciela i termin wygaśnięcia. Aby wycofać zmianę, wyłącz lub usuń wyjątek i ponownie sprawdź tę samą ścieżkę danych.

XML-API: bezpieczna zmiana ustawień ochrony

W automatyzacji obiekt XML ZeroDayProtectionSettings odpowiada ustawieniom w Monitor & analyze > Zero-day protection > Protection settings: DataCenterLocation określa centrum danych używane do analizy, a ExcludeFileTypes — wykluczone typy plików, nie wyjątki Web Exceptions. Dokumentacja referencyjna XML dla SFOS 22/23 opisuje oba pola jako opcjonalne wartości skalarne typu STRING i pozostawia kolumny wartości domyślnych puste. Nie oznacza to ani udokumentowanej wartości domyślnej XML, ani tego, że pominięcie pola lub podanie pustej wartości pozostawia istniejące ustawienia bez zmian bądź je usuwa. Przed zmianą odczytaj zapisany stan i zachowaj dotychczasowe wartości, aby móc przywrócić tylko zmienione ustawienia; sprawdź wartości przesyłane w żądaniu na podstawie dokumentacji referencyjnej zainstalowanej wersji.

Kody statusu tej operacji aktualizacji znajdują się w wyniku XML i nie są tożsame ze statusem transportowym HTTP. Dokumentacja referencyjna przypisuje im następujące identyfikatory komunikatów, a nie pełną treść komunikatów:

• 200: Language.SandboxSettingsUpdateSuccess (aktualizacja powiodła się).
• 500: Language.SandboxSettingsUpdateFailed (aktualizacja nie powiodła się).
• 502: Language.SandboxSettingsFileTypesExceeded (przekroczono limit typów plików), a nie ogólne „nazwa już istnieje”. Ta dokumentacja referencyjna nie podaje liczbowej wartości maksymalnej.

W przypadku 500, 502 lub niejednoznacznej odpowiedzi nie uruchamiaj automatycznych ponowień żądania zapisu. Najpierw ponownie odczytaj faktycznie zapisany stan i porównaj go z zachowanymi oraz zamierzonymi wartościami. W przypadku 502 sprawdź żądane wykluczenia typów plików i wybór dozwolony dla zainstalowanej wersji, zamiast zmieniać nazwy obiektów lub zgadywać limit. Również po 200 sprawdź centrum danych i wykluczenia w Protection settings oraz zweryfikuj łączność i autoryzowane pobranie lub załącznik testowy odpowiedniego, niewykluczonego typu pliku na podstawie logów i Downloads and attachments. Jeśli konieczne jest wycofanie zmiany, przywróć wcześniej zachowane wartości tylko w zmienionych ustawieniach i powtórz te same kontrole, zamiast całkowicie wyłączać ochronę. Przy zmianie centrum danych opisane powyżej okno serwisowe i ryzyko utraty trwających analiz dotyczą również wycofywania zmiany; nie przywróci ono analiz, które zostały już utracone.

Bezpieczne wycofywanie zmiany

Wycofanie powinno przywrócić poprzednią ścieżkę danych, a nie pochopnie wyłączyć wszystkie warstwy ochrony:

1. Zapisz poprzednie wartości reguły, policy, silnika, limitu rozmiaru, data center i wyjątku.
2. W przypadku problemów z internetem najpierw wyłącz nowy, wąski wyjątek lub przywróć kolejność reguł. Cofnij Scan HTTP and decrypted HTTPS i TLS Inspection tylko wtedy, gdy właśnie ta zmiana spowodowała problem i zaakceptowano niższy poziom ochrony.
3. W przypadku problemów z pocztą przywróć poprzednie wartości zmienionej SMTP Route and Scan Policy; nie zwalniaj w ciemno oczekujących wiadomości. Release now natychmiast udostępnia niesprawdzony plik, chociaż analiza trwa dalej.
4. Po wycofaniu sprawdź dopasowanie reguły, log web lub mail oraz autoryzowane pobranie lub załącznik testowy. Jeśli *.sandbox.sophos.com:443 nadal jest nieosiągalny albo nowe obiekty pozostają w stanie Pending, wycofanie nie powiodło się.

Regularnie sprawdzaj dopuszczone pliki i wyjątki

Zero-Day Protection nie jest funkcją, którą wystarczy raz włączyć. Wartość operacyjna wynika z regularnego przeglądu raportów, dopuszczeń plików i wyjątków. Bez tego ryzykowne decyzje mogą obowiązywać długo po ustaniu pierwotnej potrzeby biznesowej.

Poniższe punkty są szczególnie pomocne w przypadku przeglądu:

• Dopuszczony plik: Sprawdź powód dopuszczenia, użytkownika lub dział, którego dotyczy decyzja, hash, źródło pliku, termin wygaśnięcia i późniejszą ocenę.
• Wyjątek typu pliku: Sprawdź aplikację, właściciela, datę przeglądu, węższy wyjątek jako alternatywę oraz ryzyko dla archiwów, skryptów lub plików pakietu Office.
• Status błędu powtarzającego się: Sprawdź łączność Sophos, rozmiar pliku, typ pliku, zasady, centrum danych i ewentualną sprawę wsparcia.
• Wiele trafień z jednego źródła: Sprawdź politykę internetową lub pocztową, adres URL, nadawcę, grupę użytkowników, kanał zagrożeń, grupę adresów URL lub listę zablokowanych.

Wyjątek nie jest zwykłym porządkowaniem reguł zapory. Taki wpis powinien mieć właściciela, uzasadnienie i datę przeglądu. Jeśli pliki są regularnie dopuszczane, porównaj też logi punktów końcowych, poczty, ruchu webowego i zapory, aby pojedynczy wyjątek nie stał się niezauważonym, trwałym obejściem ochrony.

Rozwiązywanie problemów

Nie widać żadnych wpisów

Jeśli w widoku Downloads and attachments nie ma wpisów, sprawdź najpierw, czy ruch przechodzi przez odpowiednią regułę zapory i profil zabezpieczeń. Przy pobieraniu przez WWW szczególnie ważne są Scan HTTP and decrypted HTTPS oraz Use zero-day protection w regule zapory. Dla HTTPS brak TLS Inspection może wyjaśniać mniejszą widoczność treści. Następnie sprawdź ustawienia Web Protection, Mail Protection, skanowania antymalware i Zero-Day Protection.

Dodatkowo powinieneś sprawdzić, czy wyjątek sieciowy wyklucza odpowiedni ruch z deszyfrowania, skanowania złośliwego oprogramowania i treści lub Zero-Day Protection. Jeśli wystąpi wyjątek, konfiguracja ochrony typu zero-day może wyglądać poprawnie, ale nadal nie generować wpisu.

Nie zakładaj, że test plikiem znanym już lokalnie lub globalnie wywoła nową analizę. Jeśli mechanizm reputacji lub inny moduł ochrony jednoznacznie ocenił plik, pełna nowa analiza w piaskownicy nie musi być widoczna. W testach odbiorczych okno czasowe, klient testowy, Rule ID, URL, nazwa pliku i hash są ważniejsze niż pojedyncze pobranie przez przeglądarkę bez korelacji logów.

Pobieranie trwa zbyt długo

Analiza w piaskownicy może zająć trochę czasu. Jeśli użytkownicy regularnie czekają przez długi czas, należy sprawdzić, czy analizowanych jest wiele dużych lub często zmieniających się plików, czy procesy, których to dotyczy, są uzasadnione i czy uzasadniony jest wąski wyjątek techniczny. Całkowita dezaktywacja jest zwykle złym pierwszym krokiem.

Wiele fałszywych alarmów

W przypadku powtarzających się fałszywych alarmów sprawdź szczegóły raportu, źródło pliku, skróty, reputację, dotkniętych użytkowników i aplikację. Tylko wtedy, gdy wzorzec jest zrozumiały, należy ustawić wyjątki. W przypadku list bloków dynamicznych i operacji IOC tematem pokrewnym jest Sophos Firewall Bezpieczne konfigurowanie i obsługa źródeł zagrożeń.

Poproszono o dopuszczenie pliku

Dopuszczenie pliku jest decyzją dotyczącą bezpieczeństwa. Samo zgłoszenie „pilne” przez dział biznesowy nie wystarczy. Potrzebne są źródło, cel, plik, użytkownik, ocena ryzyka i udokumentowana decyzja.

Analiza pozostaje w stanie Pending lub kończy się stanem Error

Najpierw sprawdź System services > Log settings: Log Type Zero-day protection musi być wybrany dla Local reporting, odpowiedniego serwera syslog lub Central reporting. Następnie sprawdź DNS, routing i wychodzący TCP 443 do *.sandbox.sophos.com; ogólny wyjątek TLS dla ruchu użytkowników nie rozwiązuje problemu łączności usługi. Dla poczty Email > Mail spool pokazuje osobno oczekujące wiadomości. Jeśli błąd powtarza się dla różnych dozwolonych typów plików, zapisz znaczniki czasu, hash, komponent, Policy/Rule ID oraz status raportu dla Sophos Support.

Sprawdzanie Release Notes i Known Issues dla SFOS 22

Skorzystaj z przewodnika aktualizacji firmware Sophos Firewall, aby sprawdzić Release Notes i Known Issues. Migawka z 8 września 2026 wskazuje 22.0 MR2 Build 546 jako wersję aktualną w tamtym dniu. SFOS 22 wprowadza nowy silnik antymalware Sophos z globalnymi zapytaniami o reputację i detekcjami AI/ML. Zmiana silnika nie zastępuje osobnej subskrypcji Zero-Day ani przełączników polityk.

Przed aktualizacją lub szerokim wdrożeniem postępuj zgodnie z tym przewodnikiem i ponownie wyszukaj w Release Notes oraz Known Issues List Sophos Firewall, Zero-day, sandbox, email i wersję docelową, zamiast polegać na wcześniejszym wyniku. MR2 naprawia między innymi błąd mail spool; jeśli analizujesz pocztę, sprawdź również poprawki Email, a nie tylko strony Zero-Day.

Operacyjna lista kontrolna

• Sprawdzono licencję Zero-Day Protection i status modułu.
• Sprawdzono polityki webowe i pocztowe pod kątem skanowania antymalware i kontroli bezpieczeństwa.
• Sprawdzono w regułach zapory sieciowej Scan HTTP and decrypted HTTPS i Use zero-day protection.
• Zaplanowano TLS Inspection lub odszyfrowywanie przez proxy webowe tam, gdzie trzeba kontrolować zaszyfrowane pobieranie przez WWW.
• Sprawdzono wyjątki internetowe pod kątem niezamierzonych obejść typu zero-day.
• Centrum danych wybrane celowo do analizy lub udokumentowane standardowo.
• Brak ogólnych wyjątków dotyczących typów plików bez właściciela i daty przeglądu.
• Regularnie sprawdzany jest widok plików do pobrania i załączników.
• Zdefiniowano proces dopuszczania wyłącznie plików, które są nadal analizowane lub zostały zwrócone ze statusem błędu.
• Raporty skorelowane z logami punktów końcowych, poczty, ruchu webowego i zapory sieciowej.
• Uwzględniono Syslog, Central Reporting lub SIEM w celu dłuższego zachowania śladu zdarzeń.

Często zadawane pytania