Verificação do conteúdo e quarentena

Nada passa sem verificação

Antes que qualquer coisa se mova, cada arquivo passa por duas etapas separadas: validação determinística e, depois, inspeção por motores. Uma verificação só responde sim ou não, e cada resposta é registrada com a versão que a deu. O ARP trata nomes de arquivos, extensões, tipos declarados, estrutura de arquivos compactados e a saída dos motores como entradas hostis, e verifica apenas os bytes cujo hash calculou ao admitir o arquivo, nunca o arquivo de origem, que fica fora da sua fronteira de confiança.

2: Etapas separadas: validação e depois inspeção
17: Regras de validação determinísticas
4: Motores de inspeção: detecção de vazamento de dados, ClamAV, YARA e o modelo de IA
0: Bytes alterados no arquivo entregue

Dezessete regras de validação

Grupo	Protege contra
Nomes	Nomes que quebram, enganam ou escapam do sistema de arquivos de destino, incluindo nomes de dispositivo reservados e travessia de caminho.
Tipo	Conteúdo que não é de um tipo aceito, ou cujo tipo detectado contradiz a extensão.
Tamanho	Arquivos maiores do que a rota e o appliance comportam.
Arquivos compactados	Bombas de compactação, entradas que escapam da extração, links que apontam para fora e conteúdo cifrado que não pode ser inspecionado.
Conteúdo ativo	Documentos PDF e Office com scripts ou macros embutidos.

Um arquivo compactado cifrado não é julgado malicioso. É um conteúdo em que nenhum motor consegue olhar, e uma rota que o aceita fez uma escolha deliberada.

Da prova ao resultado

O que foi encontrado	Resultado
Um achado crítico, alto ou médio	Quarentena
O modelo de IA julga o arquivo malicioso ou fora do lugar	Quarentena
Apenas achados baixos ou informativos	Passa
Nenhum achado, e todos os motores obrigatórios concluíram	Passa
Um motor obrigatório não concluiu ou estava indisponível	Falha como defeito do mecanismo, nunca vai para a quarentena

A quarentena é definitiva

Um arquivo em quarentena nunca é entregue. Isso vale em vários lugares independentes, para que um único erro não a abra. O processamento do appliance não tem saída da quarentena, a interface não tem como liberá-lo, a lista de permissões não tem permissão de liberação e a página de quarentena não tem botão de liberação.

Um operador pode ver cada item retido com sua rota, seu motivo e todas as provas, exportar um relatório dos metadados e descartá-lo antes do prazo com um motivo auditado. Um operador não pode lê-lo, baixá-lo, liberá-lo nem reprocessá-lo. Um arquivo posto em quarentena por engano é resolvido com o responsável pelo sistema que o produziu e, se a política estava errada, por uma alteração auditada da política; a origem então envia de novo.