ネットワークで高度なマルウェア サンドボックスを構成する

高度なマルウェア サンドボックス（WildFire）を使用すると、未知のファイルベースの脅威やマルウェアからネットワークを保護できます。ネットワークで高度なマルウェア サンドボックスを有効にするには、ファイアウォール エンドポイント、セキュリティ プロファイル、セキュリティ プロファイル グループなど、複数の Cloud Next Generation Firewall コンポーネントを設定する必要があります。このドキュメントでは、これらのコンポーネントを構成して高度なマルウェア サンドボックスを有効にする方法について、おおまかなワークフローを示して説明します。

高度なマルウェア サンドボックスの詳細については、高度なマルウェア サンドボックスの概要をご覧ください。

必要なロール

Identity and Access Management（IAM）ロールは、高度なマルウェア サンドボックスを構成して有効にするアクションを管理します。次の表に、各ステップに必要なロールを示します。

機能 必要なロール
Virtual Private Cloud（VPC）ネットワークのファイアウォール エンドポイントとファイアウォール エンドポイントの関連付けを作成します。 このタスクを行うには、次のいずれかのロールがあることを確認します。 これらのロールには、ファイアウォール エンドポイントを作成するための次の権限が含まれています。
  • networksecurity.firewallEndpoints.create
また、これらのロールには、ファイアウォール エンドポイントの関連付けを作成するための次の権限が含まれています。
  • networksecurity.firewallEndpointAssociations.create
  • ファイアウォール エンドポイントが存在する組織に対する networksecurity.firewallEndpoints.use
高度なマルウェア サンドボックス セキュリティ プロファイル、脅威防止セキュリティ プロファイル、セキュリティ プロファイル グループを作成する プロジェクト レベル（プレビュー）または組織レベルの セキュリティ プロファイル管理者（roles/networksecurity.securityProfileAdmin）。
このロールには、次の必要な権限が含まれます。
  • networksecurity.securityProfileGroups.create: セキュリティ プロファイル グループを作成する
  • networksecurity.securityProfiles.create: 高度なマルウェア サンドボックス セキュリティ プロファイルまたは脅威防止セキュリティ プロファイルを作成する
階層型ファイアウォール ポリシーとそのルールを作成する Compute 組織ファイアウォール ポリシー管理者（roles/compute.orgFirewallPolicyAdmin）。
階層型ファイアウォール ポリシーを作成するには、このロールが必要です。ポリシーを作成するリソースにロールを付与する必要があります。
また、階層型ファイアウォール ポリシーでルールを作成するには、このロールが必要です。ポリシーを含むリソースまたはポリシー自体にロールを付与する必要があります。
このロールには、次の必須権限が含まれています。
  • 階層型ファイアウォール ポリシーを作成する compute.firewallPolicies.create
  • compute.firewallPolicies.update: 階層型ファイアウォール ポリシー ルールを作成する
階層型ファイアウォール ポリシーを組織またはフォルダに関連付ける このタスクを行うには、次のいずれかのロールがあることを確認します。 これらのロールには、次の必要な権限が含まれています。
  • ファイアウォール ポリシーに対する compute.firewallPolicies.addAssociation
  • ターゲット リソースに対する compute.organizations.setFirewallPolicy
グローバル ネットワーク ファイアウォール ポリシーとそのルールを作成する Compute セキュリティ管理者（roles/compute.securityAdmin）

グローバル ネットワーク ファイアウォール ポリシーを作成するには、このロールが必要です。ポリシーを作成するプロジェクトでロールを付与する必要があります。

また、グローバル ネットワーク ファイアウォール ポリシーでルールを作成するには、このロールが必要です。ポリシーを含むプロジェクトまたはポリシー自体にロールを付与する必要があります。

このロールには、次の必須権限が含まれています。
  • compute.firewallPolicies.create: グローバル ネットワーク ファイアウォール ポリシーを作成する
  • compute.firewallPolicies.update: グローバル ネットワーク ファイアウォール ポリシールールを作成する
グローバル ネットワーク ファイアウォール ポリシーを VPC ネットワークに関連付ける Compute ネットワーク管理者（roles/compute.networkAdmin）

このロールには、次の必要な権限が含まれています。
  • compute.firewallPolicies.use
  • compute.networks.setFirewallPolicy
CA プールを作成する CA Service オペレーション マネージャー（roles/privateca.caManager）

Transport Layer Security（TLS）インスペクションを使用する場合は、このロールがないと認証局（CA）プールを作成できません。
TLS インスペクション ポリシーを作成する このタスクを行うには、次のいずれかのロールがあることを確認します。 TLS インスペクションを使用する場合は、TLS インスペクション ポリシーを作成するために上記のいずれかのロールが必要です。これらのロールには、次の必要な権限が含まれています。
  • certificatemanager.trustconfigs.list
  • certificatemanager.trustconfigs.use
  • networksecurity.operations.get
  • networksecurity.tlsInspectionPolicies.create
  • networksecurity.tlsInspectionPolicies.list
  • privateca.caPools.list
  • privateca.caPools.use
  • privateca.certificateAuthorities.list

TLS インスペクションなしで高度なマルウェア サンドボックスを構成する

ネットワークで Transport Layer Security（TLS）インスペクションなしで高度なマルウェア サンドボックスを構成するには、次の操作を行います。

  1. 高度なマルウェア サンドボックスの EULA に同意する

    エンドポイントで高度なマルウェア サンドボックスを有効にする前に、課金プロジェクトでエンドユーザー使用許諾契約（EULA）を確認して同意する必要があります。EULA は、エンドポイントの作成時または更新時に同意できます。

    詳細については、ファイアウォール エンドポイントを作成するをご覧ください。

  2. 高度なマルウェア サンドボックスのセキュリティ プロファイルを作成する

    タイプ WILDFIRE_ANALYSIS の高度なマルウェア サンドボックス セキュリティ プロファイルを作成し、分析のために送信するファイルの種類とトラフィックの方向（アップロードまたはダウンロード）を指定します。

    詳細については、高度なマルウェア サンドボックス セキュリティ プロファイルを作成するをご覧ください。

  3. 脅威防止のセキュリティ プロファイルを作成する

    グループで高度なマルウェア サンドボックス セキュリティ プロファイルを使用する場合は、脅威防止セキュリティ プロファイルが必要です。THREAT_PREVENTION タイプの脅威防止セキュリティ プロファイルを作成します。

    詳細については、脅威防止セキュリティ プロファイルを作成するをご覧ください。

  4. セキュリティ プロファイル グループを作成する

    高度なマルウェア サンドボックスと脅威防止のセキュリティ プロファイルをセキュリティ プロファイル グループに追加します。

    詳細については、セキュリティ プロファイル グループを作成するをご覧ください。

  5. 高度なマルウェア サンドボックスを有効にしてファイアウォール エンドポイントを作成する

    ファイアウォール エンドポイントを作成します。[高度な構成] セクションで、[高度なマルウェア サンドボックス（WildFire）を有効にする] チェックボックスをオンにします。

    詳細については、ファイアウォール エンドポイントを作成するをご覧ください。

  6. ファイアウォール エンドポイントを VPC ネットワークに関連付ける

    高度なマルウェア サンドボックスを有効にするには、ファイアウォール エンドポイントを VPC ネットワークに関連付けます。ワークロードがファイアウォール エンドポイントと同じゾーンで実行されていることを確認します。

    ジャンボ フレームをサポートするファイアウォール エンドポイントは、最大 8,500 バイトのパケットのみを受け入れることができます。ジャンボ フレームをサポートしていないファイアウォール エンドポイントは、最大 1,460 バイトのパケットのみを受け入れることができます。Advanced malware sandbox が必要な場合は、関連する VPC ネットワークで 8,500 バイトと 1,460 バイトの最大伝送単位（MTU）の上限を使用するように構成することをおすすめします。詳細については、 サポートされているパケットサイズをご覧ください。

    詳細については、ファイアウォール エンドポイントの関連付けを作成するをご覧ください。

  7. 高度なマルウェア サンドボックスを構成してネットワーク トラフィックに適用する

    apply_security_profile_group アクションを使用して、グローバルまたは階層型ファイアウォール ポリシールールを作成します。セキュリティ プロファイル グループを指定します。ファイアウォール ポリシーが、検査するワークロードと同じ VPC ネットワークに関連付けられていることを確認します。

    詳細については、階層型ファイアウォール ポリシーとルールを作成するとグローバル ネットワーク ファイアウォール ポリシーとルールを作成するをご覧ください。

TLS インスペクションを使用して高度なマルウェア サンドボックスを構成する

ネットワークで TLS インスペクションのある高度なマルウェア サンドボックスを構成するには、次の操作を行います。

  1. 高度なマルウェア サンドボックスの EULA に同意する

    エンドポイントで高度なマルウェア サンドボックスを有効にする前に、課金プロジェクトで EULA を確認して同意する必要があります。EULA は、エンドポイントの作成時または更新時に同意できます。

    詳細については、ファイアウォール エンドポイントを作成するをご覧ください。

  2. 高度なマルウェア サンドボックスのセキュリティ プロファイルを作成する

    タイプ WILDFIRE_ANALYSIS の高度なマルウェア サンドボックス セキュリティ プロファイルを作成し、分析のために送信するファイルの種類とトラフィックの方向（アップロードまたはダウンロード）を指定します。

    詳細については、高度なマルウェア サンドボックス セキュリティ プロファイルを作成するをご覧ください。

  3. 脅威防止のセキュリティ プロファイルを作成する

    グループで高度なマルウェア サンドボックス セキュリティ プロファイルを使用する場合は、脅威防止セキュリティ プロファイルが必要です。THREAT_PREVENTION タイプの脅威防止セキュリティ プロファイルを作成します。

    詳細については、脅威防止セキュリティ プロファイルを作成するをご覧ください。

  4. セキュリティ プロファイル グループを作成する

    高度なマルウェア サンドボックスと脅威防止のセキュリティ プロファイルをセキュリティ プロファイル グループに追加します。

    詳細については、セキュリティ プロファイル グループを作成するをご覧ください。

  5. 高度なマルウェア サンドボックスを有効にしてファイアウォール エンドポイントを作成する

    ファイアウォール エンドポイントを作成します。[高度な構成] セクションで、[高度なマルウェア サンドボックス（WildFire）を有効にする] チェックボックスをオンにします。

    詳細については、ファイアウォール エンドポイントを作成するをご覧ください。

  6. ファイアウォール エンドポイントを VPC ネットワークに関連付ける

    高度なマルウェア サンドボックスを有効にするには、ファイアウォール エンドポイントを VPC ネットワークに関連付けます。ワークロードがファイアウォール エンドポイントと同じゾーンで実行されていることを確認します。

    ジャンボ フレームをサポートするファイアウォール エンドポイントは、最大 8,500 バイトのパケットのみを受け入れることができます。ジャンボ フレームをサポートしていないファイアウォール エンドポイントは、最大 1,460 バイトのパケットのみを受け入れることができます。Advanced malware sandbox が必要な場合は、関連する VPC ネットワークで 8,500 バイトと 1,460 バイトの最大伝送単位（MTU）の上限を使用するように構成することをおすすめします。詳細については、 サポートされているパケットサイズをご覧ください。

    詳細については、ファイアウォール エンドポイントの関連付けを作成するをご覧ください。

  7. 暗号化されたトラフィックを検査するリソースを作成して構成する

    1. CA プールを作成します

      CA プールは、共通の証明書発行ポリシーと IAM ポリシーを持つ CA の集合です。TLS インスペクションを構成するには、リージョン CA プールが存在している必要があります。

      詳細については、CA プールを作成するをご覧ください。

    2. ルート CA を作成する

      TLS インスペクションを使用するには、少なくとも 1 つのルート CA が必要です。ルート CA が中間 CA に署名し、中間 CA がクライアントのすべてのリーフ証明書に署名します。詳細については、gcloud privateca roots create コマンド リファレンスをご覧ください。

    3. ネットワーク セキュリティ サービス エージェントに権限を付与する

      Cloud NGFW では、TLS インスペクション用の中間 CA を生成するために、Network Security サービス エージェントが必要です。サービス エージェントには、CA プールの証明書をリクエストする権限が必要です。

      詳細については、サービス アカウントを作成するをご覧ください。

  8. リージョン TLS インスペクション ポリシーを作成する

    TLS インスペクション ポリシーは、暗号化されたトラフィックを傍受する方法を指定します。リージョン TLS インスペクション ポリシーには、TLS インスペクションの構成設定が含まれています。

    詳細については、TLS インスペクション ポリシーを作成するをご覧ください。

  9. TLS インスペクション ポリシーをファイアウォール エンドポイントの関連付けに追加する

    TLS インスペクション ポリシーをファイアウォール エンドポイントの関連付けに追加するには、ファイアウォール エンドポイントの関連付けを作成するをご覧ください。

  10. 高度なマルウェア サンドボックスを構成してネットワーク トラフィックに適用する

    高度なマルウェア サンドボックスを構成するには、レイヤ 7 検査を含むグローバル ネットワーク ファイアウォール ポリシーまたは階層型ファイアウォール ポリシーを作成します。

    • 新規または既存のグローバル ファイアウォール ポリシーで、apply_security_profile_group アクションを含むルールを追加します。以前に作成したセキュリティ プロファイル グループの名前を指定します。ファイアウォール ポリシーが、検査するワークロードと同じ VPC ネットワークに関連付けられていることを確認します。

      詳細については、グローバル ネットワーク ファイアウォール ポリシーを作成するとファイアウォール ポリシールールを追加するをご覧ください。

    • 新規または既存の階層型ファイアウォール ポリシーで、apply_security_profile_group アクションを含むルールを追加します。ファイアウォール ポリシーが、検査するワークロードと同じ VPC ネットワークに関連付けられていることを確認します。

      詳細については、ファイアウォール ポリシー ルールのタスクをご覧ください。

既存のファイアウォール エンドポイントをアップグレードして高度なマルウェア サンドボックスを有効にする

アクティブな脅威対策セキュリティ プロファイルとセキュリティ プロファイル グループを使用して、ネットワークに Cloud Next Generation Firewall Enterprise エンドポイントをすでにデプロイしている場合は、次の操作を行って高度なマルウェア サンドボックスを構成し、有効にします。

  1. 高度なマルウェア サンドボックスの EULA に同意する

    エンドポイントの課金プロジェクトで、高度なマルウェア サンドボックスの EULA を確認して同意します。

  2. 高度なマルウェア サンドボックスのセキュリティ プロファイルを作成する

    タイプ WILDFIRE_ANALYSIS の高度なマルウェア サンドボックス セキュリティ プロファイルを作成し、ファイル送信ルール、カスタム プロトコル オーバーライド、脅威オーバーライドを定義します。詳細については、高度なマルウェア サンドボックス セキュリティ プロファイルを作成するをご覧ください。

  3. セキュリティ プロファイル グループを更新する

    新しい高度なマルウェア サンドボックス セキュリティ プロファイルをセキュリティ プロファイル グループに追加します。セキュリティ プロファイル グループには、脅威防止プロファイルが含まれている必要があります。詳細については、セキュリティ プロファイル グループを更新するをご覧ください。

  4. ファイアウォール エンドポイントで高度なマルウェア サンドボックスを有効にする

    ファイアウォール エンドポイントを更新し、ゾーン エンドポイントの [高度な構成] セクションで [高度なマルウェア サンドボックス（WildFire）を有効にする] チェックボックスをオンにします。詳細については、ファイアウォール エンドポイントを更新するをご覧ください。

次のステップ