Compreender e operar Sophos Firewall Zero-Day Protection

Sophos Firewall Zero-Day Protection analisa downloads suspeitos e anexos de e-mail através do SophosLabs Intelix. A firewall envia ficheiros admissíveis e com risco para o serviço na cloud, onde aprendizagem automática, reputação, análise sandbox e investigação de ameaças trabalham em conjunto. O objetivo não é apenas bloquear malware conhecido, mas também classificar melhor ficheiros novos ou invulgares.

Para os administradores, é importante distinguir as funções: Zero-Day Protection não substitui regras bem definidas, Web Protection, Mail Protection, TLS Inspection, registo de eventos ou proteção de endpoints. É uma camada adicional de proteção e análise, particularmente útil quando os ficheiros entram na rede por downloads Web ou anexos de e-mail e as assinaturas tradicionais ainda não permitem uma decisão clara.

Que artigo sobre proteção escolher?

Zero-Day Protection explica sobretudo como são analisados os ficheiros suspeitos. Consoante o problema, poderá ser preferível começar pelo acesso Web, fluxo de correio, ataques de rede, tráfego encriptado ou análise de eventos:

• Verifique downloads suspeitos ou anexos de e-mail com Intelix: Este artigo.
• Configurar e testar a análise clássica de malware no tráfego web com Single ou Dual Engine: Configurar e testar a análise de malware no Sophos Firewall.
• Planear categorias Web, URL Groups, SafeSearch ou regras de download: Configurar Web Protection com políticas Web na Sophos Firewall.
• Tornar o tráfego HTTPS visível e planear bem as exceções: Implementar TLS Inspection corretamente na Sophos Firewall.
• Distribuir certificado CA para verificação HTTPS para clientes: Sophos Firewall Instalar certificado CA para verificação HTTPS.
• Verifique o tráfego de e-mail no modo MTA e opere a proteção de e-mail: Sophos Firewall Configurar proteção de e-mail no modo MTA.
• Bloqueie explorações e padrões de ataque no tráfego de rede: Sophos Firewall Configure o IPS e teste-o com segurança.
• Trate de IPs, domínios ou URLs maliciosos por meio de listas IoC: Sophos Firewall Configure feeds de ameaças e opere-os com segurança.
• Compreender NDR, Active Threat Response, XDR, MDR e a análise SIEM: Operar NDR e Active Threat Response na Sophos Firewall.
• Rastreie quedas ou bloqueios inesperados: Sophos Firewall Analisar pacotes descartados.

Esta distinção evita falsas expectativas: Zero-Day Protection avalia ficheiros, mas não substitui uma política Web, IPS, planeamento de retransmissão de correio ou análise centralizada de logs. A melhor proteção resulta da articulação entre as camadas de ficheiros, Web, correio, rede e registo de eventos.

Onde Zero-Day Protection ajuda na prática

Zero-Day Protection é particularmente relevante nestes cenários:

• Os utilizadores descarregam ficheiros executáveis, arquivos comprimidos ou documentos da Internet.
• Os anexos de e-mail devem ser verificados com mais detalhe antes da entrega ou libertação.
• Um ficheiro ainda não é bem conhecido, mas parece suspeito.
• Um download deve ser analisado não só localmente, mas também numa sandbox.
• Um incidente de segurança deve ser melhor avaliado através de um relatório detalhado.

A função enquadra-se num modelo de segurança por camadas: as regras de firewall limitam o tráfego permitido, TLS Inspection permite inspecionar o tráfego Web encriptado, Web Protection e Mail Protection avaliam o conteúdo, e Zero-Day Protection complementa estes controlos com análise na cloud e relatórios sandbox.

Requisitos e limites no SFOS 22

Zero-Day Protection exige uma subscrição própria, incluída em Xstream Protection; Base License ou Web Protection isoladamente não bastam. Em Administration > Licensing, o estado deve ser Subscribed ou Evaluating (avaliação de 30 dias). Inclui aprendizagem automática, análise de ficheiros em sandbox e informações sobre ameaças. O serviço não é suportado numa instalação isolada da Internet (air gap). Uma firewall ligada à Internet sincroniza automaticamente as licenças a cada 24 horas. Se uma subscrição Zero-Day recentemente alterada ainda parecer desatualizada, aguarde esse ciclo ou execute a sincronização de licenças antes de diagnosticar o caminho da política.

Também devem estar ativos os módulos de proteção e as políticas do respetivo caminho de dados. Uma simples regra Allow sem perfis de segurança adequados não oferece a mesma proteção. Para downloads Web, Single engine requer Sophos como motor antivírus principal; a alternativa é Dual engine. O mesmo requisito aplica-se na SMTP Route and Scan Policy quando Single antivirus está selecionado. Estas definições encontram-se em Web > General settings e na política SMTP adequada em Email > Policies and exceptions.

Limites importantes em operação:

• A firewall não envia todos os tipos de ficheiro para o Intelix, mas sobretudo os tipos com risco.
• Muitos tipos de ficheiro considerados seguros, por exemplo formatos de imagem comuns, não são enviados para detonação.
• As exceções podem excluir ficheiros da análise e, assim, reduzir a proteção.
• A análise na nuvem requer conectividade com os serviços Sophos e pode atrasar os downloads.
• A firewall requer TCP 443 de saída para *.sandbox.sophos.com; a interceção TLS ou um proxy a montante não podem interromper esta ligação.
• A libertação antes da conclusão da análise pode expor conteúdo malicioso.
• Zero-Day Protection não substitui Endpoint Detection and Response, MDR ou um processo estruturado de resposta a incidentes.

Se a firewall vê pouco conteúdo porque HTTPS não é desencriptado ou as regras não têm perfis de segurança, Zero-Day Protection também fica limitada. O artigo Logs da Sophos Firewall: que função escreve em cada log? ajuda a associar os módulos aos respetivos logs.

Ativar em regras de firewall

Para downloads web, não basta que Zero-Day Protection esteja licenciada em geral. A regra de firewall adequada tem de corresponder realmente ao tráfego web e ativar as opções necessárias de Web Scanning.

O caminho típico é:

Rules and policies > Firewall rules

Na regra de Internet dos clientes afetados, deve-se verificar:

1. Source zone, Source network, Destination zone e Services correspondem ao tráfego de teste.
2. Log firewall traffic está ativo.
3. Na área Web filtering, está selecionada uma Web Policy adequada.
4. Scan HTTP and decrypted HTTPS está ativo.
5. Use zero-day protection está ativo.
6. Para downloads HTTPS, TLS Inspection está planeada e eficaz para o tráfego de teste.
7. QUIC/HTTP/3 não contorna o caminho de inspeção HTTPS esperado.
8. Web Exceptions não saltam involuntariamente Malware Scanning, Policy Check ou a análise de Zero-Day Protection.

Isto não garante que todos os downloads apareçam na vista Zero-Day Protection. Ficheiros conhecidos, tipos de ficheiro pouco críticos ou downloads fora do caminho inspecionado podem ser avaliados de outra forma previamente. Para a aceitação, não basta verificar se a caixa está ativa: deve ser possível seguir um download concreto no Log Viewer, Web Log, SSL/TLS Inspection Log e em Downloads and attachments.

Importante: Scan HTTP and decrypted HTTPS verifica HTTP e tráfego HTTPS já desencriptado. A opção não ativa automaticamente a desencriptação HTTPS. Em configurações DPI são necessárias regras adequadas em Rules and policies > SSL/TLS inspection rules; no caminho Web Proxy é relevante Decrypt HTTPS during web proxy filtering. Sem esta visibilidade, Zero-Day Protection pode ver menos conteúdo nos downloads encriptados, mesmo que a regra de firewall pareça correta.

Onde Zero-Day Protection entra em vigor

Zero-Day Protection não deve ser vista isoladamente. A função só pode atuar se o ficheiro passar realmente por um caminho de proteção adequado.

Caminhos típicos:

• Download da Web: Devem aplicar-se a regra de firewall adequada, Web Protection, Scan HTTP and decrypted HTTPS, Use zero-day protection e, para HTTPS, muitas vezes TLS Inspection. Depois podem verificar-se o Web log, o log de SSL/TLS Inspection e a vista Downloads and attachments.
• Anexo de e-mail: o fluxo de correio deve passar por Mail Protection, pela política de anexos adequada e pela análise de malware. Verifique os logs de correio, a quarentena e a vista Downloads and attachments.
• Download FTP: Scan FTP for malware ativa a análise antivírus, mas não a análise cloud Zero-Day. No SFOS 22, Use zero-day protection está expressamente limitado a downloads HTTP e HTTPS.
• Libertação ou estado de erro: o relatório ainda não está concluído ou a análise falhou. Nesse caso, importam o processo de libertação, o contexto do utilizador, o hash e os restantes logs.
• Sem visibilidade: o tráfego não passa pelo caminho de proteção ou o tipo de ficheiro não é relevante. Verifique primeiro a regra de firewall, política, TLS, fluxo de correio e tipo de ficheiro.

Para downloads Web, verifique primeiro se a política Web correta está ativa na regra de firewall. Para anexos de e-mail, o fluxo tem de passar realmente por Mail Protection no modo MTA ou um caminho verificado equivalente. Uma simples regra Allow não permite esperar uma análise completa dos ficheiros por Zero-Day Protection.

As Web Exceptions exigem especial cuidado. Nos modos DPI e proxy, uma exceção pode fazer com que o tráfego correspondente ignore a desencriptação, a análise de malware e conteúdo, Zero-Day Protection ou as verificações de políticas. Por isso, as exceções devem ser mais específicas do que a regra de proteção e verificadas com Log Viewer, o log de SSL/TLS Inspection e um download real.

Ativar para anexos de e-mail

No modo MTA, aceda a Email > Policies and exceptions > SMTP route and scan. Edite a policy que corresponde realmente ao remetente, destinatário e domínio protegido e abra Malware protection:

1. Ative Malware protection.
2. Em Scanning, escolha Single antivirus com Sophos como motor principal ou Dual antivirus. Nos XGS 87/87w e 88/88w, apenas o motor principal está disponível.
3. Ative Use zero-day protection.
4. Defina o tamanho máximo do ficheiro no campo correspondente. É um limite de policy escolhido pelo administrador, não um valor universal do produto: os anexos maiores não são enviados para Zero-Day Protection.
5. Guarde a policy e verifique a sua ordem, para que uma policy mais ampla não corresponda primeiro.

Escolha o limite com base no perfil real de correio, largura de banda e espera aceitável. Comece, por exemplo, pelo limite de anexos já permitido pela organização, em vez de copiar um valor externo. Depois verifique um anexo de teste autorizado por hora, remetente e destinatário em Email > Mail logs, Email > Mail spool e Monitor & analyze > Zero-day protection > Downloads and attachments. Um item no spool com estado Zero-day protection aguarda análise. O SFOS tenta a entrega novamente durante três dias e elimina a mensagem após mais quatro dias; as mensagens eliminadas continuam visíveis nos mail logs.

Fluxo de análise

1. Deteção na firewall

Um ficheiro atravessa a firewall num download ou como anexo de e-mail. Se a política, o tipo de ficheiro e o contexto corresponderem, é selecionado para análise Zero-Day Protection. Ficheiros conhecidos e claramente classificados podem ser avaliados previamente por outros módulos de proteção.

2. Transferência para SophosLabs Intelix

Os ficheiros admissíveis são enviados para um serviço SophosLabs Intelix através de uma ligação encriptada. Aí, o ficheiro não é apenas comparado com padrões conhecidos, mas também avaliado por várias camadas de análise.

3. Aprendizagem automática e reputação

SophosLabs Intelix utiliza vários modelos de aprendizagem automática para avaliar as características, a estrutura, a reputação global e a «genética» de um ficheiro, ou seja, as semelhanças com outros ficheiros. Os novos ficheiros são comparados com milhões de ficheiros conhecidos, seguros ou maliciosos. Isto é particularmente útil para novos ficheiros que ainda não foram observados em larga escala.

4. Análise de sandbox

Na análise sandbox, o ficheiro é examinado num ambiente isolado. A avaliação combina análise dinâmica e estática, deep learning, deteção de exploits, CryptoGuard e monitorização de atividades de ficheiros, memória RAM, registo e rede. Neste contexto, o CryptoGuard deteta em tempo real ransomware ativo que encripta ficheiros dentro da sandbox; isto não constitui uma garantia de que a encriptação será impedida nos endpoints em produção. A análise também monitoriza técnicas com as quais um ficheiro tenta contornar a deteção da sandbox. Para os administradores, o termo de marketing é menos importante do que a pergunta: o que é que o ficheiro tentou realmente fazer?

5. Decisão e relatório

No final há uma classificação, por exemplo seguro, provavelmente seguro, suspeito, malicioso ou PUA. Conforme o resultado, o ficheiro é libertado, bloqueado ou permanece visível com um estado de erro ou de análise. O relatório ajuda a justificar uma libertação, um bloqueio ou outras medidas de resposta a incidentes.

Leia os relatórios corretamente

A visão geral encontra-se em Monitor & analyze > Zero-day protection > Downloads and attachments. Aí são apresentados dados de atividade sobre downloads suspeitos e anexos de e-mail, o estado da análise, detalhes do relatório e opções de libertação.

Na lista, não se deve procurar apenas pelo nome do ficheiro. São úteis os filtros por período, utilizador, origem, estado e componente. Os eventos de Zero-Day Protection aparecem nos relatórios e no Syslog como um Log Type próprio. Conforme o caminho, o componente é Web ou Mail, e os subtypes podem ser Allowed, Denied ou Pending.

Ao passar o ponteiro do rato sobre o Detection Status de uma entrada, aparece uma vista resumida com os resultados relativos a ameaças de cada etapa da análise. View report abre o relatório completo. Em alternativa, seleciona-se More options > Show report na entrada para abrir os detalhes da análise, em vez de ler apenas a entrada da lista. Especialmente com Pending, um estado de erro ou uma autorização posterior, o relatório detalhado constitui a base da decisão.

Para restringir a lista, selecione Filter e defina os critérios pretendidos.

Um relatório pode conter, entre outras, estas áreas:

• Download details: origem, momento e utilizador afetado.
• Analysis summary: avaliação geral e visão global; as classificações são clean, likely clean, suspicious, malicious ou Potentially Unwanted Application (PUA).
• Machine learning analysis: resultado global da aprendizagem automática, além da análise das características individuais do ficheiro, das suas combinações e da estrutura do ficheiro.
• Reputation analysis: avaliação baseada na distribuição global.
• Detonation results: comportamento do ficheiro durante a execução na sandbox, capturas de ecrã do ficheiro em execução, detalhes dos processos utilizados e atividades geradas no registo. Estes artefactos ajudam a investigar o comportamento suspeito de forma rastreável.
• Full file analysis: assinaturas, certificados, recursos, importações e exportações.
• VirusTotal report: informações complementares de deteção externa. Os dados mostram quantos relatórios sobre a ameaça em questão existem na base de dados do VirusTotal e quantos produtos de deteção de malware detetam o ficheiro. Os dois números descrevem coisas diferentes: relatórios existentes e produtos que detetam o ficheiro.

Ao avaliar um ficheiro suspeito, não considere apenas o estado final. Também importam a origem, o utilizador, o nome do ficheiro, a URL de destino, o comportamento do processo, a atividade de rede e se outros sistemas observaram o mesmo download. Se houver um incidente, correlacione o relatório com os logs de endpoints, correio, Web e firewall.

Procedimento perante um relatório suspeito

Uma deteção de Zero-Day Protection deve ser tratada como um caso de segurança, não como um simples bloqueio do filtro Web.

Processo prático:

1. Abra o relatório e registe o estado, nome do ficheiro, origem, utilizador, hora e classificação.
2. Verifique se foi um download da web, um anexo de e-mail ou outro caminho.
3. Compare logs de web, e-mail e firewall para o mesmo período.
4. Se houver, verifique os eventos de endpoint ou EDR do cliente afetado.
5. Documente o hash do ficheiro, remetente, URL ou domínio.
6. Decida se é um falso positivo, um ataque bloqueado, uma suspeita não resolvida ou um incidente.
7. Considere a libertação apenas quando existir um motivo de negócio justificável.
8. Documente a decisão e, se necessário, defina uma ação relativa a um URL Group, política de correio, Threat Feed ou medida de proteção dos endpoints.

Quando vários utilizadores encontram o mesmo ficheiro ou domínio, uma decisão individual pode não bastar. Verifique se é necessária uma alteração da política Web, uma regra da política de correio, uma entrada num Threat Feed ou uma resposta a incidentes.

Libertar ficheiros

A Sophos Firewall permite a libertação apenas de ficheiros ou mensagens de email que ainda estão em análise ou regressaram com estado de erro. Essa libertação pode ser necessária quando um processo de negócio está bloqueado. No entanto, não é adequada como workaround normal.

Antes de libertar um ficheiro, verifique pelo menos:

• A origem é fiável e esperada?
• O utilizador ou departamento foi consultado sobre o contexto?
• Existe um hash, nome de ficheiro ou remetente que possa ser verificado adicionalmente?
• Existem logs de endpoints ou de correio relativos ao mesmo evento?
• O ficheiro pode ser examinado num ambiente isolado ou com uma ferramenta de análise separada?
• Está documentado quem decidiu libertá-lo e por que motivo?

⚠️ A libertação antes da conclusão da análise pode permitir o download ou a entrega de conteúdo malicioso. Em ambientes de produção, esta decisão deve ser documentada e não delegada a uma rotina de primeiro nível.

Se a libertação tiver sido expressamente aprovada após estas verificações, selecione Release now na entrada correspondente. No caso de um ficheiro, os utilizadores podem descarregá-lo imediatamente depois; o clique não aguarda o resultado da análise.

Após a libertação, a análise continua. Isto é importante para a operação: um ficheiro libertado pode ser posteriormente classificado como suspeito ou malicioso. Por isso, as libertações devem ser revistas e, em caso de avaliação negativa posterior, os logs de endpoint, email, web e firewall devem ser novamente correlacionados.

Para ficheiros individuais, o artigo do blogue Avanet SophosLabs Intelix — a ferramenta de deteção de ciberameaças pode ajudar. Isto não substitui a avaliação no contexto específico da rede e do utilizador.

Datacenter e proteção de dados

Em Monitor & analyze > Zero-day protection > Protection settings, pode-se definir o datacenter para a análise. Por defeito, a Sophos Firewall escolhe o datacenter mais próximo. Em alternativa, pode-se escolher conscientemente um datacenter. Os ficheiros são transferidos para a cloud Sophos através de uma ligação SSL segura.

Esta definição é importante para a privacidade, a residência dos dados e os requisitos internos. Mudar o datacenter pode causar a perda da análise dos ficheiros em processamento. Antes da alteração, documente as entradas abertas e escolha uma janela de manutenção tranquila; depois, verifique a conectividade e as novas análises. A escolha da região não resolve, por si só, todas as questões de privacidade: é necessário avaliar também a retenção, os acordos de tratamento e os conteúdos que podem ser enviados.

Use exceções com cuidado

Em Monitor & analyze > Zero-day protection > Protection settings, é possível excluir tipos de ficheiro da análise de proteção contra ameaças zero-day. Para tal, em Exclude file types > Add new item, seleciona-se o tipo de ficheiro pretendido na lista. A deteção do tipo de ficheiro baseia-se na extensão do ficheiro e no cabeçalho MIME. Se um arquivo contiver um ficheiro de um tipo excluído, todo o arquivo é automaticamente excluído da análise de proteção contra ameaças zero-day, mesmo que também contenha ficheiros de tipos não excluídos. Uma exceção de tipo de ficheiro afeta, assim, também os arquivos de conteúdo misto; o restante conteúdo destes não fica protegido por esta análise de proteção contra ameaças zero-day. Esta definição deve ser distinguida da exceção Web descrita mais abaixo.

As exceções são tecnicamente práticas, mas relevantes para a segurança. Cada exceção deve ter uma justificação clara:

• Que aplicação ou processo cria os ficheiros?
• Porque é que a análise interfere com o processo ou não é útil?
• Existe uma exceção mais restrita do que um tipo de ficheiro inteiro?
• A exceção é verificada regularmente?
• Sabe-se que efeito de proteção se perde com isso?

Devem ser evitadas exceções amplas para arquivos comprimidos, scripts, ficheiros do Office ou executáveis. Quando Zero-Day Protection interfere num processo legítimo, o primeiro passo consiste geralmente em verificar a política, o caminho de origem, o grupo de utilizadores afetado ou uma forma alternativa de disponibilização.

Para uma exceção Web, aceda a Web > Exceptions > Add an exception. Critérios de tipos diferentes são combinados com AND e vários valores do mesmo tipo com OR. Em HTTPS, os padrões de caminho URL só correspondem quando o tráfego está desencriptado; sem desencriptação, utilize o nome do anfitrião. Ignorar Malware and content scanning ignora automaticamente Zero-Day Protection. Se apenas Zero-day protection for ignorada, não são gerados relatórios de análise para os ficheiros abrangidos, mesmo quando a análise de malware deteta uma ameaça. Esta é uma alteração de estado persistente: limite a exceção a um nome de anfitrião ou padrão URL, selecione Save, ative o respetivo interruptor e registe o responsável e a data de validade. Para rollback, desative ou remova a exceção e volte a validar o mesmo caminho de dados.

API XML: alterar as definições de proteção com segurança

Na automatização, o objeto XML ZeroDayProtectionSettings corresponde às definições em Monitor & analyze > Zero-day protection > Protection settings: DataCenterLocation representa o datacenter de análise e ExcludeFileTypes os tipos de ficheiro excluídos, não as Web Exceptions. A referência XML para SFOS 22/23 descreve ambos os campos como valores escalares opcionais do tipo STRING e deixa em branco as colunas de valores predefinidos. Isto não implica que exista um valor predefinido XML documentado, nem que omitir um campo ou enviar um valor vazio mantenha inalteradas ou elimine as definições existentes. Antes de qualquer alteração, leia o estado guardado e conserve os valores anteriores para permitir uma reversão direcionada; valide os valores do pedido com base na referência da versão instalada.

Os códigos de estado desta operação de atualização constam do resultado XML e não devem ser equiparados ao estado do transporte HTTP. A referência associa-lhes os seguintes identificadores de mensagem, e não o texto integral das mensagens:

• 200: Language.SandboxSettingsUpdateSuccess (atualização bem-sucedida).
• 500: Language.SandboxSettingsUpdateFailed (falha na atualização).
• 502: Language.SandboxSettingsFileTypesExceeded (limite de tipos de ficheiro excedido), e não, de forma genérica, «nome já existente». Esta referência não indica um máximo numérico.

Perante 500, 502 ou uma resposta pouco clara, não desencadeie repetições automáticas do pedido de escrita. Primeiro, volte a ler o estado efetivamente guardado e compare-o com os valores conservados e os valores pretendidos. Perante 502, verifique as exclusões de tipos de ficheiro solicitadas e a seleção permitida para a versão instalada, em vez de mudar os nomes dos objetos ou tentar adivinhar um limite. Mesmo após 200, confirme o datacenter e as exclusões em Protection settings e verifique a conectividade, bem como um download autorizado ou um anexo de teste de um tipo de ficheiro adequado e não excluído, através dos logs e de Downloads and attachments. Se for necessária uma reversão, reponha apenas as definições alteradas nos valores anteriormente conservados e repita as mesmas verificações, sem desativar a proteção de forma geral. Uma mudança de datacenter está sujeita, também durante o rollback, à janela de manutenção e ao risco de perda das análises em curso descritos acima; as análises já perdidas não são recuperadas por esta operação.

Reverter uma alteração com segurança

Um rollback deve restaurar o caminho de dados anterior, não desativar precipitadamente todas as camadas de proteção:

1. Registe os valores anteriores de regra, policy, motor, limite de tamanho, data center e exceção.
2. Em problemas web, desative primeiro a nova exceção restrita ou restaure a ordem das regras. Reverta Scan HTTP and decrypted HTTPS e TLS Inspection apenas se essa alteração específica causou a falha e a proteção reduzida for aceite.
3. Em problemas de correio, restaure os valores anteriores da SMTP Route and Scan Policy editada; não liberte cegamente mensagens em espera. Release now disponibiliza imediatamente um ficheiro ainda não verificado, embora a análise continue.
4. Após o rollback, verifique a correspondência da regra, o log web ou mail e um download ou anexo de teste autorizado. Se *.sandbox.sophos.com:443 continuar inacessível ou novos objetos permanecerem em Pending, o rollback não foi bem-sucedido.

Verificar regularmente libertações e exceções

Zero-Day Protection não é uma função que se ativa apenas uma vez. O valor operacional surge quando relatórios, libertações e exceções são verificados regularmente. Caso contrário, decisões arriscadas permanecem ativas depois de desaparecer o motivo de negócio original.

Estes pontos são particularmente úteis para a revisão:

• Ficheiro libertado: Verifique o motivo da libertação, utilizador ou departamento afetado, hash, origem do ficheiro, data de validade e avaliação posterior.
• Exceção de tipo de ficheiro: Verifique a aplicação afetada, responsável, data de revisão, alternativa mais restrita e risco para arquivos comprimidos, scripts ou ficheiros do Office.
• Estado de erro recorrente: Verifique a conectividade com a Sophos, tamanho e tipo de ficheiro, política, datacenter e eventual caso de suporte.
• Muitas deteções da mesma origem: Verifique a política Web ou de correio, URL, remetente, grupo de utilizadores, Threat Feed, URL Group ou lista de bloqueio.

Uma exceção não equivale à limpeza habitual das regras de firewall. Estas entradas devem ter um responsável, motivo e data de revisão. Perante libertações recorrentes, compare também os logs de endpoints, correio, Web e firewall, para que uma exceção pontual não se torne inadvertidamente num desvio permanente da proteção.

Resolução de problemas

Nenhuma entrada visível

Se não aparecer nenhuma entrada em Downloads and attachments, deve-se verificar primeiro se o tráfego passa realmente pela regra de firewall e pelo perfil de segurança adequados. Em downloads web, Scan HTTP and decrypted HTTPS e Use zero-day protection na regra de firewall são especialmente relevantes. Em tráfego HTTPS, a falta de TLS Inspection pode explicar porque a firewall vê menos conteúdo. Depois devem ser verificadas as definições de web, email, malware e Zero-Day.

Também se deve verificar se uma Web Exception exclui o tráfego relevante da desencriptação, da análise de malware e conteúdo ou de Zero-Day Protection. Quando se aplica uma exceção, a configuração pode parecer correta sem produzir qualquer entrada.

Nos testes, não se devem criar expectativas erradas com ficheiros já conhecidos local ou globalmente. Se a reputação ou outros módulos de proteção já classificarem claramente um ficheiro, uma nova análise completa na sandbox não tem necessariamente de ficar visível. Para a aceitação, janela temporal, cliente de teste, Rule ID, URL, nome do ficheiro e hash são mais importantes do que um único download sem correlação de logs.

Os downloads demoram muito

Uma análise sandbox pode demorar. Se os utilizadores esperam regularmente durante muito tempo, verifique se são analisados muitos ficheiros grandes ou que mudam frequentemente, se os processos afetados são legítimos e se uma exceção técnica restrita é justificável. Desativar o serviço de forma geral costuma ser o primeiro passo errado.

Muitos falsos positivos

Perante falsos positivos recorrentes, verifique os detalhes do relatório, origem do ficheiro, hashes, reputação, utilizadores e aplicação afetados. Só deve definir exceções depois de compreender o padrão. Para listas de bloqueio dinâmicas e gestão de IoC, consulte Configurar e operar Threat Feeds com segurança na Sophos Firewall.

Foi pedida uma libertação

Uma libertação deve ser tratada como uma decisão de segurança. Se a área de negócio disser apenas “urgente”, isso não é suficiente. São necessários origem, finalidade, ficheiro, utilizador, avaliação de risco e uma decisão documentada.

A análise permanece em Pending ou termina com Error

Verifique primeiro System services > Log settings: o Log Type Zero-day protection deve estar selecionado para Local reporting, o servidor syslog pretendido ou Central reporting. Depois, verifique DNS, encaminhamento e TCP 443 de saída para *.sandbox.sophos.com; uma exceção TLS geral para o tráfego dos utilizadores não resolve a conectividade do serviço. Para o correio, Email > Mail spool mostra separadamente as mensagens em espera. Se o erro se repetir com diferentes tipos de ficheiro admissíveis, recolha os carimbos de data e hora, o hash, o componente, a Policy/Rule ID e o estado do relatório para Sophos Support.

Verificar as Release Notes e Known Issues do SFOS 22

Consulte o guia de atualização de firmware do Sophos Firewall para verificar as Release Notes e Known Issues. O registo de 8 de setembro de 2026 indica 22.0 MR2 Build 546 como versão atual nessa data. O SFOS 22 introduz um novo motor antimalware Sophos com consultas de reputação global e deteções AI/ML. Esta alteração de motor não substitui a subscrição Zero-Day própria nem os seletores das políticas.

Antes de uma atualização ou implementação alargada, siga esse guia e pesquise novamente nas Release Notes e na Known Issues List Sophos Firewall, Zero-day, sandbox, email e a versão-alvo, em vez de confiar num resultado anterior. O MR2 corrige, entre outros, um problema de mail spool; nas instalações com análise de correio, verifique também as correções de Email, não apenas as páginas de Zero-Day.

Lista de verificação operacional

• Licença e estado do módulo Zero-Day Protection verificados.
• Políticas Web e de correio verificadas quanto à análise de malware e aos controlos de segurança.
• Nas regras de firewall web foram verificados Scan HTTP and decrypted HTTPS e Use zero-day protection.
• TLS Inspection ou desencriptação pelo proxy Web planeada onde se devem inspecionar downloads Web encriptados.
• As Web Exceptions foram verificadas para evitar bypasses involuntários de Zero-Day Protection.
• Data center escolhido deliberadamente para análise ou documentado como padrão.
• Sem exceções amplas de tipos de ficheiro sem responsável e data de revisão.
• Visualização de downloads e anexos verificada regularmente.
• Processo de libertação definido apenas para ficheiros ainda em análise ou devolvidos com estado de erro.
• Relatórios correlacionados com logs de endpoint, email, web e firewall.
• Syslog, Central Reporting ou SIEM considerados para manter a rastreabilidade durante mais tempo.

Perguntas frequentes