WildFire-Übersicht

Vorschau

Diese Funktion unterliegt den „Bedingungen für Pre-GA-Angebote“ im Abschnitt „Allgemeine Dienstbedingungen“ der dienstspezifischen Nutzungsbedingungen. Pre-GA‑Funktionen stehen in der vorliegenden Form zur Verfügung und bieten möglicherweise nur eingeschränkten Support. Weitere Informationen finden Sie unter den Beschreibungen der Startphase.

Der WildFire-Dienst für Cloud Next Generation Firewall bietet erweitertes Malware-Sandboxing und dynamisches maschinelles Lernen (ML), um Ihr Netzwerk vor unbekannten, neuartigen und dateibasierten Bedrohungen zu schützen.

Ein standardmäßiger signaturbasierter Dienst zur Einbruchserkennung und -prävention kann nur Bedrohungen mit erkannten Signaturen blockieren. WildFire hingegen analysiert verdächtige oder unbekannte Dateien in Echtzeit und verhindert so, dass Zero-Day-Malware Ihre Arbeitslasten erreicht.

WildFire ist in den Funktionen von Cloud Next Generation Firewall Enterprise enthalten. Weitere Informationen finden Sie unter Preise.

Informationen zu Limits für WildFire-Ressourcen finden Sie unter Kontingente und Limits.

Vorteile von WildFire

Die Integration von WildFire in Cloud Next Generation Firewall Enterprise bietet ein Upgrade der Abwehrfunktionen Ihres Netzwerks. WildFire bietet folgende Vorteile:

• Schutz vor unbekannten und Zero-Day-Bedrohungen: Erkennt und blockiert neuartige oder stark angepasste Malware, für die keine etablierten Signaturen vorhanden sind.

• Inline-Datenebenenschutz: Dateitransfers werden in Echtzeit direkt auf der Datenebene der zonalen Firewall oder durch schnelles Cloud-Lookup abgefangen und analysiert, um das Risiko von Bedrohungen zu minimieren.

• Adaptive Schutzmaßnahmen: Erstellt und aktualisiert automatisch Bedrohungsdatenbanken mit neu entdeckter Threat Intelligence.

• Umsetzbare Sichtbarkeit und Forensik: WildFire generiert detaillierte Einreichungs- und Bedrohungslogs, die direkt in Cloud Logging integriert werden. Wenn eine Bedrohung erkannt wird, können Sie detaillierte Analyseberichte der Sandbox-Ausführung herunterladen und das eigentliche Malware-Beispiel für eine unabhängige Analyse durch das Security Operations Center (SOC) herunterladen.

Funktionsweise von WildFire

WildFire untersucht über das Netzwerk weitergeleitete Dateiübertragungen, indem Pakete abgefangen, schnelle lokale Prüfungen durchgeführt und bei Bedarf erweiterte Verhaltens-Sandboxing-Vorgänge in die Cloud ausgelagert werden.

Das folgende WildFire-Architekturdiagramm zeigt das Abfangen von Paketen von einer VM (Virtual Machine) in einem VPC-Netzwerk (Virtual Private Cloud) zu einem zonenbasierten Firewall-Endpunkt, die parallele Auswertung durch die Inline-ML-Engine und die Signaturdatenbank, Cloud-Lookups in Echtzeit und asynchrones Cloud-Sandboxing.

WildFire-Architektur und umfassender Schritt-für-Schritt-Datenfluss (zum Vergrößern klicken).

Die Integration verarbeitet und bewertet Dateiübertragungen in den folgenden Phasen:

Traffic abfangen und umleiten

Wenn eine VM-Instanz in Ihrem VPC-Netzwerk eine Verbindung oder einen Dateitransfer initiiert, wird der Flow durch die Firewallrichtlinienregel so umgeleitet:

1. Paketabfang: Die Netzwerkkomponente Google Cloud Packet Intercept fängt Pakete im Trafficstream ab.
2. Weiterleitung: Die Abfangkomponente leitet die Netzwerkpakete zur Layer-7-Prüfung an den zonalen Firewallendpunkt weiter.

Lokale Inline-Bewertung

Nachdem der Traffic zum Firewall-Endpunkt umgeleitet wurde, wird die Datei parallel von zwei Inline-Engines mit hoher Leistung analysiert:

• Signaturbasierte Erkennung: Der Endpunkt vergleicht die Datei mit einer lokalen Datenbank mit Bedrohungssignaturen. Diese Datenbank wird in Echtzeit aktualisiert, um erkannte schädliche Dateien zu erkennen und zu löschen.

• Inline ML: Die Inline ML-Engine führt ML-Modelle direkt im Firewall-Dataplane aus. Die Datei wird in Echtzeit analysiert, um Zero-Day- oder hochentwickelte Bedrohungen in unterstützten Dateitypen wie Windows_Executable, ELF, Powershell_Script und MS_Office zu erkennen.

Cloudbasierte erweiterte Inspektion

Bei Zero-Day-Bedrohungen oder Dateien mit nicht erkannten lokalen Signaturen verwendet WildFire die erweiterte Cloud-Analyse:

• Inline-Cloud-Analyse: Wenn diese Option im Sicherheitsprofil aktiviert ist, hält die Firewall die Dateiübertragung vorübergehend an, während eine Echtzeitsuche in der WildFire-Cloud durchgeführt wird. Die Cloud analysiert die Datei und sendet ein Signal zurück, bevor die Datei Ihr Netzwerk erreicht.

  Die WildFire-Cloud ist eine Partner-SaaS-Plattform (Software as a Service (SaaS)), die in Google Cloud gehostet und von Palo Alto Networks (PAN) betrieben wird. Es bietet eine detaillierte, asynchrone Malware-Analyse und eine Echtzeit-Bewertung von Bedrohungen.

• Asynchrone Cloud-Sandbox: Wenn das Dateiergebnis unbekannt ist, extrahiert die Firewall die Datei und lädt sie asynchron zur detaillierten Sandbox-Analyse in die WildFire-Cloud hoch. In dieser isolierten Containerumgebung führen Sicherheits-Engines die Datei aus und prüfen ihr Verhalten.

Erzwingung von Maßnahmen und Logging

Anhand des resultierenden Ergebnisses (Malware, Grayware oder Gutartig) wird die Richtlinie durch die Firewallregel so durchgesetzt:

1. Aktion erzwingen:Die Datei wird gemäß Ihrem WildFire-Analyse-Sicherheitsprofil entweder blockiert (Deny), aufgezeichnet (Alert) oder zugelassen (Allow).

2. Audit-Logs:Ereignisprotokolle werden in Cloud Logging im firewall_wildfire_submission-Log aufgezeichnet. Diese Protokolle werden im WildFire-Einreichungs-Dashboard und auf der entsprechenden Seite angezeigt.

3. Sandbox-Feedback: Nach Abschluss des asynchronen Sandboxing werden ein vollständiger Bericht zum Verhalten und die ursprünglichen Malware-Samples out-of-band synchronisiert und für Sie zum Abfragen oder Abrufen verfügbar gemacht.

Komponenten von WildFire

Wenn Sie WildFire verwenden möchten, müssen Sie die folgenden Komponenten konfigurieren:

Sicherheitsprofile und Sicherheitsprofilgruppen

• Sicherheitsprofile für die WildFire-Analyse: sind allgemeine Richtlinienstrukturen vom Typ WILDFIRE_ANALYSIS. Sie definieren, welche Dateitypen zur Analyse eingereicht werden und in welche Richtung der Traffic erfolgt. Weitere Informationen finden Sie unter Sicherheitsprofil für die WildFire-Analyse.

  Informationen zur Konfiguration von Sicherheitsprofilen für die WildFire-Analyse finden Sie unter Sicherheitsprofile für die WildFire-Analyse erstellen und verwalten.

• Sicherheitsprofilgruppen: dienen als Container für Sicherheitsprofile. Jede Gruppe enthält ein oder mehrere Sicherheitsprofile verschiedener Typen. Hinweis: Ein Sicherheitsprofil für den Dienst zur Erkennung und Vermeidung von Eindringlingen ist erforderlich, wenn Sie ein WildFire-Analyse-Sicherheitsprofil in eine Gruppe aufnehmen.

  Weitere Informationen finden Sie unter Sicherheitsprofilgruppen erstellen und verwalten.

Firewall-Endpunkt

Ein Firewall-Endpunkt ist eine Organisationsressource, die auf zonaler Ebene erstellt wird. Sie untersucht Layer 7-Traffic in der Zone, in der sie bereitgestellt wird. Die Endpunkte sind mit einer oder mehreren VPCs in derselben Zone verknüpft. Wenn Sie den Traffic für eine Ziel-VM-Instanz filtern möchten, erstellen Sie den Firewall-Endpunkt in derselben Zone wie die VPC, in der sich die Ziel-VM befindet.

Für einen Firewall-Endpunkt muss die Option WildFire aktivieren ausgewählt sein. Diese Einstellung gilt für den gesamten Endpunkt und bestimmt die Region, in die Einsendungen gesendet werden.

Weitere Informationen finden Sie unter Firewall-Endpunkt für WildFire.

Firewallrichtlinien

Firewallrichtlinien gelten direkt für den gesamten ein- und ausgehenden Traffic einer VM-Instanz. Sie können hierarchische Firewallrichtlinien und globale Netzwerk-Firewallrichtlinien verwenden, um Firewallrichtlinienregeln mit Layer-7-Prüfung zu konfigurieren.

Hinweis :Cloud NGFW Enterprise-Funktionen sind nur über Firewallrichtlinien verfügbar. In diesem Dokument bezieht sich der Begriff Firewallregeln auf die Firewallrichtlinienregeln, nicht auf die VPC-Firewallregeln.

Firewallrichtlinien-Regeln

Firewallrichtlinienregeln identifizieren den zu prüfenden Traffic und wenden die Sicherheitsprofilgruppe an, die das WildFire-Analyse-Sicherheitsprofil enthält. Erstellen Sie eine Firewallrichtlinienregel, um WildFire zu konfigurieren:

• Bestimmt den zu prüfenden Traffic-Typ mithilfe mehrerer Layer-3- und Layer-4-Firewallrichtlinienregel-Komponenten.
• Gibt den Namen der Sicherheitsprofilgruppe für die Aktion apply_security_profile_group für den übereinstimmenden Traffic an.

Den vollständigen WildFire-Workflow finden Sie unter WildFire in Ihrem Netzwerk konfigurieren.

Sie können auch sichere Tags in Firewallregeln verwenden, um WildFire zu konfigurieren. Sie können auf der vorhandenen Segmentierung aufbauen, die Sie eingerichtet haben, indem Sie Tags in Ihrem Netzwerk verwenden, um VM-Instanzarbeitslasten selektiv zu identifizieren, deren Dateiübertragungen eine erweiterte Malware-Prüfung erfordern.

Wenn Sie eine Firewallregel zum Anwenden einer Sicherheitsprofilgruppe konfigurieren und das Ziel auf 0.0.0.0/0 festlegen, wird der Traffic, der von VMs in Zonen ohne angehängten Firewall-Endpunkt stammt, nicht auf Layer 7 geprüft. Die Firewallrichtlinienregel lässt allen Traffic zu, der mit den anderen Regelparametern wie Quelle, Port und Protokoll übereinstimmt. Um eine konsistente Richtliniendurchsetzung zu gewährleisten, stellen Sie Firewall-Endpunkte in allen Zonen im VPC-Netzwerk bereit, in denen sich Arbeitslasten befinden, die eine Layer-7-Prüfung erfordern.

Unterstützte Dateitypen und ‑größen

In der folgenden Tabelle sind die Dateitypen aufgeführt, die für die Malware-Analyse unterstützt werden.

Kategorie	Unterstützte Dateiendungen	Maximale Größe
Ausführbare Dateien (PE)	.dll, .exe, .exe64	16 MB
Ausführbare Dateien (Linux)	.a, .dex, .elf, .ko, .o, .so	50 MB
Dokumente (Microsoft Office)	.doc, .docx, .xls, .xlsx, .ppt, .pptx, .docm, .dotm, .xlm, .xlsm, .xltm, .pptm, .potm, .ppsm	16 MB
Dokumente (PDF)	.pdf	3 MB
Archive	.rar, .zip, .7z, .zbundle	50 MB
Scripts und Web (APK)	.apk	10 MB
Scripts and web (JAR)	.jar	5 MB
Scripts und Web (Scripts/Web)	.elink, .hta, .pl, .sh	20 KB

Hinweis :Ausführbare PE-Dateien (.dll, .exe und .exe64) dürfen bei der Inline-Cloud-Analyse maximal 10 MB groß sein.

WildFire-Analyseregionen

Eine WildFire-Region bezieht sich auf den spezifischen Standort, an dem Palo Alto Networks die WildFire-Analyse hostet. Diese wird vollständig außerhalb vonGoogle Cloudausgeführt. Daher werden diese Zonen nicht den Standardregionen vonGoogle Cloud zugeordnet. Unabhängig davon, wo Ihre Google Cloud Ressourcen bereitgestellt werden, wird Ihr WildFire-Traffic zur Analyse an die dafür vorgesehenen Servicezonen von Palo Alto weitergeleitet.

Wenn Sie beim Konfigurieren Ihres Endpunkts keine WildFire-Region angeben, wird Ihr Traffic automatisch der nächstgelegenen verfügbaren WildFire-Region zugeordnet. Weitere Informationen finden Sie unter Firewall-Endpunkt für WildFire.

Die folgenden WildFire-Regionen werden unterstützt:

• USA
• JAPAN
• SINGAPUR
• Vereinigtes Königreich
• KANADA
• AUSTRALIA
• DEUTSCHLAND
• INDIEN
• SCHWEIZ
• POLEN
• INDONESIEN
• TAIWAN
• FRANKREICH
• KATAR
• SÜDKOREA
• ISRAEL
• SAUDI-ARABIEN
• SPAIN

Beschränkungen

Wenn Sie reportUri oder sampleUri aus einem WildFire-Einreichungsprotokoll von einem Endpunkt auf Projektebene verwenden, müssen Sie die Projekt-ID durch die Projektnummer ersetzen.

Nächste Schritte

• WildFire in Ihrem Netzwerk konfigurieren
• Firewall-Endpunkte erstellen und verwalten
• WildFire-Analyse-Sicherheitsprofile erstellen und verwalten