Bölüm 18: MIME ve Dosya Meta Verisi Filtreleri¶
Genel Bakış¶
Dosya kontrolleri iki katmanda çalışır ve her ikisi de dosyanın beyanına değil, baytlarına bakar:
- MIME Filtre Kuralları (
/admin/mime-filter-rules) — dosyayı türüne göre yargılar: bu bir resim mi, arşiv mi, çalıştırılabilir mi? - Dosya Meta Veri Kuralları (
/admin/file-metadata-rules) — dosyayı taşıdığı diğer her şeye göre yargılar: beyan edilen ad ve uzantı, boyut, beyan edilen tipin baytlarla uyuşup uyuşmadığı ve belgeye gömülü özellikler (yazar, şirket, Microsoft Purview duyarlılık etiketi, EXIF GPS).
Uygulama sırası MIME → dosya meta verisi → OCR'dır. Her iki kural ailesi de kütüphane mantığıyla çalışır ve Access Management üzerinden hedeflere atanarak etkinleşir (Bölüm 11).
Bu kontroller tüm kanallarda çalışır: tarayıcı (transparent proxy), kodlama ajanları (explicit proxy), unified gateway ve /local/; ayrıca yeni arceris-dev ile kodlama ajanlarının (Claude Code vb.) yerelde okuduğu dosyalara da uygulanır — dosyayı çalıştırmak veya kopyalamak okuma sayılmaz, kaynak kod ve metin dosyaları tür yargılamasına girmez (onları PII/DLP metin kuralları kapsar), OCR yerel dosyalara uygulanmaz.
MIME Filtre Kuralları¶
Sayfa üç sekmeden oluşur: Kurallar, MIME Türleri ve MIME Grupları.
Kural formu:
- Name — kuralın görünen adı (ör. "Resim yüklemelerini engelle").
- Effect —
block(engelle) veyaallow(izin ver). Allow, "allowlist" yaklaşımıdır: yalnızca belirli türleri açıp geri kalanı engellemek için kullanılır. - MIME Türleri / Grupları — kütüphanedeki tür ve gruplar seçilir; kütüphanede olmayan türler için Özel MIME Türleri alanına satır satır girilir.
- Enabled — kuralın aktifliği.
Atama mantığı: MIME kuralları Access Management'tan "MIME Filtresi" kural türü olarak hedeflere bağlanır. Hedefe atanmamış (atamasız) kurallar herkese uygulanır; ancak bir kullanıcıya atanmış ve eşleşen kural varsa, atamasız kurallar o kullanıcı için yok sayılır. Kural sayfası yalnızca kuralı yazar — kimin hangi kurala tabi olacağı Access Management'ta belirlenir.
Tür Tanıma: Beyan Değil, İmza¶
Arceris, dosyanın içeriğini istemcinin beyanından bağımsız olarak imzasından tanır. Pratik sonuçlar:
- Gerçek bir
notepad.exe—application/octet-streambeyan etsin ya da.bin/.txt/.pngolarak yeniden adlandırılmış olsun — imzasından tanınır ve engellenir; blok sayfası gerçek türü yazar. - İmzadan tanınan türler: Windows exe/DLL (
application/x-msdownload), Windows Installer (application/x-msi), 7-Zip (application/x-7z-compressed), Linux ELF (application/x-executable), macOS Mach-O (application/x-mach-binary) ve tar (application/x-tar). Tür kütüphanesinde hazır "Çalıştırılabilir" grubu vardır. - Aynı türün yazım varyantları birbirine eşlenir (
application/gzip=application/x-gzip,application/vnd.rar=application/x-rar-compressed, …) — kütüphanenin "GZIP" kaydını kullanan bir kural gerçek.gzyüklemesini yakalar. - Gövdeye gömülü (inline base64) veriler de yargılanır: metne çözülen base64 dosya sayılmaz; kısa arşiv/çalıştırılabilir taşıyan inline veriler (128 base64 karakterden itibaren) yakalanır.
- İzin listesi dosyasız sohbetleri engellemez: protobuf/Connect gövdeleri, form alanları dosya değildir. API istemcilerinde MIME bloğu HTML blok sayfası yerine sağlayıcının kendi JSON hatasıyla yanıtlanır.
- Kodlama ajanlarının gönderimlerinde kurallar dosyanın gerçek adını görür (
filename_source=tool_input).
Office Belgeleri Artık "zip" Değil (v1.3.0 davranış değişikliği)¶
docx/xlsx/pptx ve ODF belgeleri zip kapsayıcısıdır; eskiden imza taraması her Office belgesini application/zip raporluyordu. Tarama artık kapsayıcının içine bakıp gerçek belge türüne daralıyor (wordprocessingml.document, spreadsheetml.sheet, presentationml.presentation, ODF türleri ve makro/şablon varyantları). Yükseltmeden sonra bilinmesi gerekenler:
block application/zipkuralı Office/ODF belgelerini artık engellemez — amaç buysa belge türleri açıkça engellenmelidir. Açılışta INFO satırı bu tür kuralları isimlendirir.- Yalnızca
application/zipiçeren bir izin listesi Office/ODF belgelerini artık REDDEDER (kendi türleriyle yargılanırlar). Açılışta WARN (WarnZipContainerNarrowing) bu kuralları isimlendirir. - Daralma fail-closed'ir:
.docxdiye yeniden adlandırılmış düz zip, bozuk/kesik arşiv, şüpheli paket (güvensiz girdi yolları, yinelenen parça adları, OPC içerik türü olmayan girdi, iki farklı ana parça)application/zipkalır ve arşiv kuralınca eskisi gibi engellenir. - Beyan sahtekârlığı yakalanır: bir belge türü beyan edip başka belge türünün baytlarını taşıyan dosya (xlsx beyanı, docx baytları) uyuşmazlık sayılır (aşağıda Declared/Sniffed uyuşmazlığı).
- Gemini yüklemeleri artık baytlarından yargılanır (daha önce form gövdesi olarak okunduğu için hiçbir MIME kuralı çalışmıyordu); multipart parçaları ve prompt içinden çıkarılan dosyalar, explicit proxy'nin verdiği kararla aynı tek-dosya kararıyla (koklanan + beyan edilen tür) yargılanır.
Yerleşik "Belgeler" İzin Listesi¶
Kütüphanedeki yerleşik Belgeler izin listesi, eski biçimli (gerçek .doc/.xls/.ppt) ve şifreli Office dosyalarını da tanır (CFB koklaması) — bunlar "okunamadı" değil, bilinen belge kabul edilir. Beyan edilen tür, koklanan gerçek türle birlikte yargılanır.
Ek Sınırı¶
Bir istekteki ek sayısı sınırı aşarsa (128 ek; OCR'da 32) istek, taranmadan iletilmek yerine not_scanned_file_cap gerekçesiyle reddedilir (Bölüm 33).
MIME Türü ve Grup Kütüphanesi¶
Kurallarda kullanılacak türler ve gruplar MIME Türleri ve MIME Grupları sekmelerinde yönetilir. Tür kayıtları: Name, MIME (image/jpeg gibi), Category (Resimler, Videolar, Ses, Belgeler, Arşivler, Çalıştırılabilir, Kod) ve Builtin bayrağı. Gruplar, türleri tek başlık altında toplayıp kurallara topluca bağlamayı sağlar ("tüm görselleri engelle" gibi). Yerleşik kayıtlar salt okunurdur; özel tür/grup eklenebilir, düzenlenebilir.
Dosya Meta Veri Kuralları¶
Sayfa (/admin/file-metadata-rules) MIME'in baktığı "tür"ün ötesinde dosyanın kimliğine bakar. Kullanım örnekleri: ".exe eklerini engelle", "Confidential etiketli dosyaları engelle", "5 MB üstü belgeleri engelle".
Kural formu — tüm predicate'ler VE bağlantılıdır; tetiklenme için hepsi aynı dosyada eşleşmelidir:
| Predicate | Açıklama |
|---|---|
| Uzantılar | Virgülle ayrılmış liste (.exe, .docx, .zip) — beyan edilen dosya adında eşleşir |
| Dosya adı desenleri (glob) | Satır başına bir desen; yalnızca * ve ? joker, büyük/küçük harf duyarsız; regex DEĞİLDİR |
| Dosya adı regex | İsteğe bağlı RE2 deseni, büyük/küçük harf duyarsız |
| Şundan küçük / büyük (MB) | İki sınır tek predicate'tir: sınırların dışındaki dosya eşleşir; 0 = sınır yok. Adlı-adsız her dosyaya uygulanır |
| Beyan/gerçek tip uyuşmazlığı | Beyan edilen tip baytlarla uyuşmayan dosyayı eşleştirir (png diyen exe). Zip kapsayıcısından gerçek belgeye daralan docx uyuşmazlık değildir |
| Gömülü belge özellikleri | Özellik başına bir satır (anahtar, operatör, değer; tüm satırlar VE): Office docProps (Purview MSIP_Label_* dahil), PDF Info/XMP, JPEG EXIF, PNG metin, custom.<ad> |
| Meta veri durumu | Meta veri var (en az bir tanımlayıcı özellik taşıyan desteklenen belge) / Meta veri yok — temizlenmiş / Tip meta veri taşımıyor (.txt, .csv, düz zip) / Okunamıyor (şifreli/RMS korumalı/bozuk). Birden çok seçilebilir (VEYA) |
Önemli: Ad tabanlı predicate'ler yalnızca istemcinin gerçekten gönderdiği dosya adını görür; gateway'in sentezlediği adlarla asla eşleşmez.
Etki ve öncelik:
- engelle — yüklemeyi reddeder.
- izin ver (istisna) — aynı kullanıcıya bağlı daha genel bir engellemeye istisnadır; tek başına asla engellemez. Eşleşen engelleme ve izin arasında KÜÇÜK öncelik numarası kazanır (1, 50'yi yener); eşitlikte izin istisnası kazanır.
- yalnız tespit — eşleşmeyi reddetmeden kaydeder, kararı asla belirlemez. Bir kuralı engellemeye almadan önce bu modda pilot edin.
Meta veri okunamazsa (fail behavior): Şifreli veya bozuk bir belgenin özellikleri incelenemediğinde closed engeller, open uyarı satırıyla iletir — dosya asla temiz olarak raporlanmaz. Dosyanın baytları gateway'e hiç ulaşmadığında (doğrudan CDN'e yüklenen ChatGPT ekleri gibi) da bu ayar karar verir. Eski biçim .doc/.xls/.ppt dosyaları okunur (kullanıcı tanımlı özellikler ve Purview etiketi dahil); RMS korumalı dosyalar "okunamıyor" raporlanır.
Kuralı Gerçek Dosyayla Test Etme¶
Kural editöründeki test konsolu, seçilen dosyada gerçek çıkarıcıyı çalıştırır: ya yalnız bu kuralı, ya da öncelik yarışını görmek için tüm aktif kurallarla birlikte. Sonuç; hangi predicate'in eşleşip hangisinin eşleşmediğini (N/M dökümü), çıkarılan özellikleri ve gerekçeyi gösterir. Hiçbir şey saklanmaz; dosya yargılanıp atılır. Kuralları canlıya almadan önce bu konsolda denemek, predicate mantığı hatalarını (fazla katı VE zincirleri) en ucuz yoldan yakalar.
Atama ve Aktiflik¶
Bu sayfa yalnızca kuralı yazar; kullanıcı, rol, grup veya IP'lere atama Access Management'tan yapılır. Atanmamış dosya meta veri kuralı kimseye uygulanmaz. "Aktif" anahtarı kapalıysa kural atanmış olsa bile kimseyi taramaz; atama bu anahtarı değiştirmez.
Operasyonel Bağlam¶
- Hangi kullanıcının hangi kurallara tabi olduğu ve bir blokun hangi kuralladan geldiği: Bölüm 11 (Access Management) ve Bölüm 25 (denetim kayıtları, deny satırlarında kural zinciri).
- OCR kurallarıyla birlikte kullanım: Bölüm 19; DLP/ICAP: Bölüm 20.
- Bu sayfaların görünür olması lisans paketine bağlı değildir.