外来文件威胁检测与隔离 | Ftrans B2B

到货即隔离，解密之后再杀毒——密文阶段查不出的东西，早放行一步就进来了。

一句话定义

外来文件威胁检测与隔离，指外部伙伴发进企业的文件在投递到内部目标之前，先被强制拦在隔离区，按顺序完成外层预检、解密验签与威胁检测，全部通过后才由安全放行闸放行。 未通过的文件停留在隔离区，不进入企业内部。

一、这个能力解决什么问题

企业间文件交换里，入向是被低估的一侧。出向丢文件是”泄密”，容易被重视；入向收文件是”日常业务”，往往就一路直通到了内部共享目录。

没有平台承接时，典型状态是这样的：

其中第二条最值得单独说：加密来件不能直接送进杀毒引擎。 引擎面对密文只能看到一段无法解析的字节，检测能力有限。所以有效的做法只有一条——先在受控环境里解密，再在同一个受控环境里检测。让业务人员把文件解密到自己电脑上再”看一眼”，等于把最危险的那一步挪到了管控范围之外。

→ 出向与入向为什么必须是不同的顺序见 文件出入向安全治理

二、怎么工作：隔离区里的四段处理

入向的全部处理都发生在隔离区内。文件从进入平台到被投递之前，不会出现在任何内部目标上。

四个阶段里有两处容易被误读，需要说清楚：

外层预检的”有限”是字面意思。 外层预检只针对加密来件，能做的检查有限——它检查的是这个包本身，不是包里的内容。它不能替代威胁检测，只是在解密之前先做一次成本较低的筛查。

解密验签之后，明文仍然在隔离区里。 解密与验签通过不等于文件可信，它只说明”来源是对的、内容没被篡改”，不说明”内容是干净的”。所以解密后的明文继续留在隔离区，等待威胁检测。

2.1 数据入口：五条路都进同一个隔离区

伙伴的文件可能从五种入口进来：上传到平台内置的传输服务、通过收集链接提交、由平台扫描伙伴侧的存储位置取回、伙伴经协议直连主动推送、以及伙伴库内的人工选择。

无论从哪条路进来，都进同一个隔离区、走同一套四段处理。 不存在”因为是协议直连所以更可信”或”因为是熟悉的伙伴所以跳过检查”的通道。

→ 协议直连也走同一顺序，协议本身见 OFTP2 文件收发

2.2 威胁检测：从一个引擎到多个引擎加沙箱

威胁检测的检测能力分标配与可选组件两档：

• 基础防病毒引擎（标配） —— 随产品内置，自动病毒检测、病毒文件自动隔离、发现即通知。
• 商用国产化防病毒引擎（可选组件） —— 在有信创或国产化要求时选配，自动检测与隔离。
• 高级威胁检测（可选组件） —— 多杀毒引擎集成与安全沙箱集成，支持检测器的启用禁用管理、检测参数配置、检测顺序配置与检测日志聚合。

检测阶段同时执行文件真实类型识别与压缩包内部识别——这两件事决定了扫描是不是在扫真东西：不展开压缩包，包里的内容就没被看过；不识别真实类型，改过扩展名的可执行文件就可能被当成文档放过去。

选配判断很直接：如果交换对象涉及不可信来源、或曾经发生过恶意文件事件，应当选配高级威胁检测；如果有信创或国产化要求，应当选配商用国产化防病毒引擎。只用内置引擎也能工作，但检出深度不同，选型时不要用一个”支持杀毒”混过去。

→ 标配与可选组件的完整划分见 B2B 产品构成与选配

2.3 安全放行闸：通过才投递

四段处理全部通过之后，由安全放行闸放行，投递到内部目录或 NAS、发布到内部 Web 提取区，或经对象存储与 API 回调投递到内部业务系统。

未通过的文件停留在隔离区，不进入内部目标。 平台提供隔离区管理：可查看隔离记录，按需清理或下载被隔离的文件——保留下载能力是为了让安全人员能做取证分析，而不是让业务人员绕过检查。

三、配置与运维要点

3.1 白名单是给例外准备的，不是给麻烦准备的

产品支持文件安全白名单：上传文件维护白名单，白名单内的文件允许交换。

这项能力用于处理确定的误报——某些内部工具、特定格式的工程文件会被引擎误判，白名单能让业务继续。但它同时是入向控制上最容易被滥用的口子：一旦某家伙伴的文件”总是被拦”，最省事的处理就是加白名单，于是这条通道的检查实际上失效了。建议把白名单的添加纳入审批与定期复核，而不是交给一线运维随手处理。

3.2 检测顺序与参数按引擎组合调整

选配高级威胁检测后，可以管理各检测器的启用与禁用、配置检测参数与检测顺序。多引擎串联会增加处理耗时，检测顺序与参数的取值需要结合实际交换量在实施阶段确定，不存在一套通用的最优配置。

3.3 检测结果进日志，不只是弹个通知

多引擎的检测信息会聚合进检测日志——这是产品七类日志中的一类。被审计或复盘安全事件时，”这个文件当时被哪些引擎扫过、结论是什么”是可以查到的，不依赖当时那个通知有没有人看到。

→ 日志类型、查询导出与保留归档见 交换全程审计与日志追溯

3.4 已有防病毒系统怎么衔接

如果企业已经部署了统一的防病毒或内容安全系统，产品支持 ICAP 协议，可对接第三方防病毒与 DLP 系统。这种情况下平台负责编排——把文件在正确的时点送检、并按返回结果决定是否放行，检测判断仍由既有系统给出。

→ 集成方式与边界见 与既有业务系统协同

四、与其他能力的关系

• 它在整条流水线的位置 —— 受控隔离、外层预检、解密验签与威胁检测是入向四段的全部内容。→ 文件出入向安全治理
• 入向不做敏感内容检查与人工审核 —— 这两段属于出向方向，产品不在入向重复设置。→ 外发内容检查与敏感信息识别
• 解密用的密钥由平台托管 —— PGP 私钥与协议证书私钥不下发到业务侧。→ 外部凭据托管的安全设计与评审配合 · 外部账号与密钥集中托管
• 检测过程的记录 —— 检测日志是七类日志之一。→ 交换全程审计与日志追溯
• 典型场景 —— 同时对接多家客户或主机厂时，来件来源可信度参差不齐，入向统一处理的收益最明显。→ 汽车与零部件行业文件安全交换 · 合作伙伴文件安全交换

常见问题