Bardin Gate ARP
بررسی محتوا و قرنطینه
هیچ فایلی بی‌بررسی عبور نمی‌کند
پیش از هر جابه‌جایی، هر فایل از دو مرحله‌ی جدا می‌گذرد: اول اعتبارسنجی با قاعده‌های قطعی، بعد بازرسی با موتورها. هر بررسی فقط «بله» یا «نه» جواب می‌دهد و هر جواب همراه با نسخه‌ی بررسی‌کننده ثبت می‌شود. در ARP نام فایل، پسوند، نوع اعلام‌شده، ساختار فایل فشرده و خروجی موتورها همه ورودی نامطمئن به حساب می‌آیند، و بررسی فقط روی همان بایت‌هایی انجام می‌شود که هنگام پذیرش هش آن‌ها گرفته شده است، نه روی فایل مبدأ که بیرون از مرز اعتماد است.
- ۲
- مرحله‌ی جدا: اعتبارسنجی، بعد بازرسی
- ۱۷
- قاعده‌ی اعتبارسنجی قطعی
- ۴
- موتور بازرسی: تشخیص نشت داده، ClamAV، YARA و مدل هوش مصنوعی
- ۰
- بایت تغییریافته در فایل تحویل‌شده
هفده قاعده‌ی اعتبارسنجی
| گروه | جلوی چه چیزی را می‌گیرد |
|---|---|
| نام‌گذاری | نام‌هایی که فایل‌سیستم مقصد را خراب می‌کنند، گمراه‌کننده‌اند یا از پوشه‌ی مقصد بیرون می‌زنند، از جمله نام‌های رزروشده. |
| نوع | محتوایی که از نوع‌های پذیرفته نیست، یا نوع واقعی‌اش با پسوندش نمی‌خواند. |
| اندازه | فایل‌هایی بزرگ‌تر از آنچه مسیر و دستگاه برایش آماده‌اند. |
| فایل فشرده | بمب‌های فشرده‌سازی، فایل‌هایی که هنگام باز شدن از پوشه‌ی خود بیرون می‌زنند، پیوند به بیرون، و محتوای رمزگذاری‌شده‌ای که نمی‌شود بازرسی‌اش کرد. |
| محتوای فعال | سندهای PDF و آفیس که اسکریپت یا ماکرو در خود دارند. |
فایل فشرده‌ی رمزگذاری‌شده بدافزار شمرده نمی‌شود؛ محتوایی است که هیچ موتوری نمی‌تواند درونش را ببیند. مسیری که آن را بپذیرد، این را آگاهانه انتخاب کرده است.
از شواهد تا نتیجه
| آنچه یافت شد | نتیجه |
|---|---|
| یافته‌ای بحرانی، شدید یا متوسط | قرنطینه |
| مدل هوش مصنوعی فایل را مخرب یا نابه‌جا تشخیص می‌دهد | قرنطینه |
| فقط یافته‌های کم‌اهمیت یا اطلاعاتی | عبور |
| هیچ یافته‌ای نیست و همه‌ی موتورهای الزامی کامل شدند | عبور |
| یک موتور الزامی کارش را تمام نکرد یا در دسترس نبود | به‌عنوان خطای سامانه متوقف می‌شود؛ قرنطینه نمی‌شود |
قرنطینه قطعی است
فایل قرنطینه‌شده هرگز تحویل نمی‌شود. این در چند جای مستقل رعایت می‌شود تا یک اشتباه نتواند آن را باز کند: روند کار دستگاه هیچ راه خروجی از قرنطینه ندارد، رابط برنامه‌نویسی راهی برای آزادسازی ندارد، در فهرست مجوزها مجوز آزادسازی نیست و صفحه‌ی قرنطینه دکمه‌ی آزادسازی ندارد.
اپراتور هر مورد قرنطینه را با مسیر، دلیل و شواهد کاملش می‌بیند، می‌تواند گزارشی از اطلاعات آن (نه محتوایش) بیرون ببرد و با ثبت دلیل، آن را زودتر پاک کند. ولی نمی‌تواند محتوایش را بخواند، دانلود کند، آزاد کند یا دوباره پردازش کند. فایلی که به‌اشتباه قرنطینه شده، با صاحب سامانه‌ای که آن را ساخته حل می‌شود و اگر سیاست اشتباه بوده، با تغییری ثبت‌شده در سیاست؛ بعد سامانه‌ی مبدأ دوباره آن را می‌فرستد.
با متخصصان ما گفت‌وگو کنید
از محیط کارتان بگویید و اینکه دستگاه باید چه کاری انجام دهد. یکی از متخصصان ما پاسخ‌تان را می‌دهد.