Sophos Firewall Zero-Day Protection förstå och använda

Sophos Firewall Zero-Day Protection analyserar misstänkta nedladdningar och e-postbilagor via SophosLabs Intelix. Brandväggen skickar lämpliga, riskfyllda filer till molntjänsten där Machine Learning, rykte, Sandbox analys och hotforskning samverkar. Målet är inte bara att blockera känd skadlig programvara, utan också att bättre klassificera nya eller ovanliga filer.

Det är viktigt för administratörer: Zero-Day Protection är inte en ersättning för rena regler, Web Protection, Mail Protection, TLS Inspection, loggning eller slutpunktsskydd. Funktionen är en extra skydds- och analysmodul. Det är särskilt användbart när filer kommer in i nätverket via webbnedladdningar eller e-postbilagor och klassiska signaturer ännu inte ger ett tydligt beslut.

Vilken skyddsartikel passar?

Zero-Day Protection svarar i första hand på frågan om hur misstänkta filer analyseras. Beroende på problemet är det bättre sättet att börja med webbåtkomst, e-postflöde, nätverksattacker, krypterad trafik eller utvärdering:

• Kontrollera misstänkta nedladdningar eller e-postbilagor med Intelix: Den här artikeln.
• Konfigurera och testa klassisk malware-skanning av webbtrafik med Single eller Dual Engine: Konfigurera och testa malware-skanning i Sophos Firewall.
• Planera webbkategorier, URL-grupper, SafeSearch eller nedladdningsregler: Sophos Firewall Web Protection inställd med webbpolicyer.
• Gör HTTPS-trafik synlig och planera undantag ordentligt: Sophos Firewall TLS Inspection introducera korrekt.
• Distribuera CA-certifikat för HTTPS-skanning till klienter: Sophos FirewallInstallera CA-certifikat för HTTPS-skanning.
• Kontrollera e-posttrafik i MTA-läge och kör Mail Protection: Sophos Firewall ställ in Mail Protection i MTA-läge.
• Blockera utnyttjande och attackmönster i nätverkstrafik: Sophos Firewall Konfigurera och testa IPS på ett säkert sätt.
• Hantera skadliga IP-adresser, domäner eller webbadresser via IoC-listor: Sophos Firewall Threat Feeds konfigurerad och använd säkert.
• Klassificera NDR, Active Threat Response, XDR, MDR eller SIEM utvärdering: Sophos Firewall NDR och använd Active Threat Response.
• Förstå oväntade droppar eller blockeringar: Sophos Firewall analysera tappade paket.

Denna uppdelning förhindrar falska förväntningar: Zero-Day Protection bedömer filer, men ersätter inte en Web Policy, IPS, planering av e-postrelä eller central logganalys. Det bästa skyddet uppstår när fil-, webb-, e-post-, nätverks- och loggningslagren samverkar.

Där Zero-Day Protection hjälper i praktiken

Zero-Day Protection är särskilt relevant i dessa scenarier:

• Användare laddar ner körbara filer, arkiv eller dokument från Internet.
• E-postbilagor bör kontrolleras noggrannare innan leverans eller släpps.
• En fil är ännu inte klart känd, men verkar misstänkt.
• En nedladdning ska inte bara skannas lokalt utan också övervakas i en Sandbox.
• En säkerhetsincident måste bedömas bättre med hjälp av en detaljerad rapport.

Funktionen passar bra med en säkerhetsmodell med nivåer: Brandväggsregler begränsar tillåten trafik, TLS Inspection gör krypterad webbtrafik mer granskningsbar, Web Protection och Mail Protection bedömer innehåll och Zero-Day Protection kompletterar dessa kontroller med molnanalys och sandlåderapportering.

Krav och gränser i SFOS 22

Zero-Day Protection kräver en egen prenumeration och ingår i Xstream Protection; enbart Base License eller Web Protection räcker inte. Under Administration > Licensing måste status vara Subscribed eller Evaluating (30 dagars utvärdering). Den omfattar Machine Learning, Sandboxing File Analysis och Threat Intelligence. Tjänsten stöds inte i en air gap-installation. En internetansluten brandvägg synkroniserar licenser automatiskt var 24:e timme. Om en nyligen ändrad Zero-Day-prenumeration fortfarande verkar inaktuell ska du invänta cykeln eller initiera licenssynkroniseringen innan du felsöker policysökvägen.

Skyddsmodulerna och policyerna för den aktuella datasökvägen måste också vara aktiva. En vanlig Allow-regel utan lämpliga säkerhetsprofiler ger inte samma skydd. För webbnedladdningar kräver Single engine Sophos som primär antivirusmotor; alternativet är Dual engine. Samma krav gäller i SMTP Route and Scan Policy när Single antivirus har valts. Inställningarna finns under Web > General settings och i rätt SMTP-policy under Email > Policies and exceptions.

Viktiga begränsningar i drift:

• Brandväggen skickar inte alla filtyper till Intelix, utan i första hand riskfyllda filtyper.
• Många säkra filtyper, som typiska bildformat, skickas inte för detonation.
• Undantag kan utesluta filer från analysen och därmed minska den skyddande effekten.
• Molnanalys kräver anslutning till Sophos-tjänster och kan försena nedladdningar.
• Brandväggen behöver utgående TCP 443 till *.sandbox.sophos.com; TLS interception eller en upstream proxy får inte bryta anslutningen.
• Att släppa innan analysen är klar kan göra skadligt innehåll tillgängligt.
• Zero-Day Protection ersätter inte Endpoint Detection and Response, MDR eller en genomtänkt incidenthantering.

Om brandväggen ser lite av innehållet eftersom HTTPS inte dekrypteras eller regler körs utan säkerhetsprofiler förblir även Zero-Day Protection begränsad. Artikeln Sophos Firewall-loggar: Vilken funktion skriver till vilken logg? hjälper till att koppla funktioner till rätt loggar.

Aktivera i brandväggsregler

För webbnedladdningar räcker det inte att Zero-Day Protection är allmänt licensierad. Den lämpliga brandväggsregeln måste faktiskt rikta in sig på webbtrafik och aktivera nödvändiga webbskanningsalternativ.

Den typiska sökvägen är:

Rules and policies > Firewall rules

I den berörda klientens internetregel bör följande kontrolleras:

1. Source zone, Source network, Destination zone och Services matchar testtrafiken.
2. Log firewall traffic är aktivt.
3. En lämplig Web Policy är vald under Web filtering.
4. Scan HTTP and decrypted HTTPS är aktivt.
5. Use zero-day protection är aktivt.
6. För HTTPS-nedladdningar är TLS Inspection schemalagd och effektiv för testtrafik.
7. QUIC/HTTP/3 följer inte det förväntade HTTPS-revisionsspåret.
8. Web Exceptions hoppar inte oavsiktligt över skanning av skadlig programvara, policykontroller eller Zero-Day Protection-analys.

Detta garanterar inte att varje nedladdning visas i Zero-Day Protection-vyn. Kända filer, icke-kritiska filtyper eller nedladdningar utanför den kontrollerade vägen kan bedömas på annat sätt tidigare. Vid acceptanstestet ska därför inte bara kryssrutan kontrolleras, utan även om en konkret nedladdning kan följas i Log Viewer, Web log, SSL/TLS Inspection-loggen och Downloads and attachments.

Viktigt: Scan HTTP and decrypted HTTPS skannar HTTP och redan dekrypterad HTTPS-trafik. Alternativet aktiverar inte automatiskt HTTPS-dekryptering. I DPI-konfigurationer krävs lämpliga Rules and policies > SSL/TLS inspection rules; i Web Proxy-vägen är Decrypt HTTPS during web proxy filtering relevant. Utan denna synlighet kan Zero-Day Protection se mindre av krypterade nedladdningar, även om brandväggsregeln formellt ser korrekt ut.

Där Zero-Day Protection träder i kraft

Zero-Day Protection ska inte ses isolerat. Funktionen blir endast relevant om en fil faktiskt körs genom en lämplig skyddsväg.

Typiska vägar:

• Webbnedladdning: Lämplig brandväggsregel, Web Protection, Scan HTTP and decrypted HTTPS, Use zero-day protection och ofta TLS Inspection för HTTPS måste tillämpas. Därefter kan Web log, SSL/TLS Inspection-loggen och vyn Downloads and attachments kontrolleras.
• E-postbilaga: E-postflödet måste gå igenom Mail Protection, lämplig bifogad policy och kontroll av skadlig programvara. Du kan kontrollera e-postloggar, karantän och vyn för nedladdningar och bilagor.
• FTP-nedladdning: Scan FTP for malware aktiverar antivirusskanning, men inte Zero-Day-molnanalys. I SFOS 22 är Use zero-day protection uttryckligen begränsat till HTTP- och HTTPS-nedladdningar.
• Release- eller felstatus: Rapporten är ännu inte klar eller analysen misslyckades. Då räknas releaseprocesser, användarkontext, hash och andra loggar.
• Ingen synlighet: Trafiken passerar inte genom skyddsvägen eller så är filtypen inte relevant. Kontrollera sedan först brandväggsregeln, policyn, TLS, postflödet och filtypen.

För webbnedladdningar är det första som är viktigt om rätt Web Policy är aktiv i brandväggsregeln. För e-postbilagor måste e-postflödet faktiskt köras via Mail Protection i MTA-läge eller en jämförbar kontrollerad sökväg. Om endast en normal tillåt-regel tillåter trafik, bör du inte förvänta dig fullständig filanalys från Zero-Day Protection.

Web Exceptions kräver särskild försiktighet. I DPI- och proxyläge kan ett undantag göra att matchande trafik hoppar över dekryptering, skanning av skadlig programvara och innehåll, Zero-Day Protection eller policykontroller. Undantag bör därför vara mer specifika än själva skyddsregeln och kontrolleras med Log Viewer, SSL/TLS Inspection-loggen och en verklig nedladdning.

Aktivera för e-postbilagor

I MTA-läge går du till Email > Policies and exceptions > SMTP route and scan. Redigera policyn som faktiskt matchar avsändare, mottagare och skyddad domän och öppna Malware protection:

1. Aktivera Malware protection.
2. Under Scanning väljer du Single antivirus med Sophos som primär motor eller Dual antivirus. På XGS 87/87w och 88/88w är endast den primära motorn tillgänglig.
3. Aktivera Use zero-day protection.
4. Ange den maximala filstorleken i tillhörande fält. Det är en policygräns som administratören väljer, inte ett generellt produktvärde: större bilagor skickas inte till Zero-Day Protection.
5. Spara policyn och kontrollera dess ordning så att en bredare policy inte matchar först.

Välj gränsen utifrån den verkliga e-postprofilen, bandbredden och en acceptabel väntetid. Börja exempelvis med organisationens redan tillåtna bilagegräns i stället för att kopiera ett externt värde. Kontrollera sedan en auktoriserad testbilaga utifrån tid, avsändare och mottagare i Email > Mail logs, Email > Mail spool och Monitor & analyze > Zero-day protection > Downloads and attachments. Ett spoolobjekt med status Zero-day protection väntar på analys. SFOS försöker leverera i tre dagar och raderar meddelandet efter ytterligare fyra dagar; raderade meddelanden förblir synliga i mail logs.

Analysflöde

1. Detektering på brandväggen

En fil kommer igenom brandväggen via en nedladdning eller som en e-postbilaga. Om policyn, filtypen och sammanhanget matchar är filen markerad för Zero-Day Protection. Kända, tydligt klassificerade filer kan utvärderas i förväg av andra skyddsmoduler.

2. Överlämning till SophosLabs Intelix

Kvalificerade filer skickas till en SophosLabs Intelix-tjänst över en krypterad anslutning. Där kontrolleras filen inte bara mot kända mönster, utan utvärderas även med hjälp av flera analysnivåer.

3. Machine Learning och rykte

SophosLabs Intelix utvärderar egenskaper, struktur, globalt rykte och likhet med kända bra eller dåliga filer. Detta är särskilt användbart för nya filer som ännu inte har setts allmänt.

4. Sandbox analys

Sandbox-analysen undersöker filen i en isolerad miljö. Utvärderingen kombinerar dynamisk och statisk analys, djupinlärning, exploateringsdetektering, CryptoGuard och övervakning av fil-, arbetsminnes-, register- och nätverksaktivitet. CryptoGuard upptäcker i realtid aktiv ransomware som krypterar filer inne i sandboxen; detta är ingen garanti för att kryptering på endpoints i produktionsmiljön förhindras. Analysen övervakar också tekniker som en fil använder för att försöka undgå sandbox-detektering. För administratörer är marknadsföringstermen mindre viktig än frågan: Vad försökte filen faktiskt göra?

5. Beslut och rapport

I slutet finns ett betyg, till exempel ren, sannolikt ren, misstänkt, skadlig eller PUA. Beroende på resultatet släpps filen, blockeras eller förblir synlig med ett fel- eller analysläge. Rapporten hjälper till att tydligt motivera en frigivning, en blockering eller ytterligare åtgärder för incidentrespons.

Läs rapporterna korrekt

Översikten finns i Sophos Firewall under Monitor & analyze > Zero-day protection > Downloads and attachments. Där visas aktivitetsdata om misstänkta nedladdningar och e-postbilagor, analysstatus, rapportdetaljer och alternativ för frigivning.

I listan bör sökningen inte begränsas till filnamnet. Filter efter tidsperiod, användare, källa, status och komponent är användbara. Zero-Day Protection-händelser visas i rapporter och Syslog som en separat Log Type. Beroende på vägen är komponenten Web eller Mail, och subtypes kan vara Allowed, Denied eller Pending. Det gör korrelationen med SIEM eller Central Reporting tydligare.

När du håller muspekaren över en posts Detection Status visas en kort översikt med hotresultaten från de enskilda analysstegen. Via View report öppnar du den fullständiga rapporten. Alternativt väljer du More options > Show report för posten för att öppna analysdetaljerna i stället för att bara läsa listposten. Särskilt vid Pending, felstatus eller ett senare godkännande ligger detaljrapporten till grund för beslutet.

En rapport kan bland annat innehålla dessa områden:

• Download details: källa, tidpunkt och berörd användare.
• Analysis summary: övergripande bedömning av filen.
• Machine learning analysis: egenskaper, struktur och ML-bedömning.
• Reputation analysis: bedömning baserad på global spridning.
• Detonation results: filens beteende under körning i sandboxen, skärmbilder av filen under körning, detaljer om använda processer och registeraktivitet som filen genererat. Dessa artefakter hjälper till att undersöka misstänkt beteende på ett spårbart sätt.
• Full file analysis: signaturer, certifikat, resurser, importer och exporter.
• VirusTotal report: kompletterande extern detektionsinformation. Uppgifterna visar hur många rapporter om det aktuella hotet som finns i VirusTotal-databasen och hur många produkter för detektering av skadlig kod som upptäcker filen. De två talen beskriver olika saker: befintliga rapporter och produkter som upptäcker filen.

För en misstänkt fil är inte bara slutstatusen relevant. Även källa, användare, filnamn, mål-URL, processbeteende, nätverksaktivitet och frågan om andra system sett samma nedladdning behöver vägas in. Om detta leder till en incident ska rapporten korreleras med endpoint-, e-post-, webb- och brandväggsloggar.

Process för en misstänkt anmälan

En Zero-Day Protection-träff ska behandlas som ett mindre säkerhetsärende, inte som en ren blockering i webbfiltret.

Praktisk process:

1. Öppna rapport och registrera status, filnamn, källa, användare, tid och betyg.
2. Kontrollera om det var en webbnedladdning, en e-postbilaga eller en annan sökväg.
3. Jämför webb-, e-post- och brandväggsloggar för samma tidsperiod.
4. Om det finns, kontrollera slutpunkts- eller EDR-händelser för den berörda klienten.
5. Dokumentera filhash, avsändare, URL eller domän.
6. Bestäm om det är en falsk positiv, en blockerad attack, en olöst misstanke eller en incident.
7. Överväg endast frigivning när det finns ett begripligt affärsskäl.
8. Dokumentera beslutet och, om nödvändigt, härled en URL-grupp, e-postpolicy, hotflöde eller slutpunktsåtgärd.

När flera användare ser samma fil eller domän räcker det ofta inte med ett enda beslut. Du bör sedan kontrollera om en webbpolicyjustering, en e-postpolicyregel, ett hotflödesinlägg eller ett incidentsvar är nödvändigt.

Frigör filer

Sophos Firewall tillåter endast frigivning av filer eller e-postmeddelanden som fortfarande analyseras eller har returnerats med en felstatus. En sådan frigivning kan vara nödvändig om en affärsprocess blockeras. Den är dock olämplig som normal workaround.

Innan du släpper bör du åtminstone kontrollera:

• Är källan pålitlig och förväntad?
• Rådfrågades användaren eller avdelningen om sammanhanget?
• Finns det en hash, filnamn eller avsändare som kan kontrolleras ytterligare?
• Finns det slutpunkts- eller e-postloggar för samma process?
• Kan filen granskas i en isolerad miljö eller via ett separat analysverktyg?
• Finns det dokumenterat vem som beslutat att släppa den och av vilken anledning?

⚠️ En frigivning innan analysen är klar kan leda till att skadligt innehåll laddas ned eller levereras. I produktionsmiljöer bör beslutet dokumenteras och inte delegeras till en rutin på första supportnivån.

Efter frigivningen fortsätter analysen. Detta är viktigt för driften: en frigiven fil kan senare fortfarande bedömas som misstänkt eller skadlig. Frigivningar ska därför följas upp och vid en senare negativ bedömning ska endpoint-, e-post-, webb- och brandväggsloggar korreleras på nytt.

För enskilda filer kan blogginlägget Avanet SophosLabs Intelix - Verktyget för upptäckt av cyberhot hjälpa. Detta ersätter dock inte utvärderingen i det specifika nätverket och användarkontexten.

Datacenter och dataskydd

Datacenter för analysen anges under Monitor & analyze > Zero-day protection > Protection settings. Som standard väljer Sophos Firewall närmaste datacenter. Alternativt kan ett datacenter väljas medvetet. Filer överförs till Sophos-molnet via en säker SSL-anslutning.

Ett byte av datacenter kan förlora analysen av filer som behandlas. Dokumentera öppna objekt, byt under underhåll och testa en ny analys. Regionval ersätter inte bedömning av lagring, behandling och tillåtet innehåll.

Använd undantag försiktigt

Under Monitor & analyze > Zero-day protection > Protection settings kan du utesluta filtyper från nolldagsskyddsanalysen. Välj önskad filtyp i listan under Exclude file types > Add new item. Filtypsdetekteringen baseras på filtillägg och MIME-rubrik. Om ett arkiv innehåller en fil av en utesluten typ utesluts automatiskt hela arkivet från nolldagsskyddsanalysen, även om det också innehåller filer av typer som inte är uteslutna. Ett filtypsundantag påverkar därmed även arkiv med blandat innehåll; deras övriga innehåll skyddas inte av denna nolldagsskyddsanalys. Denna inställning ska skiljas från det webbundantag som beskrivs längre ned.

Undantag är tekniskt praktiska, men säkerhetsrelevanta. Varje undantag bör ha en tydlig motivering:

• Vilken applikation eller process skapar filerna?
• Varför är analysen störande eller inte användbar?
• Finns det ett snävare undantag än en hel filtyp?
• Kontrolleras undantaget regelbundet?
• Är det känt vilken skyddseffekt som går förlorad till följd av detta?

Breda undantag för arkiv, skript, Office-filer eller körbara filer bör undvikas. När Zero-Day Protection avbryter en legitim process är det första att tänka på ofta policyn, källsökvägen, påverkad användarbas eller alternativ distribution.

Under Web > Exceptions > Add an exception kombineras kriterier av olika typer med OCH och flera värden av samma typ med ELLER. För HTTPS matchar URL-sökvägsmönster endast när trafiken dekrypteras; använd därför hostname-matchning utan dekryptering. Undantag från Malware and content scanning innebär automatiskt undantag från Zero-Day Protection; undantag enbart från Zero-day protection tar också bort motsvarande rapporter. Begränsa undantaget till ett hostname eller URL-mönster och ange ägare samt slutdatum. Detta är en bestående tillståndsändring: begränsa undantaget till ett hostname eller URL-mönster, välj Save, aktivera reglaget och dokumentera ägare samt slutdatum. Vid rollback inaktiverar eller tar du bort undantaget och validerar samma datasökväg igen.

Återställ en ändring på ett säkert sätt

En återställning ska återställa den tidigare datasökvägen, inte förhastat stänga av alla skyddslager:

1. Dokumentera tidigare värden för regel, policy, motor, storleksgräns, data center och undantag.
2. Vid webbproblem ska du först inaktivera det nya begränsade undantaget eller återställa regelordningen. Återställ Scan HTTP and decrypted HTTPS och TLS Inspection endast om just den ändringen orsakade felet och det lägre skyddet accepteras.
3. Vid e-postproblem återställer du tidigare värden i den redigerade SMTP Route and Scan Policy; frisläpp inte väntande meddelanden blint. Release now gör en ännu okontrollerad fil omedelbart tillgänglig, även om analysen fortsätter.
4. Efter återställningen kontrollerar du regelmatchningen, webb- eller e-postloggen och en auktoriserad nedladdning eller testbilaga. Om *.sandbox.sophos.com:443 fortfarande inte kan nås eller nya objekt förblir Pending har återställningen inte lyckats.

Kontrollera frigivningar och undantag regelbundet

Zero-Day Protection är inte en funktion som bara slås på en gång. Det operativa värdet uppstår när rapporter, frigivningar och undantag kontrolleras regelbundet. Annars förblir riskabla beslut aktiva efter att det ursprungliga affärsskälet har försvunnit.

Dessa punkter är särskilt användbara för recensionen:

• Released fil: Kontrollera orsaken till releasen, påverkad användare eller avdelning, hash, filkälla, utgångsdatum och efterföljande utvärdering.
• Undantag för filtyp: Kontrollera påverkad applikation, ägare, granskningsdatum, närmare alternativ och risk för arkiv, skript eller Office-filer.
• Återkommande felstatus: Kontrollera Sophos-anslutning, filstorlek, filtyp, policy, datacenter och eventuellt supportärende.
• Många träffar från en källa: Kontrollera webb- eller e-postpolicy, URL, avsändare, användargrupp, hotflöde, URL-grupp eller blockeringslista.

Ett undantag är inte en normal rensning av brandväggsregeln. Sådana inlägg bör ha en ägare, en anledning och ett granskningsdatum. För återkommande utgåvor bör du också jämföra slutpunkts-, e-post-, webb- och brandväggsloggar så att ett enda undantag inte förvandlas till en permanent bypass obemärkt.

Felsökning

Inga poster synliga

Om inga poster visas under Downloads and attachments ska först kontrolleras om trafiken faktiskt går genom rätt brandväggsregel och säkerhetsprofil. För webbnedladdningar är Scan HTTP and decrypted HTTPS och Use zero-day protection i brandväggsregeln särskilt relevanta. För HTTPS-trafik kan avsaknad av TLS Inspection förklara varför brandväggen ser mindre innehåll. Därefter kontrolleras inställningarna för web, mail, malware och Zero-Day Protection.

Dessutom bör du kontrollera om ett webbundantag utesluter relevant trafik från dekryptering, skadlig programvara och innehållsskanning eller Zero-Day Protection. Om ett undantag inträffar kan nolldagarsskyddskonfigurationen se korrekt ut och fortfarande inte producera en post.

Vid testning bör filer som redan är kända lokalt eller globalt inte skapa felaktiga förväntningar. Om Reputation eller andra skyddsmoduler redan klassificerar en fil tydligt behöver en ny fullständig sandbox-analys inte alltid bli synlig. För acceptanstestet är tidsfönster, testklient, Rule ID, URL, filnamn och hash viktigare än en enskild webbläsarnedladdning utan loggkorrelation.

Nedladdningarna tar för lång tid

En Sandbox-analys kan ta tid. Om användare regelbundet väntar under långa perioder bör du kontrollera om många stora eller ofta föränderliga filer analyseras, om de processer som påverkas är legitima och om ett snävt tekniskt undantag är motiverat. En filtavaktivering är vanligtvis fel första steg.

Många falsklarm

För återkommande falska positiva resultat, kontrollera rapportens detaljer, filkälla, hash, rykte, berörda användare och applikation. Först när mönstret förstås bör du ställa in undantag. För dynamiska blockeringslistor och IOC-operationer är Sophos Firewall Säker uppställning och drift av Threat Feeds ett relaterat ämne.

Frigivning begärdes

En frigivning ska behandlas som ett säkerhetsbeslut. Om avdelningen bara rapporterar “brådskande” räcker det inte. Du behöver källa, syfte, fil, användare, riskbedömning och ett dokumenterat beslut.

Analysen förblir Pending eller slutar med Error

Under System services > Log settings väljer du Log Type Zero-day protection för Local reporting, önskad syslogserver eller Central reporting. Vid Pending eller Error kontrollerar du DNS, routing och TCP 443 till *.sandbox.sophos.com och samlar tidpunkt, hash, komponent och Policy/Rule ID för support.

Kontrollera Release Notes och Known Issues för SFOS 22

Använd guiden för uppdatering av Sophos Firewall-firmware för den aktuella kontrollprocessen för Release Notes och Known Issues. Ögonblicksbilden från den 8 september 2026 anger 22.0 MR2 Build 546 som aktuell version. Den nya antimalware-motorn och AI/ML-detekteringarna ersätter inte prenumerationen eller policyreglagen.

Följ guiden före utrullning och sök på nytt i Release Notes och Known Issues List efter Sophos Firewall, Zero-day, sandbox, email och målversionen, i stället för att förlita dig på ett tidigare sökresultat. MR2 åtgärdar bland annat ett mail-spoolfel.

Checklista för verksamheten

• Zero-Day Protection Licens och modulstatus kontrolleras.
• Web- och e-postpolicyer med skadlig programvara och säkerhetsskanning kontrolleras.
• I webbbrandväggsregler har Scan HTTP and decrypted HTTPS och Use zero-day protection kontrollerats.
• TLS Inspection eller webbproxydekryptering planeras där krypterade webbnedladdningar bör kontrolleras på ett meningsfullt sätt.
• Kontrollerade webbundantag för oavsiktliga nolldagars förbikopplingar.
• Datacenter avsiktligt valt för analys eller dokumenterat som standard.
• Inga breda filtypundantag utan ägare och granskningsdatum.
• Vyn Downloads and attachments kontrolleras regelbundet.
• Releaseprocess definierad för analyserade eller felaktiga filer.
• Rapporter korrelerade med loggar för slutpunkt, e-post, webb och brandvägg.
• Syslog, Central Reporting eller SIEM beaktas för längre spårbarhet.

FAQ