关于Sophos Intelix未知文件哈希查询始终返回30分的技术咨询

当对未知文件哈希执行Sophos Intelix文件哈希查询时，即使该哈希尚未被Sophos收录，仍会返回30分的信誉评分。随后上传该文件进行静态文件分析时，同样得到30分的评分。这是预期行为吗？我们更希望哈希查询结果能明确提示"文件未知"的错误。对于哈希查询返回30分的文件，是否需要全部提交进行静态分析？

现有脚本代码 #

function GetFileHash($FilePath) {
    $Hash = certutil -hashfile $FilePath SHA256
    
    return $Hash[1]
}

function LookupFileHash($Hash, $AccessToken) {
    $Headers = @{ "Authorization" = $AccessToken }
    $Response = Invoke-RestMethod -Headers $Headers -Method Get -Uri "https://de.api.labs.sophos.com/lookup/files/v1/$Hash"
    $Result = $Response | ConvertTo-Json

    return $Result
}

# 在foreach循环中：
$Hash = GetFileHash $_.FullName
$LookupResult = LookupFileHash $Hash $AccessToken

使用场景 #

• 构建.NET Windows桌面应用时，在生成安装包msi文件前，检查自有文件及来自nuget（尤其是nuget.org）的第三方文件、第三方运行时及SDK。
• 构建Electron应用时，在生成安装包前检查所有包含的第三方二进制文件。因此我们需要在打包前检查混合了自有编译文件（可能包含有害库）及来自多源（nuget、SDK等）的第三方二进制文件。

解答 #

1. 是否为预期行为
   是的，这是Sophos Intelix的预期设计。30分的信誉评分专门用于标记未收录的未知文件——这类文件没有足够的声誉数据（既无恶意标记也无广泛信任记录），所以用中间档分数表示"未知状态"。如果需要区分"已知低风险"和"完全未知"，可以结合API返回的其他字段判断：比如检查reputation.known字段（若存在），或查看analysis相关标记是否显示"未分析"。

2. 是否需要全部提交静态分析
   建议分情况处理：

• 自有编译文件：若是内部可控的代码产物，可优先建立白名单，无需重复提交分析；但如果引入了新的依赖库，最好提交静态分析确认安全性。
• 第三方文件：来自nuget.org等公开源的文件，若哈希查询返回30分，建议提交静态分析——公开源可能存在恶意包，静态分析能检测文件结构、内嵌代码等风险点；对于官方SDK/运行时，可先验证发布渠道的合法性（比如官方签名），确认可信则无需提交。

另外，你可以优化现有PowerShell脚本：在哈希查询后增加逻辑解析返回的JSON，若检测到是未知文件（结合分数和状态字段），再触发静态分析的API调用，减少不必要的请求。

内容的提问来源于stack exchange，提问作者Wolfgang