Inhaltsprüfung und Quarantäne

Nichts geht ungeprüft hinüber

Bevor sich etwas bewegt, durchläuft jede Datei zwei getrennte Stufen: deterministische Validierung, dann Prüfung durch Engines. Eine Prüfung antwortet nur mit Ja oder Nein, und jede Antwort wird mit der Version aufgezeichnet, die sie gab. ARP behandelt Dateinamen, Endungen, angegebene Typen, Archivstruktur und Engine-Ausgaben als feindliche Eingaben und prüft nur die Bytes, deren Hash es beim Annehmen bildete, nie die Quelldatei, die außerhalb seiner Vertrauensgrenze liegt.

2: Getrennte Stufen: Validierung, dann Prüfung
17: Deterministische Validierungsregeln
4: Prüf-Engines: Erkennung von Datenabfluss, ClamAV, YARA und das KI-Modell
0: Veränderte Bytes in der zugestellten Datei

Siebzehn Validierungsregeln

Gruppe	Schützt vor
Benennung	Namen, die das Zieldateisystem stören, täuschen oder verlassen, einschließlich reservierter Gerätenamen und Pfadüberschreitung.
Typ	Inhalt, der kein zugelassener Typ ist oder dessen erkannter Typ seiner Endung widerspricht.
Größe	Dateien, größer als Route und Appliance ausgelegt sind.
Archive	Archivbomben, Einträge, die beim Entpacken ausbrechen, Links nach außen und verschlüsselte Inhalte, die nicht prüfbar sind.
Aktive Inhalte	PDF- und Office-Dokumente mit eingebettetem Skript oder Makros.

Ein verschlüsseltes Archiv gilt nicht als bösartig. Es ist Inhalt, in den keine Engine hineinsehen kann, und eine Route, die es annimmt, hat bewusst entschieden.

Vom Nachweis zum Ergebnis

Was gefunden wurde	Ergebnis
Ein kritischer, hoher oder mittlerer Befund	Quarantäne
Das KI-Modell hält die Datei für schädlich oder fehl am Platz	Quarantäne
Nur niedrige oder informative Befunde	Durchlassen
Keine Befunde, und jede Pflicht-Engine wurde fertig	Durchlassen
Eine Pflicht-Engine wurde nicht fertig oder war nicht verfügbar	Fehler des Mechanismus, nie Quarantäne

Quarantäne ist endgültig

Eine Datei in Quarantäne wird nie zugestellt. Das gilt an mehreren unabhängigen Stellen, sodass ein einzelner Fehler es nicht öffnen kann. Der Ablauf der Appliance hat keinen Ausgang aus der Quarantäne, die Schnittstelle keinen Freigabeweg, die Berechtigungsliste keine Freigabeberechtigung und die Quarantäneseite keine Freigabetaste.

Ein Bediener kann jedes zurückgehaltene Element mit Route, Grund und vollständigem Nachweis sehen, einen Bericht seiner Metadaten exportieren und es mit protokolliertem Grund vorzeitig entsorgen. Lesen, herunterladen, freigeben oder neu verarbeiten kann er es nicht. Eine fälschlich zurückgehaltene Datei wird mit dem Eigentümer des erzeugenden Systems geklärt und, wenn die Richtlinie falsch war, durch eine protokollierte Richtlinienänderung; danach sendet die Quelle erneut.