Контроль содержимого и карантин

Ничто не проходит без проверки

Прежде чем что-либо переместится, каждый файл проходит два отдельных этапа: детерминированную проверку, затем анализ механизмами. Проверка отвечает только «да» или «нет», и каждый ответ записывается вместе с версией, которая его дала. ARP считает имена файлов, расширения, заявленные типы, структуру архивов и вывод механизмов враждебными входными данными и проверяет только те байты, хеш которых вычислил при приёме файла, а не исходный файл, который находится за пределами его границы доверия.

2: Отдельных этапа: проверка, затем анализ
17: Детерминированных правил проверки
4: Механизма анализа: обнаружение утечек данных, ClamAV, YARA и модель ИИ
0: Изменённых байтов в доставленном файле

Семнадцать правил проверки

Группа	Защищает от
Имена	Имён, которые ломают файловую систему назначения, вводят в заблуждение или выходят за её пределы, включая зарезервированные имена устройств и обход путей.
Тип	Содержимого недопустимого типа или такого, чей определённый тип противоречит расширению.
Размер	Файлов крупнее, чем рассчитаны маршрут и устройство.
Архивы	Архивных бомб, записей, выходящих за пределы распаковки, ссылок наружу и зашифрованного содержимого, которое невозможно проверить.
Активное содержимое	Документов PDF и Office со встроенными скриптами или макросами.

Зашифрованный архив не считается вредоносным. Это содержимое, в которое не может заглянуть ни один механизм, и маршрут, который его принимает, сделал осознанный выбор.

От доказательств к результату

Что найдено	Результат
Критическая, высокая или средняя находка	Карантин
Модель ИИ считает файл вредоносным или неуместным	Карантин
Только низкие или информационные находки	Пропуск
Находок нет, и все обязательные механизмы отработали	Пропуск
Обязательный механизм не отработал или был недоступен	Сбой как неисправность механизма, никогда не карантин

Карантин окончателен

Файл в карантине никогда не доставляется. Это соблюдается в нескольких независимых местах, так что одна ошибка в политике не может его открыть. В порядке работы устройства нет выхода из карантина, в интерфейсе нет способа его выпустить, в списке разрешений нет разрешения на выпуск, а на странице карантина нет кнопки выпуска.

Оператор может видеть каждый задержанный элемент с его маршрутом, причиной и всеми доказательствами, выгрузить отчёт по его метаданным и досрочно утилизировать его с причиной, попадающей в аудит. Оператор не может прочитать, скачать, выпустить или повторно обработать его. Ошибочно помещённый в карантин файл решается с владельцем системы, которая его создала, и, если политика была неверной, проверяемым изменением политики; после этого источник отправляет файл заново.