Comprobación del contenido y cuarentena

Nada pasa sin comprobar

Antes de que nada se mueva, cada archivo pasa por dos etapas separadas: validación determinista y, después, inspección con motores. Una comprobación solo responde sí o no, y cada respuesta se registra con la versión que la dio. ARP trata los nombres de archivo, las extensiones, los tipos declarados, la estructura de los archivos comprimidos y la salida de los motores como entradas hostiles, y solo comprueba los bytes cuyo hash calculó al admitir el archivo, nunca el archivo de origen, que queda fuera de su frontera de confianza.

2: Etapas separadas: validación y después inspección
17: Reglas de validación deterministas
4: Motores de inspección: detección de fuga de datos, ClamAV, YARA y el modelo de IA
0: Bytes alterados en el archivo entregado

Diecisiete reglas de validación

Grupo	Protege contra
Nombres	Nombres que rompen, engañan o escapan del sistema de archivos de destino, incluidos los nombres de dispositivo reservados y el recorrido de directorios.
Tipo	Contenido que no es de un tipo aceptado, o cuyo tipo detectado contradice su extensión.
Tamaño	Archivos mayores de lo que la ruta y el appliance pueden admitir.
Archivos comprimidos	Bombas de compresión, entradas que escapan de la extracción, enlaces que apuntan fuera y contenido cifrado que no se puede inspeccionar.
Contenido activo	Documentos PDF y Office con scripts o macros incrustados.

Un archivo comprimido cifrado no se considera malicioso. Es contenido en el que ningún motor puede mirar, y una ruta que lo acepta ha tomado una decisión deliberada.

De la prueba al resultado

Qué se encontró	Resultado
Un hallazgo crítico, alto o medio	Cuarentena
El modelo de IA considera el archivo malicioso o fuera de lugar	Cuarentena
Solo hallazgos bajos o informativos	Pasa
Ningún hallazgo, y todos los motores obligatorios terminaron	Pasa
Un motor obligatorio no terminó o no estaba disponible	Falla como avería del mecanismo, nunca va a cuarentena

La cuarentena es definitiva

Un archivo en cuarentena nunca se entrega. Esto se mantiene en varios lugares independientes, de modo que un solo error no puede abrirla. El proceso del appliance no tiene salida de la cuarentena, la interfaz no tiene forma de liberarlo, la lista de permisos no tiene permiso de liberación y la página de cuarentena no tiene botón de liberación.

Un operador puede ver cada elemento retenido con su ruta, su motivo y todas sus pruebas, exportar un informe de sus metadatos y eliminarlo antes de tiempo con un motivo auditado. Un operador no puede leerlo, descargarlo, liberarlo ni volver a procesarlo. Un archivo puesto en cuarentena por error se resuelve con el responsable del sistema que lo produjo y, si la política estaba mal, con un cambio auditado de la política; después el origen lo vuelve a enviar.