Jeden plik. Jeden możliwy atak.

Pozytywny lub negatywny wynik skanowania nie odpowiada jeszcze na każde pytanie, jakie stawia aplikacja. Jakie typy plików są potrzebne w procesie biznesowym, jaka aktywna zawartość jest dozwolona i co ma się stać z nieznanym wynikiem? Wspólnie definiujemy zasady na podstawie faktycznego procesu biznesowego. Multiscanning i Content Disarm and Reconstruction są przy tym stosowane jako metody uzupełniające. Plik potrzebny w procesie biznesowym nie jest po prostu przekazywany dalej bez sprawdzenia; o tym, czy i w jakiej formie dotrze do kolejnego etapu, decyduje stan jego przetworzenia.

Oczyszczanie może zmieniać zawartość, dlatego musi być testowane na reprezentatywnych dokumentach. Makra lub inne aktywne elementy mogą być istotne dla procesu biznesowego, choć zgodnie z polityką ochrony powinny zostać usunięte. Takie konflikty wymagają świadomej decyzji. W przypadku zaszyfrowanych archiwów zawartość musi najpierw zostać udostępniona za pomocą hasła przekazanego w dozwolony sposób; skaner nie może po prostu obejść nieznanego szyfrowania. Dlatego dla plików niemożliwych do sprawdzenia, błędów formatu i przekroczeń limitów uzgadnia się jasne procedury wyjątków i kwarantanny.

Odpowiedni sposób wdrożenia zależy od wolumenu plików, ich rozmiaru, zróżnicowania formatów i dopuszczalnego czasu oczekiwania. Centralny punkt sprawdzania dla przewidywalnych ilości stawia inne wymagania niż silnie zmienny wolumen przesyłanych plików w aplikacji SaaS. Wspólnie analizujemy przewidzianą przepustowość i wymagane moduły oraz testujemy reprezentatywny zbiór plików. Na tej podstawie wyznacza się wydajność, kolejki i zachowanie w przypadku zakłóceń. Dostępny obraz chmurowy lub kontener jest przy tym jedną ze ścieżek wdrożenia, a jeszcze nie w pełni skonfigurowaną i obsługiwaną usługą.

W środowiskach on-premises lub odizolowanych dochodzą kwestie aktualizacji, licencji i dozwolonej wymiany informacji. Aktualizacje silników skanujących oraz zewnętrzne zapytania o reputację lub dane z threat intelligence muszą być zgodne z koncepcją eksploatacji. Sam system skanowania plików nie tworzy przy tym jeszcze dopuszczonego połączenia między domenami bezpieczeństwa. Tam, gdzie wymagane są kontrolowane transfery lub procedury air gap, sprawdzanie jest osadzane w przewidzianym do tego procesie całościowym. Dopuszczalna architektura i jej zatwierdzenie pozostają odrębną decyzją projektową.

Aplikacje potrzebują jednoznacznej odpowiedzi, podczas gdy SOC potrzebuje dodatkowych szczegółów do analizy. Dlatego oddzielamy biznesowy status zatwierdzenia od szczegółowych informacji analitycznych. Wyniki są łączone z przewidzianą operacją na pliku, a dzienniki zdarzeń są dostarczane do uzgodnionych odbiorców. Sposób przechowywania i prawa dostępu należy przy tym wybierać świadomie, ponieważ same raporty i metadane mogą zawierać informacje wrażliwe. W przypadku ręcznych sprawdzeń dokumentuje się odpowiedzialność oraz warunki późniejszego zatwierdzenia.

Przed uruchomieniem produkcyjnym testowane są dozwolone pliki, oczekiwane blokady oraz błędy techniczne. Należą do nich przekroczenia limitu czasu i niekompletne analizy, a także zwykłe wyniki. Wskaźniki producenta opisują określone zakresy produktu lub testy i nie są gwarancją wykrycia każdego zagrożenia. Dla Państwa przedsięwzięcia liczą się faktycznie licencjonowane moduły, Państwa zasady oraz sprawdzone procedury eksploatacyjne. Przekazanie sprawia, że ta podstawa jest przejrzysta, i określa, w jaki sposób uwzględniane będą nowe typy plików lub zmienione wymagania.