Sophos Firewall Zero-Day Protection rozumie i obsługuje

Sophos Firewall Zero-Day Protection analizuje podejrzane pliki do pobrania i załączniki do wiadomości e-mail za pośrednictwem SophosLabs Intelix. Zapora wysyła odpowiednie, ryzykowne pliki do usługi w chmurze, gdzie współdziałają uczenie maszynowe, reputacja, analiza piaskownicy i badanie zagrożeń. Celem jest nie tylko blokowanie znanego złośliwego oprogramowania, ale także lepsza klasyfikacja nowych lub nietypowych plików.

Ważne dla administratorów: Zero-Day Protection nie zastępuje czystych reguł, ochrony sieci, Mail Protection, TLS Inspection, rejestrowania ani ochrony punktów końcowych. Funkcja stanowi dodatkowy moduł zabezpieczający i analityczny. Jest to szczególnie przydatne, gdy pliki trafiają do sieci poprzez pliki do pobrania z Internetu lub załączniki do wiadomości e-mail, a klasyczne podpisy nie dają jeszcze jednoznacznej decyzji.

Który element zabezpieczający pasuje?

Zero-Day Protection odpowiada przede wszystkim na pytanie, w jaki sposób analizowane są podejrzane pliki. W zależności od problemu lepiej zacząć od dostępu do sieci, przepływu poczty, ataków sieciowych, ruchu szyfrowanego lub oceny:

• Sprawdź podejrzane pliki do pobrania lub załączniki do wiadomości e-mail za pomocą Intelix: Ten artykuł.
• Skonfiguruj i przetestuj klasyczne skanowanie malware w ruchu webowym za pomocą Single lub Dual Engine: Konfigurowanie i testowanie skanowania malware w Sophos Firewall.
• Zaplanuj kategorie internetowe, grupy adresów URL, filtr SafeSearch lub reguły pobierania: Sophos Firewall Skonfiguruj ochronę sieci za pomocą zasad sieciowych.
• Uwidocznij ruch HTTPS i odpowiednio zaplanuj wyjątki: Sophos Firewall TLS Inspection wprowadź poprawnie.
• Rozprowadź certyfikat CA do skanowania HTTPS wśród klientów: Sophos Firewall Zainstaluj certyfikat CA do skanowania HTTPS.
• Sprawdź ruch e-mail w trybie MTA i obsługuj Mail Protection: Sophos Firewall skonfiguruj Mail Protection w trybie MTA.
• Blokuj exploity i wzorce ataków w ruchu sieciowym: Skonfiguruj Sophos Firewall IPS i przetestuj go bezpiecznie.
• Obsługuj złośliwe adresy IP, domeny lub adresy URL za pomocą list IoC: Sophos Firewall Bezpiecznie konfiguruj i obsługuj źródła zagrożeń.
• Klasyfikuj ocenę NDR, aktywną reakcję na zagrożenia, XDR, MDR lub SIEM: Sophos Firewall Obsługuj NDR i aktywną reakcję na zagrożenia.
• Opis nieoczekiwanych upuszczeń lub blokad: Sophos Firewall analizuj upuszczone pakiety.

To oddzielenie zapobiega fałszywym oczekiwaniom: Zero-Day Protection ocenia pliki, ale nie zastępuje zasad sieciowych, żadnego IPS, żadnego planowania przekazywania poczty i żadnej centralnej oceny dziennika. Najlepsza ochrona występuje tylko wtedy, gdy warstwy plików, sieci, poczty, sieci i rejestrowania pasują do siebie.

Gdzie Zero-Day Protection pomaga w praktyce

Zero-Day Protection jest szczególnie istotny w następujących scenariuszach:

• Użytkownicy pobierają pliki wykonywalne, archiwa lub dokumenty z Internetu.
• Załączniki wiadomości e-mail należy dokładniej sprawdzić przed dostarczeniem lub udostępnieniem.
• Plik nie jest jeszcze całkowicie znany, ale wydaje się podejrzany.
• Pobieranie powinno być nie tylko skanowane lokalnie, ale także monitorowane w piaskownicy.
• Incydent związany z bezpieczeństwem należy lepiej ocenić na podstawie szczegółowego raportu.

Ta funkcja dobrze pasuje do wielopoziomowego modelu bezpieczeństwa: Reguły zapory ogniowej ograniczają dozwolony ruch, TLS Inspection umożliwiają lepszą kontrolę zaszyfrowanego ruchu sieciowego, Ochrona sieci i Mail Protection oceniają zawartość, a Zero-Day Protection uzupełnia te kontrole analizą w chmurze i raportami piaskownicy.

Wymagania i ograniczenia w SFOS 22

Zero-Day Protection wymaga osobnej subskrypcji, zawartej w Xstream Protection; sama Base License lub Web Protection nie wystarczy. W Administration > Licensing status musi mieć wartość Subscribed albo Evaluating (30-dniowa ewaluacja). Obejmuje Machine Learning, Sandboxing File Analysis i Threat Intelligence. Usługa nie jest obsługiwana we wdrożeniu air gap. Zapora połączona z Internetem automatycznie synchronizuje licencje co 24 godziny. Jeśli niedawno zmieniona subskrypcja Zero-Day nadal wygląda na nieaktualną, zaczekaj na ten cykl lub uruchom synchronizację licencji przed diagnozowaniem ścieżki policy.

Aktywne muszą być również moduły ochrony i policies odpowiedniej ścieżki danych. Zwykła reguła Allow bez właściwych profili zabezpieczeń nie zapewnia tej samej ochrony. W przypadku pobierania z internetu opcja Single engine wymaga Sophos jako podstawowego silnika antywirusowego; alternatywą jest Dual engine. Ten sam wymóg dotyczy SMTP Route and Scan Policy po wybraniu Single antivirus. Ustawienia znajdują się w Web > General settings oraz we właściwej policy SMTP w Email > Policies and exceptions.

Ważne ograniczenia w działaniu:

• Zapora nie wysyła do firmy Intelix wszystkich typów plików, lecz głównie ryzykowne typy plików.
• Wiele niezagrażających typów plików, na przykład typowe formaty obrazów, nie jest wysyłanych do detonacji.
• Wyjątki mogą wykluczyć pliki z analizy i w ten sposób zmniejszyć efekt ochrony.
• Analityka w chmurze wymaga połączenia z usługami Sophos i może opóźniać pobieranie.
• Zapora wymaga wychodzącego TCP 443 do *.sandbox.sophos.com; TLS interception ani upstream proxy nie mogą przerywać tego połączenia.
• Udostępnienie przed zakończeniem analizy może ujawnić złośliwą zawartość.
• Zero-Day Protection nie zastępuje wykrywania i reagowania w punktach końcowych, żadnego MDR ani czystej reakcji na incydenty.

Jeśli zapora sieciowa niewiele widzi, ponieważ HTTPS nie zostało odszyfrowane lub reguły działają bez profili zabezpieczeń, Zero-Day Protection również pozostaje ograniczony. Artykuł Sophos Firewall Logi: Która funkcja zapisuje do jakiego logu? pomoże Ci w przypisaniu logów i modułów.

Włącz w regułach zapory

W przypadku pobierania z Internetu nie wystarczy, że Zero-Day Protection ma ogólną licencję. Odpowiednia reguła zapory sieciowej musi faktycznie kierować ruch sieciowy i aktywować niezbędne opcje skanowania sieci.

Typowa ścieżka to:

Rules and policies > Firewall rules

W regule internetowej klienta, której dotyczy problem, powinieneś sprawdzić:

1. Source zone, Source network, Destination zone i Services odpowiadają ruchowi testowemu.
2. Log firewall traffic jest aktywny.
3. W obszarze Web filtering wybrano odpowiednią Web Policy.
4. Scan HTTP and decrypted HTTPS jest aktywny.
5. Use zero-day protection jest aktywny.
6. W przypadku pobrań HTTPS TLS Inspection jest zaplanowane i obowiązuje dla ruchu testowego.
7. QUIC/HTTP/3 nie pomija oczekiwanej ścieżki audytu HTTPS.
8. Wyjątki internetowe nie pomijają w sposób niezamierzony skanowania złośliwego oprogramowania, sprawdzania zasad ani analizy ochrony typu zero-day.

Nie gwarantuje to, że każde pobranie będzie widoczne w widoku ochrony typu zero-day. Znane pliki, niekrytyczne typy plików lub pliki do pobrania poza sprawdzoną ścieżką można wcześniej ocenić inaczej. Aby uzyskać akceptację, należy zatem nie tylko sprawdzić, czy pole wyboru jest aktywne, ale także czy konkretne pobranie można prześledzić w Log Viewer, dzienniku sieciowym, dzienniku kontroli SSL/TLS oraz w Downloads and attachments.

Ważne: Scan HTTP and decrypted HTTPS skanuje HTTP i już odszyfrowany ruch HTTPS. Opcja nie włącza automatycznie deszyfrowania HTTPS. W konfiguracjach DPI wymaga to odpowiednich Rules and policies > SSL/TLS inspection rules; w ścieżce Web Proxy istotne jest Decrypt HTTPS during web proxy filtering. Bez tej widoczności Zero-Day Protection widzi mniej zaszyfrowanych plików, mimo że reguła zapory wygląda formalnie poprawnie.

Gdzie Zero-Day Protection ma zastosowanie

Zero-Day Protection nie należy rozpatrywać oddzielnie. Funkcja staje się istotna tylko wtedy, gdy plik faktycznie przebiega przez odpowiednią ścieżkę ochrony.

Typowe ścieżki:

• Pobieranie z Internetu: Wcześniej musi zacząć obowiązywać odpowiednia reguła zapory sieciowej, ochrona sieci, Scan HTTP and decrypted HTTPS, Use zero-day protection i HTTPS, często TLS Inspection. Możesz sprawdzić dziennik sieciowy, dziennik inspekcji SSL/TLS oraz widok plików do pobrania i załączników.
• Załącznik do wiadomości e-mail: Przepływ poczty musi przejść przez Mail Protection, posiadać odpowiednie zasady dotyczące załączników i sprawdzić złośliwe oprogramowanie. Możesz kontrolować dzienniki poczty, kwarantannę oraz widok pobranych plików i załączników.
• Pobieranie FTP: Scan FTP for malware włącza skanowanie antywirusowe, ale nie analizę Zero-Day w chmurze. W SFOS 22 opcja Use zero-day protection jest wyraźnie ograniczona do pobierania HTTP i HTTPS.
• Status wydania lub błędu: Raport nie został jeszcze ukończony lub analiza nie powiodła się. Następnie liczy się proces wydania, kontekst użytkownika, skrót i inne logi.
• Brak widoczności: Ruch nie przechodzi przez ścieżkę ochrony lub typ pliku nie ma znaczenia. Następnie najpierw sprawdź regułę zapory, politykę, TLS, przepływ poczty i typ pliku.

Dlatego w przypadku pobierania z Internetu ważne jest przede wszystkim, czy w regule zapory jest aktywna prawidłowa Zasada sieciowa. W przypadku załączników do wiadomości e-mail przepływ poczty naprawdę musi przebiegać przez Mail Protection w MTA Mode lub porównywalną sprawdzoną ścieżkę. Jeśli tylko normalna reguła Allow zezwala na ruch, nie powinieneś oczekiwać pełnej analizy plików od Zero-Day Protection.

Zachowaj szczególną ostrożność w przypadku wyjątków internetowych. Wyjątek może spowodować pominięcie odszyfrowywania, skanowania złośliwego oprogramowania i zawartości, Zero-Day Protection lub sprawdzania zasad pod kątem pasującego ruchu w trybie DPI i proxy. Wyjątki należy zatem sformułować wężniej niż rzeczywista zasada ochrony i porównać z Log Viewer, dziennikiem inspekcji SSL/TLS i rzeczywistym pobraniem.

Włączanie dla załączników wiadomości e-mail

W trybie MTA przejdź do Email > Policies and exceptions > SMTP route and scan. Edytuj policy, która rzeczywiście pasuje do nadawcy, odbiorcy i chronionej domeny, a następnie otwórz Malware protection:

1. Włącz Malware protection.
2. W sekcji Scanning wybierz Single antivirus z Sophos jako silnikiem podstawowym albo Dual antivirus. W XGS 87/87w i 88/88w dostępny jest tylko silnik podstawowy.
3. Włącz Use zero-day protection.
4. Ustaw maksymalny rozmiar pliku w odpowiednim polu. Jest to limit policy wybrany przez administratora, a nie uniwersalna wartość produktu: większe załączniki nie są wysyłane do Zero-Day Protection.
5. Zapisz policy i sprawdź jej kolejność, aby szersza policy nie została dopasowana jako pierwsza.

Dobierz limit do rzeczywistego profilu poczty, przepustowości i akceptowalnego czasu oczekiwania. Zacznij na przykład od limitu załączników już dozwolonego w organizacji, zamiast kopiować obcą wartość. Następnie sprawdź autoryzowany załącznik testowy według czasu, nadawcy i odbiorcy w Email > Mail logs, Email > Mail spool oraz Monitor & analyze > Zero-day protection > Downloads and attachments. Element spool o stanie Zero-day protection oczekuje na analizę. SFOS ponawia dostarczenie przez trzy dni, a po kolejnych czterech dniach odrzuca wiadomość; odrzucone wiadomości pozostają widoczne w mail logs.

Przebieg analizy

1. Wykrywanie na zaporze ogniowej

Plik przechodzi przez zaporę sieciową po pobraniu lub jako załącznik do wiadomości e-mail. Jeśli polityka, typ pliku i kontekst są zgodne, plik jest oznaczony jako Zero-Day Protection. Znane, wyraźnie sklasyfikowane pliki mogą być wcześniej ocenione przez inne moduły zabezpieczające.

2. Przekazanie do SophosLabs Intelix

Kwalifikujące się pliki są wysyłane do usługi SophosLabs Intelix za pośrednictwem szyfrowanego połączenia. Tam plik jest nie tylko sprawdzany pod kątem znanych wzorców, ale także oceniany na kilku poziomach analizy.

3. Uczenie maszynowe i reputacja

SophosLabs Intelix ocenia cechy, strukturę, globalną reputację i podobieństwo do znanych, dobrych i złych plików. Jest to szczególnie przydatne w przypadku nowych plików, które nie były jeszcze powszechnie widoczne.

4. Analiza piaskownicy

Podczas analizy w piaskownicy plik jest badany w izolowanym środowisku. Ocena łączy analizę dynamiczną i statyczną, głębokie uczenie się, wykrywanie exploitów, CryptoGuard oraz monitorowanie działań związanych z plikami, pamięcią RAM, rejestrem i siecią. CryptoGuard wykrywa przy tym w czasie rzeczywistym aktywne oprogramowanie ransomware, które szyfruje pliki wewnątrz piaskownicy; nie jest to gwarancja zapobiegania szyfrowaniu na produkcyjnych urządzeniach końcowych. Analiza monitoruje również techniki, za pomocą których plik próbuje uniknąć wykrycia podczas analizy w piaskownicy. Dla administratorów termin marketingowy jest mniej ważny niż pytanie: Co plik rzeczywiście próbował zrobić?

5. Decyzja i raport

Na końcu znajduje się ocena, na przykład czysta, prawdopodobnie czysta, podejrzana, złośliwa lub PUA. W zależności od wyniku plik jest zwalniany, blokowany lub pozostaje widoczny z błędem lub stanem analizy. Raport pomaga jasno uzasadnić zwolnienie, blokadę lub dalsze kroki w odpowiedzi na incydent.

Poprawnie odczytaj raporty

Przegląd można znaleźć w Sophos Firewall pod Monitor & analyze > Zero-day protection > Downloads and attachments. Możesz tam zobaczyć dane dotyczące aktywności podejrzanych pobrań i załączników do wiadomości e-mail, status analizy, szczegóły raportu i opcje udostępniania.

Na liście nie należy wyszukiwać wyłącznie nazwy pliku. Pomocne są filtry według okresu, użytkownika, źródła, statusu i komponentu. Zdarzenia Zero-Day Protection pojawiają się w raportach i Syslog jako osobny Log Type. W zależności od ścieżki komponentem jest Web lub Mail, a subtype może mieć wartość Allowed, Denied albo Pending. Ułatwia to korelację z SIEM lub Central Reporting.

Po najechaniu kursorem myszy na Detection Status danego wpisu pojawia się skrócony widok wyników dotyczących zagrożeń na poszczególnych etapach analizy. View report otwiera pełny raport. Alternatywnie można wybrać dla danego wpisu More options > Show report, aby otworzyć szczegóły analizy, zamiast czytać tylko wpis na liście. Zwłaszcza w przypadku Pending, statusu błędu lub późniejszego dopuszczenia pliku szczegółowy raport stanowi podstawę decyzji.

Raport może zawierać między innymi następujące obszary:

• Download details: źródło, czas i użytkownik, którego dotyczy zdarzenie.
• Analysis summary: ogólna ocena pliku.
• Machine learning analysis: cechy, struktura i ocena ML.
• Reputation analysis: ocena na podstawie globalnej dystrybucji.
• Detonation results: zachowanie pliku podczas wykonywania w piaskownicy, zrzuty ekranu uruchomionego pliku, szczegóły dotyczące używanych procesów i zarejestrowane działania w rejestrze. Te artefakty pomagają dokładnie prześledzić podejrzane zachowanie.
• Full file analysis: podpisy, certyfikaty, zasoby, importy i eksporty.
• VirusTotal report: dodatkowe informacje z zewnętrznych mechanizmów detekcji. Dane pokazują, ile raportów dotyczących danego zagrożenia znajduje się w bazie danych VirusTotal oraz ile produktów do wykrywania złośliwego oprogramowania wykrywa dany plik. Te dwie liczby opisują różne rzeczy: istniejące raporty i produkty wykrywające plik.

Jeśli chodzi o podejrzany plik, nie powinieneś patrzeć tylko na jego ostateczny status. Istotne są również źródło, użytkownik, nazwa pliku, docelowy adres URL, zachowanie procesu, aktywność sieciowa i to, czy inne systemy widziały ten sam plik do pobrania. Jeśli doprowadzi to do zdarzenia, raport należy połączyć z dziennikami punktów końcowych, poczty, sieci i zapory sieciowej.

Proces dotyczący podejrzanego raportu

Trafienie w ochronę typu zero-day należy traktować jak mały przypadek bezpieczeństwa, a nie jak zwykły blok filtra sieciowego.

Proces praktyczny:

1. Otworzyć raport i zapisać status, nazwę pliku, źródło, użytkownika, czas oraz ocenę.
2. Sprawdź, czy było to pobieranie z Internetu, załącznik do wiadomości e-mail lub inna ścieżka.
3. Porównaj dzienniki sieci, poczty i zapory sieciowej z tego samego okresu.
4. Jeśli występuje, sprawdź zdarzenia punktu końcowego lub EDR dla klienta, którego dotyczy problem.
5. Udokumentować hash pliku, nadawcę, adres URL lub domenę.
6. Zdecyduj, czy jest to fałszywy alarm, zablokowany atak, nierozwiązane podejrzenie czy incydent.
7. Rozważ wydanie tylko wtedy, gdy istnieje zrozumiały powód biznesowy.
8. Udokumentuj decyzję i, jeśli to konieczne, uzyskaj grupę adresów URL, zasady poczty, źródło zagrożeń lub miarę punktu końcowego.

Kiedy wielu użytkowników widzi ten sam plik lub domenę, pojedyncza decyzja często nie wystarcza. Następnie należy sprawdzić, czy konieczne jest dostosowanie zasad sieciowych, reguł dotyczących poczty, wpis w kanale zagrożeń lub reakcja na incydent.

Wydawanie plików

Sophos Firewall pozwala wydać tylko pliki lub wiadomości e-mail, które są nadal analizowane lub zostały zwrócone ze statusem błędu. Takie wydanie może być konieczne w przypadku zablokowania procesu biznesowego. Jednak nie nadaje się jako normalne obejście.

Przed wydaniem powinieneś przynajmniej sprawdzić:

• Czy źródło jest godne zaufania i oczekiwane?
• Czy skonsultowano się z użytkownikiem lub działem w sprawie kontekstu?
• Czy istnieje skrót, nazwa pliku lub nadawca, który można dodatkowo sprawdzić?
• Czy istnieją dzienniki punktów końcowych lub poczty dla tego samego procesu?
• Czy plik można sprawdzić w izolowanym środowisku lub za pomocą osobnego narzędzia do analizy?
• Czy udokumentowano, kto zdecydował się go opublikować i z jakiego powodu?

⚠️ Udostępnienie przed zakończeniem analizy może spowodować pobranie lub dostarczenie złośliwej zawartości. W środowiskach produkcyjnych decyzja ta powinna zostać udokumentowana i nie powinna być przekazywana rutynowym czynnościom pierwszego poziomu.

Analiza jest kontynuowana po wydaniu. Jest to ważne dla operacji: wydany plik może później zostać oceniony jako podejrzany lub szkodliwy. Dlatego należy sprawdzać wydania i, jeśli później pojawi się negatywna ocena, ponownie skorelować dzienniki punktów końcowych, poczty, sieci i zapory sieciowej.

W przypadku pojedynczych plików dodatkową pomoc można znaleźć w poście na blogu Avanet SophosLabs Intelix - Narzędzie do wykrywania zagrożeń cybernetycznych. Nie zastępuje to jednak oceny w konkretnym kontekście sieci i użytkownika.

Centrum danych i ochrona danych

Możesz określić centrum danych do analizy w Monitor & analyze > Zero-day protection > Protection settings. Domyślnie Sophos Firewall wybiera najbliższe centrum danych. Alternatywnie możesz świadomie wybrać centrum danych. Pliki są przesyłane do chmury Sophos przez bezpieczne połączenie SSL.

Zmiana centrum danych może utracić analizę trwających plików. Zapisz otwarte elementy, zmień ustawienie w oknie serwisowym i przetestuj nową analizę. Wybór regionu nie zastępuje oceny retencji, przetwarzania i dozwolonej zawartości.

Używaj wyjątków ostrożnie

W sekcji Monitor & analyze > Zero-day protection > Protection settings można wykluczyć typy plików z analizy ochrony zero-day. W tym celu w sekcji Exclude file types > Add new item należy wybrać żądany typ pliku z listy. Wykrywanie typu pliku opiera się na rozszerzeniu pliku i nagłówku MIME. Jeśli archiwum zawiera plik wykluczonego typu, całe archiwum jest automatycznie wykluczane z analizy ochrony zero-day, nawet jeśli zawiera również pliki typów, które nie zostały wykluczone. Wyjątek dotyczący typu pliku obejmuje zatem także archiwa o mieszanej zawartości; ich pozostała zawartość nie jest zabezpieczana przez tę analizę ochrony zero-day. To ustawienie należy odróżnić od wyjątku dotyczącego ruchu internetowego opisanego poniżej.

Wyjątki są technicznie praktyczne, ale związane z bezpieczeństwem. Każdy wyjątek powinien mieć jasne uzasadnienie:

• Jaka aplikacja lub proces tworzy pliki?
• Dlaczego analiza jest zakłócająca lub nieprzydatna?
• Czy istnieje węższy wyjątek niż cały typ pliku?
• Czy wyjątek jest regularnie sprawdzany?
• Czy wiadomo, jaki efekt ochronny zostaje w rezultacie utracony?

Należy unikać szerokich wyjątków dla archiwów, skryptów, plików pakietu Office i plików wykonywalnych. Kiedy Zero-Day Protection zakłóca prawidłowy proces, pierwszym krokiem jest często sprawdzenie polityki, ścieżki źródłowej, grupy użytkowników, której dotyczy problem, lub alternatywnego wdrożenia.

W Web > Exceptions > Add an exception kryteria różnych typów są łączone operatorem AND, a wiele wartości tego samego typu operatorem OR. Dla HTTPS wzorce ścieżki URL działają tylko po odszyfrowaniu ruchu; bez odszyfrowania użyj więc dopasowania hostname. Pominięcie Malware and content scanning automatycznie pomija Zero-Day Protection; pominięcie tylko Zero-day protection także usuwa odpowiednie raporty. Ogranicz wyjątek do hostname lub wzorca URL i przypisz właściciela oraz termin wygaśnięcia. Jest to trwała zmiana stanu: ogranicz wyjątek do hostname lub wzorca URL, wybierz Save, włącz przełącznik oraz zapisz właściciela i termin wygaśnięcia. Aby wycofać zmianę, wyłącz lub usuń wyjątek i ponownie sprawdź tę samą ścieżkę danych.

Bezpieczne wycofywanie zmiany

Wycofanie powinno przywrócić poprzednią ścieżkę danych, a nie pochopnie wyłączyć wszystkie warstwy ochrony:

1. Zapisz poprzednie wartości reguły, policy, silnika, limitu rozmiaru, data center i wyjątku.
2. W przypadku problemów z internetem najpierw wyłącz nowy, wąski wyjątek lub przywróć kolejność reguł. Cofnij Scan HTTP and decrypted HTTPS i TLS Inspection tylko wtedy, gdy właśnie ta zmiana spowodowała problem i zaakceptowano niższy poziom ochrony.
3. W przypadku problemów z pocztą przywróć poprzednie wartości zmienionej SMTP Route and Scan Policy; nie zwalniaj w ciemno oczekujących wiadomości. Release now natychmiast udostępnia niesprawdzony plik, chociaż analiza trwa dalej.
4. Po wycofaniu sprawdź dopasowanie reguły, log web lub mail oraz autoryzowane pobranie lub załącznik testowy. Jeśli *.sandbox.sophos.com:443 nadal jest nieosiągalny albo nowe obiekty pozostają w stanie Pending, wycofanie nie powiodło się.

Regularnie sprawdzaj wydania i wyjątki

Zero-Day Protection to nie tylko funkcja włączania zasilania. Rzeczywista wartość operacyjna powstaje w wyniku regularnej kontroli raportów, zatwierdzeń i wyjątków. W przeciwnym razie ryzykowne decyzje pozostaną aktywne przez długi czas, mimo że pierwotny powód biznesowy już dawno zniknął.

Poniższe punkty są szczególnie pomocne w przypadku przeglądu:

• Wydany plik: Sprawdź przyczynę wydania, użytkownika lub dział, którego to dotyczy, skrót, źródło pliku, datę wygaśnięcia i późniejszą ocenę.
• Wyjątek typu pliku: Sprawdź aplikację, właściciela, datę przeglądu, bliższą alternatywę i ryzyko dla archiwów, skryptów lub plików pakietu Office, których dotyczy problem.
• Status błędu powtarzającego się: Sprawdź łączność Sophos, rozmiar pliku, typ pliku, zasady, centrum danych i ewentualną sprawę wsparcia.
• Wiele trafień z jednego źródła: Sprawdź politykę internetową lub pocztową, adres URL, nadawcę, grupę użytkowników, kanał zagrożeń, grupę adresów URL lub listę zablokowanych.

Wyjątek nie jest normalnym czyszczeniem reguły zapory. Takie wpisy powinny mieć właściciela, powód i datę recenzji. W przypadku wydań cyklicznych należy także porównać dzienniki punktów końcowych, poczty, sieci i zapory sieciowej, aby pojedynczy wyjątek nie przerodził się w trwałe obejście niezauważone.

Rozwiązywanie problemów

Nie widać żadnych wpisów

Jeśli w polu Downloads and attachments nie pojawiają się żadne wpisy, należy najpierw sprawdzić, czy ruch faktycznie przechodzi przez odpowiednią regułę zapory sieciowej i profil zabezpieczeń. W przypadku pobierania z Internetu szczególnie istotne są Scan HTTP and decrypted HTTPS i Use zero-day protection w regule zapory sieciowej. W przypadku ruchu HTTPS brak TLS Inspection może wyjaśnić, dlaczego zapora widzi mniej treści. Następnie sprawdź ustawienia sieci, poczty, złośliwego oprogramowania i dnia zerowego.

Dodatkowo powinieneś sprawdzić, czy wyjątek sieciowy wyklucza odpowiedni ruch z deszyfrowania, skanowania złośliwego oprogramowania i treści lub Zero-Day Protection. Jeśli wystąpi wyjątek, konfiguracja ochrony typu zero-day może wyglądać poprawnie, ale nadal nie generować wpisu.

Do testowania nie należy tworzyć fałszywych oczekiwań w przypadku plików, które są już znane lokalnie lub globalnie. Jeśli moduły reputacji lub inne moduły ochrony już wyraźnie oceniają plik, nie musi być koniecznie widoczna kompletna nowa analiza w piaskownicy. W przypadku testów akceptacyjnych okno czasowe, klient testowy, Rule ID, adres URL, nazwa pliku i skrót są ważniejsze niż jedno pobranie przeglądarki bez korelacji dziennika.

Pobieranie trwa zbyt długo

Analiza w piaskownicy może zająć trochę czasu. Jeśli użytkownicy regularnie czekają przez długi czas, należy sprawdzić, czy analizowanych jest wiele dużych lub często zmieniających się plików, czy procesy, których to dotyczy, są uzasadnione i czy uzasadniony jest wąski wyjątek techniczny. Całkowita dezaktywacja jest zwykle złym pierwszym krokiem.

Wiele fałszywych alarmów

W przypadku powtarzających się fałszywych alarmów sprawdź szczegóły raportu, źródło pliku, skróty, reputację, dotkniętych użytkowników i aplikację. Tylko wtedy, gdy wzorzec jest zrozumiały, należy ustawić wyjątki. W przypadku list bloków dynamicznych i operacji IOC tematem pokrewnym jest Sophos Firewall Bezpieczne konfigurowanie i obsługa źródeł zagrożeń.

Zażądano wydania

Zwolnienie należy traktować jako decyzję dotyczącą bezpieczeństwa. Jeśli wydział zgłasza jedynie „pilne”, to nie wystarczy. Potrzebujesz źródła, celu, pliku, użytkownika, oceny ryzyka i udokumentowanej decyzji.

Analiza pozostaje w stanie Pending lub kończy się stanem Error

W System services > Log settings wybierz Log Type Zero-day protection dla Local reporting, odpowiedniego serwera syslog lub Central reporting. Przy Pending lub Error sprawdź DNS, routing i TCP 443 do *.sandbox.sophos.com; zbierz timestamp, hash, komponent i Policy/Rule ID dla wsparcia.

Sprawdzanie Release Notes i Known Issues dla SFOS 22

Skorzystaj z przewodnika aktualizacji firmware Sophos Firewall, aby zastosować bieżącą procedurę sprawdzania Release Notes i Known Issues. Migawka z 8 września 2026 wskazuje 22.0 MR2 Build 546 jako aktualną wersję. Nowy silnik antymalware i detekcje AI/ML nie zastępują subskrypcji ani przełączników policy.

Przed wdrożeniem postępuj zgodnie z tym przewodnikiem i ponownie wyszukaj w Release Notes oraz Known Issues List Sophos Firewall, Zero-day, sandbox, email i wersję docelową, zamiast polegać na wcześniejszym wyniku wyszukiwania. MR2 naprawia między innymi błąd mail spool.

Operacyjna lista kontrolna

• Sprawdzono licencję Zero-Day Protection i status modułu.
• Zasady dotyczące sieci i poczty kontrolowane za pomocą skanowania pod kątem złośliwego oprogramowania i zabezpieczeń.
• Sprawdzono w regułach zapory sieciowej Scan HTTP and decrypted HTTPS i Use zero-day protection.
• TLS Inspection lub zaplanowane odszyfrowanie serwera proxy sieci Web, w przypadku którego należy dokładnie sprawdzić zaszyfrowane pliki do pobrania z Internetu.
• Sprawdzono wyjątki internetowe pod kątem niezamierzonych obejść typu zero-day.
• Centrum danych wybrane celowo do analizy lub udokumentowane standardowo.
• Brak ogólnych wyjątków dotyczących typów plików bez właściciela i daty przeglądu.
• Regularnie sprawdzany jest widok plików do pobrania i załączników.
• Zdefiniowano proces zwalniania dla przeanalizowanych lub uszkodzonych plików.
• Raporty skorelowane z dziennikami punktów końcowych, poczty, sieci i zapory sieciowej.
• Uwzględniono Syslog, Central Reporting lub SIEM w celu dłuższego zachowania śladu zdarzeń.

Często zadawane pytania