Der Dienst „Erweiterte Malware-Sandbox (WildFire)“ für die Cloud Next Generation Firewall bietet Malwareschutz durch Inline-Machine Learning (ML) und cloudbasiertes Verhaltens-Sandboxing. Der Dienst basiert auf Advanced WildFire von Palo Alto Networks und erweitert den standardmäßigen signaturbasierten Dienst zur Einbruchserkennung und -vermeidung, indem er verdächtige Dateien in Echtzeit auswertet, um zu verhindern, dass Zero-Day-Bedrohungen Ihre Arbeitslasten erreichen.
Die erweiterte Malware-Sandbox ist in den Funktionen der Cloud Next Generation Firewall Enterprise enthalten. Weitere Informationen finden Sie unter Preise und Kontingente und Limits.
In diesem Dokument finden Sie eine Übersicht über die Funktionen, die Architektur, die Kernkomponenten, die unterstützten Dateitypen und die Dienstregionen der erweiterten Malware-Sandbox.
Vorteile der Verwendung der erweiterten Malware-Sandbox
Durch die Integration der erweiterten Malware-Sandbox in die Cloud Next Generation Firewall Enterprise erhalten Sie folgende Funktionen:
Schutz vor unbekannten und Zero-Day-Bedrohungen: Erkennt und blockiert neuartige oder stark angepasste Malware, für die keine etablierten Signaturen vorhanden sind.
Inline-Datenebenenschutz: Fängt Dateiübertragungen in Echtzeit direkt an zonalen Firewall-Endpunkten ab und analysiert sie. Außerdem werden Cloud-Lookups durchgeführt, um die Bedrohungsrisiken zu minimieren.
Threat Intelligence: Neu entdeckte Bedrohungsergebnisse werden automatisch in lokale Signaturdatenbanken aufgenommen.
Umsetzbare Sichtbarkeit und Forensik: Die erweiterte Malware-Sandbox generiert detaillierte Einreichungs- und Bedrohungsprotokolle, die direkt in Cloud Logging integriert werden. Wenn eine Bedrohung erkannt wird, können Sie detaillierte Analyseberichte der Sandbox-Ausführung herunterladen und die tatsächliche Malware-Probe für eine unabhängige Analyse durch das Security Operations Center (SOC) herunterladen.
Funktionsweise der erweiterten Malware-Sandbox
Die erweiterte Malware-Sandbox prüft über das Netzwerk weitergeleitete Dateiübertragungen, indem sie Pakete abfängt, schnelle lokale Prüfungen durchführt und bei Bedarf erweitertes Verhaltens-Sandboxing in die Cloud auslagert.
Das folgende Diagramm zur Architektur der erweiterten Malware-Sandbox zeigt das Abfangen von Paketen von einer Virtual Private Cloud-VM (VPC) zu einem zonalen Firewall-Endpunkt, die parallele Auswertung durch die Inline-ML-Engine und die Signaturdatenbank, Cloud-Lookups in Echtzeit und asynchrones Cloud-Sandboxing.
Die Integration verarbeitet und wertet Dateiübertragungen in den folgenden Phasen aus:
Abfangen und Umleiten von Traffic
Wenn eine VM-Instanz in Ihrem VPC-Netzwerk eine Verbindung oder Dateiübertragung initiiert, leitet die Firewallrichtlinienregel den Fluss so um:
- Abfangen von Paketen: Die Google Cloud Netzwerkkomponente „Paket abfangen“ erfasst Pakete im Trafficstream.
- Umleitung: Die Abfangkomponente leitet die Netzwerkpakete zur Layer-7-Prüfung an den zonalen Firewall-Endpunkt weiter.
Inline-lokale Auswertung
Nachdem der Traffic an den Firewall-Endpunkt weitergeleitet wurde, wird die Datei parallel von zwei leistungsstarken Inline-Engines analysiert:
Signaturbasierte Erkennung: Der Endpunkt vergleicht die Datei mit einer lokalen Datenbank für Bedrohungssignaturen. Diese Datenbank wird in Echtzeit aktualisiert, um erkannte schädliche Dateien zu erkennen und zu löschen.
Inline-ML: Die Inline-ML-Engine führt ML-Modelle direkt in der Firewall-Datenebene aus. Sie analysiert die Datei in Echtzeit, um Zero-Day-Bedrohungen oder hochentwickelte Bedrohungen in unterstützten Dateitypen wie
Windows_Executable,ELF,Powershell_ScriptundMS_Officezu erkennen.
Erweiterte cloudbasierte Prüfung
Bei Zero-Day-Bedrohungen oder Dateien mit nicht erkannten lokalen Signaturen verwendet die erweiterte Malware-Sandbox die erweiterte Cloud-Analyse:
Inline-Cloud-Analyse: Wenn diese Option im Sicherheitsprofil aktiviert ist, hält die Firewall die Dateiübertragung vorübergehend an, während sie in Echtzeit in der Cloud der erweiterten Malware-Sandbox sucht. Die Cloud wertet die Datei aus und sendet ein Signal zurück, bevor die Datei Ihr Netzwerk erreicht.
Die Cloud der erweiterten Malware-Sandbox ist eine Partner-SaaS-Plattform (Software as a Service (SaaS)) die von Palo Alto Networks (PAN) gehostet Google Cloud und betrieben wird. Sie bietet eine detaillierte, asynchrone Malware-Analyse und eine Echtzeit-Bedrohungsbewertung.
Asynchrone Cloud-Sandbox: Wenn das Ergebnis der Datei unbekannt ist, extrahiert die Firewall die Datei und lädt sie asynchron in die Cloud der erweiterten Malware-Sandbox hoch, um sie detailliert in der Sandbox zu analysieren. In dieser isolierten Containerumgebung führen Sicherheits-Engines die Datei aus und prüfen ihr Verhalten.
Erzwingen von Aktionen und Logging
Basierend auf dem Ergebnis (Malware, Grayware oder Gutartig) erzwingt die Firewallregel die Richtlinie so:
Aktion erzwingen: Die Datei wird gemäß Ihrem Sicherheitsprofil für die erweiterte Malware-Sandbox entweder blockiert (
Deny), aufgezeichnet (Alert), oder zugelassen (Allow).Audit-Logs: Ereignisprotokolle werden in Cloud Logging aufgezeichnet, insbesondere im Log
firewall_wildfire_submission. Diese Einreichung sprotokolle werden auf dem Dashboard und der Seite für Einreichungen für die erweiterte Malware-Sandbox angezeigt.Sandbox-Feedback: Nach Abschluss des asynchronen Sandboxing werden ein vollständiger Bericht zum Verhalten und die ursprünglichen Malware-Proben außerhalb des Bandes synchronisiert und für Sie zur Abfrage oder zum Abruf zur Verfügung gestellt.
Komponenten der erweiterten Malware-Sandbox
Wenn Sie die erweiterte Malware-Sandbox verwenden möchten, müssen Sie die folgenden Komponenten konfigurieren:
Sicherheitsprofile und Sicherheitsprofilgruppen
Sicherheitsprofile für die erweiterte Malware-Sandbox: Generische Richtlinienstrukturen vom Typ
WILDFIRE_ANALYSIS. Sie definieren, welche Dateitypen zur Analyse eingereicht werden und in welche Richtung der Traffic fließt. Weitere Informationen finden Sie unter Sicherheitsprofil für die erweiterte Malware-Sandbox.Informationen zur Konfiguration von Sicherheitsprofilen für die erweiterte Malware-Sandbox, siehe Sicherheitsprofile für die erweiterte Malware-Sandbox erstellen und verwalten.
Sicherheitsprofilgruppen: Dienen als Container für Sicherheitsprofile. Jede Gruppe enthält ein oder mehrere Sicherheitsprofile verschiedener Typen. Wenn Sie ein Sicherheitsprofil für die erweiterte Malware-Sandbox in eine Gruppe aufnehmen, ist ein Sicherheitsprofil für den Dienst zur Erkennung und Vermeidung von Einbrüchen erforderlich.
Weitere Informationen finden Sie unter Sicherheitsprofilgruppen erstellen und verwalten.
Firewall-Endpunkte
Ein Firewall-Endpunkt ist eine Organisationsressource, die auf zonaler Ebene erstellt wurde. Er prüft Layer-7-Traffic in der Zone, in der er bereitgestellt wird. Die Endpunkte sind mit einem oder mehreren VPCs in derselben Zone verknüpft. Wenn Sie Traffic für eine Ziel-VM-Instanz filtern möchten, erstellen Sie den Firewall-Endpunkt in derselben Zone wie den VPC, in dem sich die Ziel-VM befindet.
Für einen Firewall-Endpunkt muss die Option Erweiterte Malware-Sandbox (WildFire) aktivieren ausgewählt sein. Diese Einstellung gilt für den gesamten Endpunkt und bestimmt die Region, an die Einreichungen gesendet werden.
Weitere Informationen finden Sie unter Firewall-Endpunkt für die erweiterte Malware-Sandbox.
Firewallrichtlinien
Firewallrichtlinien gelten direkt für den gesamten ein- und ausgehenden Traffic einer VM-Instanz. Sie können hierarchische Firewallrichtlinien und globale Netzwerk-Firewallrichtlinien verwenden, um Firewallrichtlinienregeln mit Layer-7-Prüfung zu konfigurieren.
Firewallrichtlinien-Regeln
Firewallrichtlinienregeln identifizieren den zu prüfenden Traffic und wenden die Sicherheitsprofilgruppe an, die das Sicherheitsprofil für die erweiterte Malware-Sandbox enthält. Erstellen Sie eine Firewallrichtlinienregel, die Folgendes ausführt, um die erweiterte Malware-Sandbox zu konfigurieren:
- Identifiziert den zu prüfenden Traffictyp mithilfe mehrerer Komponenten für Firewallrichtlinienregeln auf Layer 3 und Layer 4 firewall policy rule components.
- Gibt den Namen der Sicherheitsprofilgruppe für die Aktion
apply_security_profile_groupfür den übereinstimmenden Traffic an.
Den vollständigen Workflow für die erweiterte Malware-Sandbox finden Sie unter Erweiterte Malware-Sandbox in Ihrem Netzwerk konfigurieren.
Sie können auch sichere Tags in Firewallregeln verwenden, um die erweiterte Malware-Sandbox zu konfigurieren. Sie können auf der vorhandenen Segmentierung aufbauen, die Sie mit Tags in Ihrem Netzwerk eingerichtet haben, um VM-Instanz-Arbeitslasten selektiv zu identifizieren, deren Dateiübertragungen eine erweiterte Malware-Prüfung erfordern.
Wenn Sie eine Firewallregel so konfigurieren, dass eine Sicherheitsprofilgruppe angewendet wird, und das Ziel auf 0.0.0.0/0 festlegen, wird der Traffic von VMs in Zonen ohne angehängten Firewall-Endpunkt nicht auf Layer 7 geprüft. Die Firewallrichtlinienregel lässt den gesamten Traffic zu, der mit den anderen Regelparametern übereinstimmt, z. B. Quelle, Port und Protokoll. Um eine konsistente Richtlinienerzwingung zu gewährleisten, stellen Sie Firewall-Endpunkte in allen Zonen im VPC-Netzwerk bereit, in denen Sie Arbeitslasten haben, die eine Layer-7-Prüfung erfordern.
Unterstützte Dateitypen und Größenbeschränkungen
In der folgenden Tabelle sind die Dateikategorien, unterstützten Erweiterungen und maximalen Größenbeschränkungen für Dateien aufgeführt, die von der erweiterten Malware-Sandbox analysiert werden:
| Kategorie | Unterstützte Dateiendungen | Maximale Größenbeschränkung |
|---|---|---|
| Ausführbare Dateien (PE) | .dll, .exe, .exe64 |
16 MB |
| Ausführbare Dateien (Linux) | .a, .dex, .elf, .ko, .o, .so |
50 MB |
| Dokumente (Microsoft Office) | .doc, .docx, .xls, .xlsx, .ppt, .pptx, .docm, .dotm, .xlm, .xlsm, .xltm, .pptm, .potm, .ppsm |
16 MB |
| Dokumente (PDF) | .pdf |
3 MB |
| Archive | .rar, .zip, .7z, .zbundle |
50 MB |
| Skripts und Web (APK) | .apk |
10 MB |
| Skripts und Web (JAR) | .jar |
5 MB |
| Skripts und Web (Skripts/Web) | .elink, .hta, .pl, .sh |
20 KB |
Dienstregionen der erweiterten Malware-Sandbox
Eine Region der erweiterten Malware-Sandbox bezieht sich auf den spezifischen Standort, an dem Palo Alto Networks Advanced WildFire hostet. Diese Zonen sind nicht den Standard Google Cloud regionen zugeordnet. Unabhängig davon, wo Ihre Google Cloud Ressourcen bereitgestellt werden, wird der Traffic der erweiterten Malware-Sandbox zur Analyse an die von Palo Alto festgelegten Dienstzonen weitergeleitet.
Wenn Sie beim Konfigurieren des Endpunkts keine Region für die erweiterte Malware-Sandbox angeben, ordnet das System Ihren Traffic automatisch der nächstgelegenen verfügbaren Region für die erweiterte Malware-Sandbox zu. Weitere Informationen finden Sie unter Firewall-Endpunkt für die erweiterte Malware-Sandbox.
In der folgenden Tabelle sind die unterstützten Dienstregionen für die erweiterte Malware-Sandbox aufgeführt:
Standort: Das Land oder geografische Gebiet, in dem Palo Alto Networks die regionale Analyseinfrastruktur für die erweiterte Malware-Sandbox hostet.
Region: Der Konfigurationswert, der beim Erstellen oder Aktualisieren eines Firewall-Endpunkts verwendet werden soll. Beispielsweise im
--wildfire-regionGoogle Cloud CLI-Flag, in API-Anfragen oder in Terraform-Ressourcen.Cloud-Portal von Palo Alto Networks Advanced WildFire: Der vollständig qualifizierte Domainname (Fully Qualified Domain Name, FQDN) für das regionale Dienstportal der erweiterten Malware-Sandbox. Mit diesem FQDN können Sie die Einhaltung des Datenstandorts überprüfen, Sicherheitsgrenzen prüfen oder Zulassungslisten für Firewalls und Proxys konfigurieren.
| Standort | Region | Cloud-Portal von Palo Alto Networks Advanced WildFire |
|---|---|---|
| Australien | AUSTRALIA |
au.wildfire.paloaltonetworks.com |
| Kanada | CANADA |
ca.wildfire.paloaltonetworks.com |
| Frankreich | FRANCE |
fr.wildfire.paloaltonetworks.com |
| Deutschland | GERMANY |
de.wildfire.paloaltonetworks.com |
| Indien | INDIA |
in.wildfire.paloaltonetworks.com |
| Indonesien | INDONESIA |
id.wildfire.paloaltonetworks.com |
| Israel | ISRAEL |
il.wildfire.paloaltonetworks.com |
| Japan | JAPAN |
jp.wildfire.paloaltonetworks.com |
| Polen | POLAND |
pl.wildfire.paloaltonetworks.com |
| Katar | QATAR |
qatar.wildfire.paloaltonetworks.com |
| Saudi-Arabien | SAUDI_ARABIA |
sa.wildfire.paloaltonetworks.com |
| Singapur | SINGAPORE |
sg.wildfire.paloaltonetworks.com |
| Südkorea | SOUTH_KOREA |
kr.wildfire.paloaltonetworks.com |
| Spanien | SPAIN |
es.wildfire.paloaltonetworks.com |
| Schweiz | SWITZERLAND |
ch.wildfire.paloaltonetworks.com |
| Taiwan | TAIWAN |
tw.wildfire.paloaltonetworks.com |
| Vereinigtes Königreich | UNITED_KINGDOM |
uk.wildfire.paloaltonetworks.com |
| USA | UNITED_STATES |
us-native.wildfire.paloaltonetworks.com |
Nächste Schritte
- Erweiterte Malware-Sandbox in Ihrem Netzwerk konfigurieren
- Firewall-Endpunkte erstellen und verwalten
- Sicherheitsprofile für die erweiterte Malware-Sandbox erstellen und verwalten