فحص مستوى مخاطر امتداد الملف

أدخلوا امتداداً مثل ‎.exe أو docm أو holiday.jpg لتحصلوا على الامتداد بعد توحيده وفئته ومستوى خطورته وحالة المحتوى النشط وتوصية عملية للترشيح. الفحص حتمي ولا يحتاج إلى اتصال بالشبكة. وقد صُمّم لفرز قرارات السياسات لا لفحص محتوى الملف نفسه، لذلك ينبغي استكمال نتيجته بالتحقق من MIME وفحص البرمجيات الخبيثة ومعاينة الأرشيفات وقوائم السماح المعتمدة في مؤسستكم.

استخدموا الامتداد الأخير إشارة سريعة للفرز

يبدأ ترشيح المرفقات غالباً قبل أن يفتح الماسح الملف. فحص اللاحقة الظاهرة قليل الكلفة، ويتيح التمييز فوراً بين الملفات التنفيذية الشائعة والنصوص البرمجية التي تشغّلها المفسرات ومستندات المكاتب القادرة على احتواء وحدات ماكرو وصيغ الوسائط المعروفة. يمكنكم إرسال لاحقة مجردة مثل docm، أو امتداد مسبوق بنقطة مثل .DOCM، أو اسم ملف كامل مثل quarterly-report.docm. تزيل الأداة المسافات المحيطة، وتتجاهل حالة الأحرف، وتحذف استعلام URL أو الجزء المرجعي منه، ثم تصنّف اللاحقة الأخيرة. وتكتسب هذه القاعدة أهمية خاصة في أسماء مثل invoice.pdf.exe، إذ يعتمد التصنيف على ‎.exe لا على النص المطمئن ظاهرياً الذي يسبقه. تتضمن الاستجابة الامتداد الموحّد مع النقطة وفئة السياسة ومستوى خطورة واضحاً وبياناً عما إذا كان النوع يدعم عادةً محتوى نشطاً، إضافة إلى تفسير وإجراء ترشيح موصى به. لذلك تلائم النتيجة بوابات البريد ومواقع الدعم وقواعد سير العمل وصفوف المراجعة البشرية التي تحتاج إلى مصطلحات ثابتة. ومع ذلك، تظل إشارة فرز أولية لأن المهاجم يستطيع إعادة تسمية الملفات، وقد يحمل الملف السليم امتداداً غير صحيح.

تعرّفوا إلى فئات مخاطر المرفقات الأربع

تشمل فئة executable الصيغ التي تستطيع تشغيل الشيفرة مباشرة أو المشاركة في تثبيت البرامج وإعداد النظام. تُمنح مستوى خطورة critical وتوصية بالحظر افتراضياً. أما فئة script فتشمل ملفات المصدر أو الأوامر التي قد تنفذها الصدفة أو المفسر أو بيئة المتصفح أو نظام الأتمتة، ويكون مستواها high. وتحدد فئة document-macro-capable صيغ عائلة Office التي يسمح امتدادها صراحةً بوحدات الماكرو أو الإضافات النشطة، ومنها docm وxlsm وpptm. وتحصل هذه أيضاً على مستوى high لأن مستنداً يبدو اعتيادياً قد يحمل منطقاً قابلاً للتنفيذ. وتضم فئة safe media امتدادات الصور والصوت والفيديو الشائعة التي لا تُشغّل عادةً كبرامج، ويكون مستواها low. لكن وصف «آمنة» نسبي إلى سياسة المرفقات، وليس ضماناً لخلو البايتات من الضرر؛ فقد تستغل صورة تالفة ثغرة في برنامج فك الترميز، ويمكن أن يتضمن SVG محتوى معقداً، وقد لا يطابق الامتداد الصيغة الحقيقية. لذلك توصي حتى النتيجة منخفضة المخاطر بالتحقق من نوع المحتوى والفحص المعتاد للبرمجيات الخبيثة بدلاً من الثقة المطلقة.

تعاملوا بحذر مع الأنواع المجهولة واجمعوا بين الفحوص

ينبغي ألا يفسّر مرشح المرفقات اللاحقة غير المألوفة على أنها دليل أمان. إذا لم تتعرف الأداة إلى الامتداد، فإنها تعيد recognized: false وتضع القيمة في مجموعة سياسة executable بمستوى خطورة critical. وهذا خيار احترازي مقصود: يستطيع المسؤول عزل الملف وفحصه وإضافة قاعدة محلية بدلاً من السماح سهواً بصيغة قد تكون نشطة. في بيئة الإنتاج، اجمعوا هذه النتيجة مع عدة إشارات مستقلة. قارنوا نوع MIME المعلن بالكشف بواسطة البايتات السحرية، وفكوا الأرشيفات داخل ماسح معزول، وارفضوا المحتوى المحمي بكلمة مرور عندما يتعذر فحصه، وابحثوا عن البرمجيات الخبيثة، وتحققوا من أن المرسل وإجراء العمل يحتاجان فعلاً إلى تلك الصيغة. حافظوا على قائمة سماح ضيقة لمسارات العمل التي تقبل الصور أو الفيديو فقط، ولا توسعوها لمجرد اجتياز ملف لهذا الفحص. وسجّلوا اللاحقة الموحّدة والقرار لكي يمكن تدقيق تغييرات السياسة. يبلغ سعر طلب API الواحد $0.002، بينما يتيح التنفيذ في المتصفح النتيجة الحتمية نفسها من دون رفع اسم الملف. تُرفض الامتدادات الفارغة لعدم وجود لاحقة ذات معنى يمكن تصنيفها.