Sophos Firewall’daki Zero-Day Protection, antivirüs motorunun tanımadığı ama şüpheli görünen dosyaları bulutta çalıştırıp davranışına bakan bir analiz hizmetidir. Sophos dokümantasyonuna göre hizmet SophosLabs Intelix üzerinde çalışır ve web üzerinden indirilen dosyalarla e-posta eklerini makine öğrenmesi ve sandbox ile inceler. İmza tabanlı tarama yeni bir fidye yazılımı varyantını göremediğinde devreye giren ikinci kattır.
Zero-Day Protection tam olarak ne yapar?
Intelix iki yöntemi birlikte kullanır. Makine öğrenmesi tarafında dosya, bilinen zararsız ve zararlı dosyalarla karşılaştırılır; dosyanın özellikleri, yapısı ve küresel itibarı değerlendirilir. Sandbox tarafında dosya yalıtılmış bir ortamda çalıştırılır (detonation); dinamik ve statik analiz, derin öğrenme, exploit tespiti ve çalışan fidye yazılımını yakalamak için CryptoGuard devrededir. Dosya, bellek, kayıt defteri ve ağ etkinliği izlenir; sandbox’tan kaçmaya çalışan teknikler de ayrıca takip edilir.
Sonuç dosyaya şu sınıflardan biri olarak yazılır: temiz, büyük olasılıkla temiz, şüpheli, zararlı veya istenmeyen uygulama (PUA). Raporda makine öğrenmesi sonucu, dosyanın sandbox’ta yaptığı işlemler, ekran görüntüleri, kullandığı süreçler ve kayıt defteri hareketleri görülür. Olay incelemesinde “bu dosya ne yaptı” sorusunun cevabı bu rapordan okunur.
Her dosya bulutta çalıştırılır mı?
Hayır. Sophos’un açıklamasına göre antivirüs motoru dosyayı önce yerelde tarar. Bilinen zararlısı olmayan dosyalar “probably clean” olarak işaretlenip geçirilir. Zararlı bulunmayan ama çalıştırılabilir içerik taşıyan dosyalar ise “needs analysis” durumuna alınır ve analiz sonucuna göre izin verilir ya da engellenir. Resim gibi zararsız kabul edilen dosya türleri hiç gönderilmez. Bu, hem hızı hem de gizlilik kaygısını azaltır: ofis yazışmalarındaki her PDF bulut analizine gitmez.
Lisans: tek başına yetmiyor
Zero-Day Protection ayrı bir abonelik olarak alınabilir, ancak çalışması için Web veya Email Protection lisansı gerekir. Web indirmelerini incelemek için Web Protection, e-postaları incelemek için Email Protection lisansı şarttır. Xstream Protection paketi Zero-Day Protection’ı içerir; Standard pakette yoktur. Tekil modül almak ayrı bitiş tarihleri doğurduğundan, abonelikleri tek tarihte toplamak yenileme takibini kolaylaştırır. Bu konuyu lisans yenileme sayfasında ele alıyoruz.
Web trafiğinde nasıl açılır?
Web tarafında ayar, ilgili firewall kuralının içindedir. Kuralda “Use Zero-day protection” seçeneği, HTTP veya HTTPS üzerinden indirilen dosyaların bilinmeyen tehditler için analize gönderilmesini sağlar. Burada kritik bir ayrıntı var: “Scan HTTP and decrypted HTTPS” seçeneği HTTPS trafiğini kendiliğinden çözmez. Şifreli indirmelerin dosya içeriği ancak SSL/TLS inspection kuralıyla veya proxy modundaki şifre çözmeyle görünür hale gelir. İnspection kapalıysa Zero-Day Protection lisanslı olsa bile HTTPS indirmelerinin büyük kısmını göremez. Kurulumun önkoşulu için SSL/TLS inspection rehberimize bakın.
Analiz sürerken kullanıcıya ne olduğu da bilinmeli. Sophos’a göre analizlerin çoğu yaklaşık beş dakika sürer, bazıları on dakikaya kadar uzayabilir. Web proxy kullanılıyorsa dosya analize girdiğinde kullanıcı gecikmeyi bildiren bir sayfa görür; analiz bitince indirme izin verilir ya da engellenir. Yönetici, analiz tamamlanmadan bir öğeyi serbest bırakabilir, ancak dokümantasyon bunun zararlı içeriğin inmesine yol açabileceği uyarısını yapar. Bu yetkiyi herkese vermek yerine BT ekibiyle sınırlamak mantıklıdır.
E-posta eklerinde ayarlar
E-posta tarafında seçenek SMTP route ve scan policy içinde, Malware protection bölümündedir. Orada Zero-Day Protection’a gönderim açılır ve analiz edilecek en büyük dosya boyutu belirlenir; daha büyük dosyalar analiz edilmez. Tek antivirüs motoruyla taramada ayarın çalışması için birincil motor olarak Sophos seçilmelidir. Gelen ve giden e-postalar virüs taramasından geçer, gerekirse analize gönderilir. Bulut tabanlı e-posta güvenliği kullanan kurumlarda bu katman zaten Sophos Email tarafında olabilir; iki yerde aynı işi yaptırmamak için hangi katmanın birincil olduğuna karar verin.
Gizlilik ve veri merkezi seçimi
Analiz edilecek dosyalar SSL bağlantısıyla bulutta bir Zero-Day Protection veri merkezine gönderilir. Varsayılan olarak en yakın merkez kullanılır; yönetici isterse veri merkezini kendisi seçebilir, ancak sürmekte olan analizler bu değişiklikten kesintiye uğrayabilir. Müşteri sözleşmesi içeren dosyaların dolaştığı kurumlarda hangi dosya türlerinin dışarı çıktığı KVKK teknik tedbirler kapsamında kayıt altına alınmalıdır. Ayarlar sayfasındaki “Exclude file types” ile e-posta eki ve web indirmesi için dosya türleri analiz dışı bırakılabilir. Tür, uzantı ve MIME başlığına göre belirlenir; hariç tutulan türü içeren arşivler de atlanır. Bu kapsamı dar tutun: her istisna, saldırganın kullanabileceği bir kapıdır.
Sonuçları nerede izlersiniz?
Zero-Day Protection kayıtlarında işlenen dosya ve e-postaların durumu, tarama ayrıntıları ve analiz raporu görüntülenir; sonuçlar filtrelenebilir. Pilot dönemde bu ekranı günlük bakmak iyi bir alışkanlıktır: hangi türlerin sık beklediğini, kaç dosyanın “şüpheli” çıktığını ve kullanıcıların bekleme süresine nasıl tepki verdiğini buradan görürsünüz.
Sık sorulan sorular
Zero-Day Protection antivirüsün yerine mi geçer? Hayır. Önce antivirüs motoru tarar; yalnızca şüpheli ve çalıştırılabilir içerikli dosyalar analize gider.
Lisans olmadan kullanılabilir mi? Hizmet tek başına satın alınabilir ama Web veya Email Protection lisansı olmadan istenen şekilde çalışmaz.
Kullanıcı ne kadar bekler? Sophos’a göre çoğu analiz yaklaşık beş dakika, bazıları en fazla on dakika sürer.
HTTPS indirmeleri kapsanır mı? Yalnızca şifre çözme (SSL/TLS inspection) açıksa.
Mevcut paketinizde Zero-Day Protection’ın bulunup bulunmadığını öğrenmek veya Sophos Firewall yenilemenizi Xstream’e taşımayı değerlendirmek için teklif alın; lisans bitiş tarihinizi iletmeniz yeterlidir.