Förstå och använda Sophos Firewall Zero-Day Protection

Sophos Firewall Zero-Day Protection analyserar misstänkta nedladdningar och e-postbilagor via SophosLabs Intelix. Brandväggen skickar lämpliga, riskfyllda filer till molntjänsten där Machine Learning, rykte, Sandbox analys och hotforskning samverkar. Målet är inte bara att blockera känd skadlig programvara, utan också att bättre klassificera nya eller ovanliga filer.

För administratörer är skillnaden viktig: Zero-Day Protection ersätter inte väl utformade regler, Web Protection, Mail Protection, TLS Inspection, loggning eller endpointskydd. Funktionen lägger till ett skydds- och analyslager, särskilt när filer kommer in i nätverket via webbnedladdningar eller e-postbilagor och traditionella signaturer ännu inte ger en tydlig bedömning.

Vilken skyddsartikel passar?

Zero-Day Protection svarar i första hand på frågan om hur misstänkta filer analyseras. Beroende på problemet är det bättre sättet att börja med webbåtkomst, e-postflöde, nätverksattacker, krypterad trafik eller utvärdering:

• Kontrollera misstänkta nedladdningar eller e-postbilagor med Intelix: Den här artikeln.
• Konfigurera och testa klassisk malware-skanning av webbtrafik med Single eller Dual Engine: Konfigurera och testa malware-skanning i Sophos Firewall.
• Planera webbkategorier, URL-grupper, SafeSearch eller nedladdningsregler: Konfigurera Web Protection med webbpolicyer i Sophos Firewall.
• Gör HTTPS-trafik synlig och planera undantag noggrant: Inför TLS Inspection korrekt i Sophos Firewall.
• Distribuera CA-certifikat för HTTPS-skanning till klienter: Installera CA-certifikat för HTTPS-skanning i Sophos Firewall.
• Kontrollera e-posttrafik i MTA-läge och kör Mail Protection: Sophos Firewall ställ in Mail Protection i MTA-läge.
• Blockera exploateringsförsök och attackmönster i nätverkstrafiken: Sophos Firewall Konfigurera och testa IPS på ett säkert sätt.
• Hantera skadliga IP-adresser, domäner eller webbadresser via IoC-listor: Konfigurera och använda Threat Feeds säkert i Sophos Firewall.
• Förstå NDR, Active Threat Response, XDR, MDR och SIEM-analys: Använd NDR och Active Threat Response i Sophos Firewall.
• Förstå oväntat bortkastade paket eller blockeringar: Analysera paket som Sophos Firewall kastar bort.

Denna uppdelning förhindrar falska förväntningar: Zero-Day Protection bedömer filer, men ersätter inte en Web Policy, IPS, planering av e-postrelä eller central logganalys. Det bästa skyddet uppstår när fil-, webb-, e-post-, nätverks- och loggningslagren samverkar.

Där Zero-Day Protection hjälper i praktiken

Zero-Day Protection är särskilt relevant i dessa scenarier:

• Användare laddar ner körbara filer, arkiv eller dokument från Internet.
• E-postbilagor bör kontrolleras noggrannare före leverans eller frigivning.
• En fil är ännu inte klart känd, men verkar misstänkt.
• En nedladdning ska inte bara skannas lokalt utan också övervakas i en Sandbox.
• En säkerhetsincident måste bedömas bättre med hjälp av en detaljerad rapport.

Funktionen passar bra med en säkerhetsmodell med nivåer: Brandväggsregler begränsar tillåten trafik, TLS Inspection gör krypterad webbtrafik mer granskningsbar, Web Protection och Mail Protection bedömer innehåll och Zero-Day Protection kompletterar dessa kontroller med molnanalys och sandlåderapportering.

Krav och gränser i SFOS 22

Zero-Day Protection kräver en egen prenumeration och ingår i Xstream Protection; enbart Base License eller Web Protection räcker inte. Under Administration > Licensing måste status vara Subscribed eller Evaluating (30 dagars utvärdering). Den omfattar Machine Learning, Sandboxing File Analysis och Threat Intelligence. Tjänsten stöds inte i en air gap-installation. En internetansluten brandvägg synkroniserar licenser automatiskt var 24:e timme. Om en nyligen ändrad Zero-Day-prenumeration fortfarande verkar inaktuell ska du invänta cykeln eller initiera licenssynkroniseringen innan du felsöker policysökvägen.

Skyddsmodulerna och policyerna för den aktuella datasökvägen måste också vara aktiva. En vanlig Allow-regel utan lämpliga säkerhetsprofiler ger inte samma skydd. För webbnedladdningar kräver Single engine Sophos som primär antivirusmotor; alternativet är Dual engine. Samma krav gäller i SMTP Route and Scan Policy när Single antivirus har valts. Inställningarna finns under Web > General settings och i rätt SMTP-policy under Email > Policies and exceptions.

Viktiga begränsningar i drift:

• Brandväggen skickar inte alla filtyper till Intelix, utan i första hand riskfyllda filtyper.
• Många säkra filtyper, som typiska bildformat, skickas inte för detonation.
• Undantag kan utesluta filer från analysen och därmed minska den skyddande effekten.
• Molnanalys kräver anslutning till Sophos-tjänster och kan försena nedladdningar.
• Brandväggen behöver utgående TCP 443 till *.sandbox.sophos.com; TLS interception eller en upstream proxy får inte bryta anslutningen.
• Att frisläppa en fil innan analysen är klar kan göra skadligt innehåll tillgängligt.
• Zero-Day Protection ersätter inte Endpoint Detection and Response, MDR eller en genomtänkt incidenthantering.

Om brandväggen ser lite av innehållet eftersom HTTPS inte dekrypteras eller regler körs utan säkerhetsprofiler förblir även Zero-Day Protection begränsad. Artikeln Sophos Firewall-loggar: Vilken funktion skriver till vilken logg? hjälper till att koppla funktioner till rätt loggar.

Aktivera i brandväggsregler

För webbnedladdningar räcker det inte att Zero-Day Protection är allmänt licensierad. Den lämpliga brandväggsregeln måste faktiskt rikta in sig på webbtrafik och aktivera nödvändiga webbskanningsalternativ.

Den typiska sökvägen är:

Rules and policies > Firewall rules

I den berörda klientens internetregel bör följande kontrolleras:

1. Source zone, Source network, Destination zone och Services matchar testtrafiken.
2. Log firewall traffic är aktivt.
3. En lämplig Web Policy är vald under Web filtering.
4. Scan HTTP and decrypted HTTPS är aktivt.
5. Use zero-day protection är aktivt.
6. För HTTPS-nedladdningar är TLS Inspection planerad och verksam för testtrafiken.
7. QUIC/HTTP/3 får inte kringgå den avsedda inspektionsvägen för HTTPS.
8. Web Exceptions hoppar inte oavsiktligt över skanning av skadlig programvara, policykontroller eller Zero-Day Protection-analys.

Detta garanterar inte att varje nedladdning visas i Zero-Day Protection-vyn. Kända filer, icke-kritiska filtyper eller nedladdningar utanför den kontrollerade vägen kan bedömas på annat sätt tidigare. Vid acceptanstestet ska därför inte bara kryssrutan kontrolleras, utan även om en konkret nedladdning kan följas i Log Viewer, Web log, SSL/TLS Inspection-loggen och Downloads and attachments.

Viktigt: Scan HTTP and decrypted HTTPS skannar HTTP och redan dekrypterad HTTPS-trafik. Alternativet aktiverar inte automatiskt HTTPS-dekryptering. I DPI-konfigurationer krävs lämpliga Rules and policies > SSL/TLS inspection rules; i Web Proxy-vägen är Decrypt HTTPS during web proxy filtering relevant. Utan denna synlighet kan Zero-Day Protection se mindre av krypterade nedladdningar, även om brandväggsregeln formellt ser korrekt ut.

Där Zero-Day Protection träder i kraft

Zero-Day Protection ska inte ses isolerat. Funktionen blir relevant först när en fil faktiskt passerar genom en lämplig skyddsväg.

Typiska vägar:

• Webbnedladdning: Lämplig brandväggsregel, Web Protection, Scan HTTP and decrypted HTTPS, Use zero-day protection och ofta TLS Inspection för HTTPS måste tillämpas. Därefter kan Web log, SSL/TLS Inspection-loggen och vyn Downloads and attachments kontrolleras.
• E-postbilaga: E-postflödet måste gå genom Mail Protection, en lämplig bilagepolicy och skanning efter skadlig programvara. Kontrollera e-postloggar, karantän och vyn för nedladdningar och bilagor.
• FTP-nedladdning: Scan FTP for malware aktiverar antivirusskanning, men inte Zero-Day-molnanalys. I SFOS 22 är Use zero-day protection uttryckligen begränsat till HTTP- och HTTPS-nedladdningar.
• Frigivning eller felstatus: Rapporten är ännu inte klar eller analysen misslyckades. Då är frigivningsprocessen, användarkontext, hash och andra loggar viktiga.
• Ingen synlighet: Trafiken passerar inte genom skyddsvägen eller så är filtypen inte relevant. Kontrollera sedan först brandväggsregeln, policyn, TLS, postflödet och filtypen.

För webbnedladdningar är det första som är viktigt om rätt Web Policy är aktiv i brandväggsregeln. För e-postbilagor måste e-postflödet faktiskt köras via Mail Protection i MTA-läge eller en jämförbar kontrollerad sökväg. Om endast en normal tillåt-regel tillåter trafik, bör du inte förvänta dig fullständig filanalys från Zero-Day Protection.

Web Exceptions kräver särskild försiktighet. I DPI- och proxyläge kan ett undantag göra att matchande trafik hoppar över dekryptering, skanning av skadlig programvara och innehåll, Zero-Day Protection eller policykontroller. Undantag bör därför vara mer specifika än själva skyddsregeln och kontrolleras med Log Viewer, SSL/TLS Inspection-loggen och en verklig nedladdning.

Aktivera för e-postbilagor

I MTA-läge går du till Email > Policies and exceptions > SMTP route and scan. Redigera policyn som faktiskt matchar avsändare, mottagare och skyddad domän och öppna Malware protection:

1. Aktivera Malware protection.
2. Under Scanning väljer du Single antivirus med Sophos som primär motor eller Dual antivirus. På XGS 87/87w och 88/88w är endast den primära motorn tillgänglig.
3. Aktivera Use zero-day protection.
4. Ange den maximala filstorleken i tillhörande fält. Det är en policygräns som administratören väljer, inte ett generellt produktvärde: större bilagor skickas inte till Zero-Day Protection.
5. Spara policyn och kontrollera dess ordning så att en bredare policy inte matchar först.

Välj gränsen utifrån den verkliga e-postprofilen, bandbredden och en acceptabel väntetid. Börja exempelvis med organisationens redan tillåtna bilagegräns i stället för att kopiera ett externt värde. Kontrollera sedan en auktoriserad testbilaga utifrån tid, avsändare och mottagare i Email > Mail logs, Email > Mail spool och Monitor & analyze > Zero-day protection > Downloads and attachments. Ett spoolobjekt med status Zero-day protection väntar på analys. SFOS försöker leverera i tre dagar och raderar meddelandet efter ytterligare fyra dagar; raderade meddelanden förblir synliga i mail logs.

Analysflöde

1. Detektering på brandväggen

En fil kommer igenom brandväggen via en nedladdning eller som en e-postbilaga. Om policyn, filtypen och sammanhanget matchar är filen markerad för Zero-Day Protection. Kända, tydligt klassificerade filer kan utvärderas i förväg av andra skyddsmoduler.

2. Överlämning till SophosLabs Intelix

Kvalificerade filer skickas till en SophosLabs Intelix-tjänst över en krypterad anslutning. Där kontrolleras filen inte bara mot kända mönster, utan utvärderas även med hjälp av flera analysnivåer.

3. Machine Learning och rykte

SophosLabs Intelix använder flera maskininlärningsmodeller för att bedöma en fils egenskaper, struktur, globala rykte och ”genetik”, alltså likheter med andra filer. Nya filer jämförs med miljontals kända säkra och skadliga filer. Detta är särskilt användbart för nya filer som ännu inte har observerats i stor skala.

4. Sandbox-analys

Sandbox-analysen undersöker filen i en isolerad miljö. Utvärderingen kombinerar dynamisk och statisk analys, djupinlärning, exploateringsdetektering, CryptoGuard och övervakning av fil-, arbetsminnes-, register- och nätverksaktivitet. CryptoGuard upptäcker i realtid aktiv ransomware som krypterar filer inne i sandboxen; detta är ingen garanti för att kryptering på endpoints i produktionsmiljön förhindras. Analysen övervakar också tekniker som en fil använder för att försöka undgå sandbox-detektering. För administratörer är marknadsföringstermen mindre viktig än frågan: Vad försökte filen faktiskt göra?

5. Beslut och rapport

I slutet finns ett betyg, till exempel ren, sannolikt ren, misstänkt, skadlig eller PUA. Beroende på resultatet släpps filen, blockeras eller förblir synlig med ett fel- eller analysläge. Rapporten hjälper till att tydligt motivera en frigivning, en blockering eller ytterligare åtgärder för incidentrespons.

Läs rapporterna korrekt

Översikten finns i Sophos Firewall under Monitor & analyze > Zero-day protection > Downloads and attachments. Där visas aktivitetsdata om misstänkta nedladdningar och e-postbilagor, analysstatus, rapportdetaljer och alternativ för frigivning.

I listan bör sökningen inte begränsas till filnamnet. Filter efter tidsperiod, användare, källa, status och komponent är användbara. Zero-Day Protection-händelser visas i rapporter och Syslog som en separat Log Type. Beroende på vägen är komponenten Web eller Mail, och subtypes kan vara Allowed, Denied eller Pending. Det gör korrelationen med SIEM eller Central Reporting tydligare.

När du håller muspekaren över en posts Detection Status visas en kort översikt med hotresultaten från de enskilda analysstegen. Via View report öppnar du den fullständiga rapporten. Alternativt väljer du More options > Show report för posten för att öppna analysdetaljerna i stället för att bara läsa listposten. Särskilt vid Pending, felstatus eller ett senare godkännande ligger detaljrapporten till grund för beslutet.

Välj Filter och ange önskade kriterier för att begränsa listan.

En rapport kan bland annat innehålla dessa områden:

• Download details: källa, tidpunkt och berörd användare.
• Analysis summary: övergripande bedömning och översikt; klassificeringarna är clean, likely clean, suspicious, malicious eller Potentially Unwanted Application (PUA).
• Machine learning analysis: det övergripande maskininlärningsresultatet samt analys av filens enskilda egenskaper, deras kombinationer och filstrukturen.
• Reputation analysis: bedömning baserad på global spridning.
• Detonation results: filens beteende under körning i sandboxen, skärmbilder av filen under körning, detaljer om använda processer och registeraktivitet som filen genererat. Dessa artefakter hjälper till att undersöka misstänkt beteende på ett spårbart sätt.
• Full file analysis: signaturer, certifikat, resurser, importer och exporter.
• VirusTotal report: kompletterande extern detektionsinformation. Uppgifterna visar hur många rapporter om det aktuella hotet som finns i VirusTotal-databasen och hur många produkter för detektering av skadlig kod som upptäcker filen. De två talen beskriver olika saker: befintliga rapporter och produkter som upptäcker filen.

För en misstänkt fil är inte bara slutstatusen relevant. Även källa, användare, filnamn, mål-URL, processbeteende, nätverksaktivitet och frågan om andra system sett samma nedladdning behöver vägas in. Om detta leder till en incident ska rapporten korreleras med endpoint-, e-post-, webb- och brandväggsloggar.

Arbetsgång vid en misstänkt rapport

En Zero-Day Protection-träff ska behandlas som ett mindre säkerhetsärende, inte som en ren blockering i webbfiltret.

Praktisk process:

1. Öppna rapport och registrera status, filnamn, källa, användare, tid och betyg.
2. Kontrollera om det var en webbnedladdning, en e-postbilaga eller en annan sökväg.
3. Jämför webb-, e-post- och brandväggsloggar för samma tidsperiod.
4. Om det finns, kontrollera slutpunkts- eller EDR-händelser för den berörda klienten.
5. Dokumentera filhash, avsändare, URL eller domän.
6. Bestäm om det är en falsk positiv, en blockerad attack, en olöst misstanke eller en incident.
7. Överväg endast frigivning när det finns ett begripligt affärsskäl.
8. Dokumentera beslutet och bestäm vid behov en åtgärd för en URL-grupp, e-postpolicy, Threat Feed eller endpointskyddet.

När flera användare ser samma fil eller domän räcker det ofta inte med ett enskilt beslut. Kontrollera då om en ändring av webbpolicyn, en e-postpolicyregel, en post i ett Threat Feed eller incidenthantering behövs.

Frisläpp filer

Sophos Firewall tillåter endast frigivning av filer eller e-postmeddelanden som fortfarande analyseras eller har returnerats med en felstatus. En sådan frigivning kan vara nödvändig om en affärsprocess blockeras. Den är dock olämplig som normal workaround.

Innan du frisläpper en fil bör du åtminstone kontrollera:

• Är källan pålitlig och förväntad?
• Rådfrågades användaren eller avdelningen om sammanhanget?
• Finns det en hash, filnamn eller avsändare som kan kontrolleras ytterligare?
• Finns det slutpunkts- eller e-postloggar för samma process?
• Kan filen granskas i en isolerad miljö eller via ett separat analysverktyg?
• Är det dokumenterat vem som beslutade att frisläppa filen och varför?

⚠️ En frigivning innan analysen är klar kan leda till att skadligt innehåll laddas ned eller levereras. I produktionsmiljöer bör beslutet dokumenteras och inte delegeras till en rutin på första supportnivån.

Om frigivningen uttryckligen har godkänts efter dessa kontroller väljer du Release now för den berörda posten. För en fil kan användarna ladda ned den omedelbart därefter; klicket väntar inte på analysresultatet.

Efter frigivningen fortsätter analysen. Detta är viktigt för driften: en frigiven fil kan senare fortfarande bedömas som misstänkt eller skadlig. Frigivningar ska därför följas upp och vid en senare negativ bedömning ska endpoint-, e-post-, webb- och brandväggsloggar korreleras på nytt.

För enskilda filer kan blogginlägget Avanet SophosLabs Intelix - Verktyget för upptäckt av cyberhot hjälpa. Detta ersätter dock inte utvärderingen i det specifika nätverket och användarkontexten.

Datacenter och dataskydd

Datacenter för analysen anges under Monitor & analyze > Zero-day protection > Protection settings. Som standard väljer Sophos Firewall närmaste datacenter. Alternativt kan ett datacenter väljas medvetet. Filer överförs till Sophos-molnet via en säker SSL-anslutning.

Den här inställningen är viktig för dataskydd, var data lagras och interna krav. Ett byte av datacenter kan leda till att analysen av filer som behandlas går förlorad. Dokumentera öppna poster före bytet och välj ett lugnt underhållsfönster; kontrollera sedan anslutningen och nya analyser. Regionvalet besvarar inte alla dataskyddsfrågor: lagringstid, personuppgiftsbiträdesavtal och tillåtet filinnehåll behöver också bedömas.

Använd undantag försiktigt

Under Monitor & analyze > Zero-day protection > Protection settings kan du utesluta filtyper från Zero-Day Protection-analysen. Välj önskad filtyp i listan under Exclude file types > Add new item. Filtypsdetekteringen baseras på filtillägg och MIME-rubrik. Om ett arkiv innehåller en fil av en utesluten typ utesluts automatiskt hela arkivet från Zero-Day Protection-analysen, även om det också innehåller filer av typer som inte är uteslutna. Ett filtypsundantag påverkar därmed även arkiv med blandat innehåll; deras övriga innehåll skyddas inte av denna Zero-Day Protection-analys. Denna inställning ska skiljas från det webbundantag som beskrivs längre ned.

Undantag är tekniskt praktiska, men säkerhetsrelevanta. Varje undantag bör ha en tydlig motivering:

• Vilken applikation eller process skapar filerna?
• Varför är analysen störande eller inte användbar?
• Finns det ett snävare undantag än en hel filtyp?
• Kontrolleras undantaget regelbundet?
• Är det känt vilken skyddseffekt som går förlorad till följd av detta?

Breda undantag för arkiv, skript, Office-filer eller körbara filer bör undvikas. När Zero-Day Protection avbryter en legitim process är det första att tänka på ofta policyn, källsökvägen, påverkad användarbas eller alternativ distribution.

För ett webbundantag går du till Web > Exceptions > Add an exception. Kriterier av olika typer kombineras med OCH och flera värden av samma typ med ELLER. För HTTPS matchar URL-sökvägsmönster endast när trafiken dekrypteras; använd därför matchning mot värdnamn utan dekryptering. Undantag från Malware and content scanning innebär automatiskt undantag från Zero-Day Protection. Om enbart Zero-day protection undantas saknas analysrapporter för berörda filer, även när skanningen efter skadlig programvara upptäcker ett hot. Detta är en bestående tillståndsändring: begränsa undantaget till ett värdnamn eller URL-mönster, välj Save, aktivera reglaget och dokumentera ägare samt slutdatum. Vid rollback inaktiverar eller tar du bort undantaget och validerar samma datasökväg igen.

XML-API: Ändra Protection settings på ett säkert sätt

Vid automatisering motsvarar XML-objektet ZeroDayProtectionSettings inställningarna under Monitor & analyze > Zero-day protection > Protection settings: DataCenterLocation anger datacentret för analysen och ExcludeFileTypes anger de uteslutna filtyperna, inte Web Exceptions. XML-referensen för SFOS 22/23 beskriver båda fälten som valfria skalära STRING-värden och lämnar kolumnerna för standardvärden tomma. Detta innebär varken att det finns ett dokumenterat XML-standardvärde eller att ett utelämnat fält eller ett tomt värde lämnar befintliga inställningar oförändrade eller raderar dem. Läs det sparade tillståndet före en ändring och spara de tidigare värdena för en riktad återställning; kontrollera värdena i begäran mot referensen för den installerade versionen.

Statuskoderna för denna uppdateringsoperation finns i XML-resultatet och ska inte likställas med HTTP-transportstatusen. Referensen kopplar dem till följande meddelandenycklar, inte till utskriven meddelandetext:

• 200: Language.SandboxSettingsUpdateSuccess (uppdateringen lyckades).
• 500: Language.SandboxSettingsUpdateFailed (uppdateringen misslyckades).
• 502: Language.SandboxSettingsFileTypesExceeded (gränsen för filtyper har överskridits), alltså inte generellt ”namnet finns redan”. Referensen anger ingen numerisk maxgräns.

Vid 500, 502 eller ett oklart svar ska skrivbegäran inte upprepas automatiskt. Läs först det faktiskt sparade tillståndet på nytt och jämför det med de sparade tidigare värdena och de avsedda värdena. Vid 502 ska du kontrollera de begärda filtypsundantagen och vilka alternativ som är tillåtna i den installerade versionen, i stället för att byta namn på objekt eller gissa en gräns. Även efter 200 ska du kontrollera datacenter och undantag i Protection settings samt verifiera anslutningen och en auktoriserad nedladdning eller testbilaga av en lämplig filtyp som inte är utesluten, med hjälp av loggarna och Downloads and attachments. Om en återställning behövs ska du endast återställa de ändrade inställningarna till de tidigare sparade värdena och upprepa samma kontroller, inte stänga av skyddet generellt. Vid byte av datacenter gäller det ovan beskrivna underhållsfönstret och risken att pågående analyser går förlorade även vid rollback; analyser som redan har gått förlorade återställs inte genom detta.

Återställ en ändring på ett säkert sätt

En återställning ska återställa den tidigare datasökvägen, inte förhastat stänga av alla skyddslager:

1. Dokumentera tidigare värden för regel, policy, motor, storleksgräns, data center och undantag.
2. Vid webbproblem ska du först inaktivera det nya begränsade undantaget eller återställa regelordningen. Återställ Scan HTTP and decrypted HTTPS och TLS Inspection endast om just den ändringen orsakade felet och det lägre skyddet accepteras.
3. Vid e-postproblem återställer du tidigare värden i den redigerade SMTP Route and Scan Policy; frisläpp inte väntande meddelanden blint. Release now gör en ännu okontrollerad fil omedelbart tillgänglig, även om analysen fortsätter.
4. Efter återställningen kontrollerar du regelmatchningen, webb- eller e-postloggen och en auktoriserad nedladdning eller testbilaga. Om *.sandbox.sophos.com:443 fortfarande inte kan nås eller nya objekt förblir Pending har återställningen inte lyckats.

Kontrollera frigivningar och undantag regelbundet

Zero-Day Protection är inte en funktion som bara slås på en gång. Det operativa värdet uppstår när rapporter, frigivningar och undantag kontrolleras regelbundet. Annars förblir riskabla beslut aktiva efter att det ursprungliga affärsskälet har försvunnit.

Följande punkter är särskilt användbara vid granskningen:

• Frigiven fil: Kontrollera skälet till frigivningen, berörd användare eller avdelning, hash, filkälla, slutdatum och den senare bedömningen.
• Undantag för filtyp: Kontrollera berörd applikation, ägare, granskningsdatum, ett snävare alternativ och riskerna för arkiv, skript eller Office-filer.
• Återkommande felstatus: Kontrollera Sophos-anslutning, filstorlek, filtyp, policy, datacenter och eventuellt supportärende.
• Många träffar från en källa: Kontrollera webb- eller e-postpolicy, URL, avsändare, användargrupp, hotflöde, URL-grupp eller blockeringslista.

Ett undantag är inte vanlig städning av brandväggsregler. Sådana poster bör ha en ägare, ett skäl och ett granskningsdatum. Vid återkommande frigivningar bör du också jämföra endpoint-, e-post-, webb- och brandväggsloggar, så att ett enstaka undantag inte obemärkt blir en permanent bypass.

Felsökning

Inga poster synliga

Om inga poster visas under Downloads and attachments ska först kontrolleras om trafiken faktiskt går genom rätt brandväggsregel och säkerhetsprofil. För webbnedladdningar är Scan HTTP and decrypted HTTPS och Use zero-day protection i brandväggsregeln särskilt relevanta. För HTTPS-trafik kan avsaknad av TLS Inspection förklara varför brandväggen ser mindre innehåll. Därefter kontrolleras inställningarna för web, mail, malware och Zero-Day Protection.

Kontrollera också om ett webbundantag utesluter relevant trafik från dekryptering, skanning efter skadlig programvara och innehållsskanning eller Zero-Day Protection. Om ett undantag gäller kan konfigurationen se korrekt ut utan att någon post skapas.

Vid testning bör filer som redan är kända lokalt eller globalt inte skapa felaktiga förväntningar. Om Reputation eller andra skyddsmoduler redan klassificerar en fil tydligt behöver en ny fullständig sandbox-analys inte alltid bli synlig. För acceptanstestet är tidsfönster, testklient, Rule ID, URL, filnamn och hash viktigare än en enskild webbläsarnedladdning utan loggkorrelation.

Nedladdningarna tar för lång tid

En sandbox-analys kan ta tid. Om användare regelbundet väntar länge bör du kontrollera om många stora eller ofta föränderliga filer analyseras, om de berörda processerna är legitima och om ett snävt tekniskt undantag är motiverat. Att stänga av skyddet generellt är vanligtvis fel första steg.

Många falsklarm

För återkommande falska positiva resultat, kontrollera rapportens detaljer, filkälla, hash, rykte, berörda användare och applikation. Först när mönstret förstås bör du ställa in undantag. För dynamiska blockeringslistor och IOC-operationer är Sophos Firewall Säker uppställning och drift av Threat Feeds ett relaterat ämne.

Frigivning begärdes

En frigivning ska behandlas som ett säkerhetsbeslut. Om avdelningen bara rapporterar “brådskande” räcker det inte. Du behöver källa, syfte, fil, användare, riskbedömning och ett dokumenterat beslut.

Analysen förblir Pending eller slutar med Error

Kontrollera först System services > Log settings: Log Type Zero-day protection måste vara vald för Local reporting, önskad syslogserver eller Central reporting. Kontrollera sedan DNS, routing och utgående TCP 443 till *.sandbox.sophos.com; ett generellt TLS-undantag för användartrafik löser inte tjänstens anslutningsproblem. För e-post visar Email > Mail spool väntande meddelanden separat. Om felet återkommer för olika tillåtna filtyper ska tidsstämplar, hash, komponent, Policy/Rule ID och rapportstatus sparas för Sophos Support.

Kontrollera Release Notes och Known Issues för SFOS 22

Använd guiden för uppdatering av Sophos Firewall-firmware för att kontrollera Release Notes och Known Issues. Ögonblicksbilden från den 8 september 2026 anger 22.0 MR2 Build 546 som den då aktuella versionen. SFOS 22 inför en ny Sophos-antimalwaremotor med globala reputationskontroller och AI/ML-detekteringar. Motorbytet ersätter inte den separata Zero-Day-prenumerationen eller policyreglagen.

Följ guiden före en uppgradering eller bred utrullning och sök på nytt i Release Notes och Known Issues List efter Sophos Firewall, Zero-day, sandbox, email och målversionen, i stället för att förlita dig på ett tidigare sökresultat. MR2 åtgärdar bland annat ett mail-spoolfel; vid e-postanalys bör du därför även granska Email-korrigeringarna och inte bara Zero-Day-sidorna.

Checklista för drift

• Licens och modulstatus för Zero-Day Protection kontrollerade.
• Webb- och e-postpolicyer kontrollerade avseende skanning efter skadlig programvara och övriga säkerhetskontroller.
• I webbbrandväggsregler har Scan HTTP and decrypted HTTPS och Use zero-day protection kontrollerats.
• TLS Inspection eller webbproxydekryptering planeras där krypterade webbnedladdningar bör kontrolleras på ett meningsfullt sätt.
• Webbundantag kontrollerade så att de inte oavsiktligt kringgår Zero-Day Protection.
• Datacenter avsiktligt valt för analys eller dokumenterat som standard.
• Inga breda filtypundantag utan ägare och granskningsdatum.
• Vyn Downloads and attachments kontrolleras regelbundet.
• Frigivningsprocess definierad endast för filer som fortfarande analyseras eller har returnerats med felstatus.
• Rapporter korrelerade med loggar för slutpunkt, e-post, webb och brandvägg.
• Syslog, Central Reporting eller SIEM beaktas för längre spårbarhet.

FAQ