Autonomous Threat Prevention è il modo in cui R82 ti fa ottenere una policy di Threat Prevention senza scriverla regola per regola: classifichi il ruolo del gateway e un profilo predefinito decide quali motori attivare e con quanta severità. Per rispondere alle domande servono due cose: sapere che cosa fa ogni motore e riconoscere il profilo giusto dallo scenario.

I motori che compongono Autonomous Threat Prevention

Sotto il profilo lavorano Software Blade distinte, ognuna con un compito che le altre non svolgono.

IPS ispeziona pacchetti e flussi con migliaia di firme e con protezioni comportamentali e preemptive: exploit noti, vulnerabilità non ancora corrette, abusi di protocollo, tunneling, applicazioni pericolose.

Anti-Virus è difesa pre-infezione. Analizza i file in ingresso e in uscita con firme in tempo reale e blocca l’accesso ai siti associati a download malevoli.

Anti-Bot è difesa post-infezione. Riconosce la macchina interna già compromessa e blocca la comunicazione verso i server di Command and Control, identificandoli per indirizzo, per pattern di comunicazione e per comportamento.

Threat Emulation e Threat Extraction si occupano entrambe del file sconosciuto, ed è sulla loro differenza che si gioca buona parte delle domande.

Emulazione ed estrazione: due risposte diverse allo stesso file

Threat Emulation è la sandbox: apre il file in un ambiente virtuale e ne osserva il comportamento per emettere un verdetto. L’emulazione può avvenire in tre luoghi, e la scelta cambia sia le prestazioni sia dove finiscono i file. ThreatCloud Emulation: il file viaggia cifrato su TLS verso il cloud Check Point, il gateway consuma poche risorse e l’ambiente di emulazione è sempre aggiornato. Local Emulation: l’appliance analizza dentro la rete interna. Remote Emulation: il gateway inoltra a un’appliance dedicata interna.

Threat Extraction non emette verdetti: bonifica. Due metodi, entrambi da conoscere. Extract rimuove le parti potenzialmente pericolose — macro, JavaScript, immagini e oggetti incorporati — conservando il formato originale. Convert to PDF trasforma il documento in PDF preservando testo e formattazione, con limiti noti su lingue right-to-left e font asiatici. Su posta (SMTP) la copertura dei tipi di file è la più ampia; su web (HTTP e HTTPS) l’estrazione vale solo per i download, non per gli upload, e sul traffico cifrato richiede HTTPS Inspection.

Le due tecnologie sono complementari, non alternative: l’estrazione consegna subito all’utente una versione ripulita mentre l’emulazione prosegue l’analisi. Se il file risulta non malevolo, l’utente può richiedere l’originale tramite un messaggio UserCheck.

I sei profili predefiniti e come si riconoscono

Un profilo è un insieme preconfezionato di scelte: quali tecnologie attivare e con quale severità applicarle. Autonomous Threat Prevention ne offre sei, da associare al ruolo del gateway descritto nella domanda.

  • Recommended for Perimeter — il predefinito. Sicurezza ottimizzata per il gateway perimetrale: navigazione, data center, posta e FTP. È il compromesso consigliato quando più tecnologie girano insieme sullo stesso gateway.
  • Strict Security for Perimeter — stessa copertura del precedente, applicazione più severa, latenza potenzialmente maggiore.
  • Cloud/Data Center — sicurezza ottimizzata per i server, con ampia ispezione del traffico est-ovest; non include sanitizzazione né protezioni anti-phishing.
  • Internal Network — massima sicurezza sul traffico interno, regole aggressive, anch’esso senza sanitizzazione e anti-phishing.
  • Recommended for Guest Network — profilo in detect mode: sorveglia in modo non intrusivo i tentativi di attacco su una rete ospiti o Wi-Fi, generando avvisi senza bloccare il traffico legittimo.
  • Monitor — puramente osservativo, in detect mode su tutte le tecnologie: genera log e report, non applica nulla.

Applicare il profilo e tenerlo aggiornato

Il profilo si assegna al gateway e diventa applicazione reale solo con l’installazione della policy. Gli aggiornamenti si configurano in Security Policies > Threat Prevention > Autonomous Policy > Autonomous Policy Tools > Updates: per default IPS, Anti-Virus e Anti-Bot si aggiornano ogni due ore, il motore di Threat Emulation ogni giorno alle 05:00 e le immagini di emulazione alle 04:00.

Trappole tipiche d’esame

  • Il profilo più severo non è la risposta per default. Strict Security for Perimeter costa latenza. Se lo scenario parla di un gateway carico o di utenti che lamentano lentezza, la risposta attesa è il profilo bilanciato, non quello massimo.
  • Guest Network e Monitor non bloccano nulla. Sono profili in detect mode. Se la domanda chiede di prevenire un attacco e la risposta proposta è uno di questi due, è sbagliata anche quando il contesto — la rete ospiti — sembra combaciare alla perfezione.
  • Cloud/Data Center e Internal Network non hanno sanitizzazione né anti-phishing. Scegliere Cloud/Data Center per un requisito di bonifica degli allegati è l’errore classico: quelle tecnologie, in quel profilo, non ci sono.
  • Emulazione ed estrazione non fanno la stessa cosa. L’emulazione emette un verdetto e richiede tempo; l’estrazione bonifica e consegna subito. Un requisito di consegna immediata all’utente punta a Threat Extraction; un requisito di verdetto su uno zero-day punta a Threat Emulation.
  • Firme ferme non si diagnosticano nella Rule Base. Se lo scenario descrive minacce recenti non rilevate, si guardano gli intervalli in Updates e la connettività del gateway verso ThreatCloud, non le regole.
  • L’estrazione sul web copre i download, non gli upload, e sul traffico HTTPS senza HTTPS Inspection il file semplicemente non viene visto.