הגדרת ארגז חול מתקדם לתוכנות זדוניות ברשת

ארגז חול מתקדם לתוכנות זדוניות (WildFire) מאפשר לכם להגן על הרשת מפני איומים ותוכנות זדוניות לא מוכרים שמבוססים על קבצים. כדי להפעיל את Advanced malware sandbox ברשת, צריך להגדיר כמה רכיבים של Cloud Next Generation Firewall, כולל נקודות קצה של חומת אש, פרופילי אבטחה וקבוצות של פרופילי אבטחה. במאמר הזה מוסבר על תהליך העבודה ברמה גבוהה להגדרת הרכיבים האלה ולהפעלת ארגז חול מתקדם לניתוח תוכנות זדוניות.

מידע נוסף על ארגז חול מתקדם לתוכנות זדוניות זמין במאמר סקירה כללית על ארגז חול מתקדם לתוכנות זדוניות.

התפקידים הנדרשים

תפקידים בניהול הזהויות והרשאות הגישה (IAM) קובעים את הפעולות להגדרה ולהפעלה של ארגז חול מתקדם לניתוח תוכנות זדוניות. בטבלה הבאה מפורטים התפקידים שנדרשים לכל שלב:

יכולת התפקיד הנדרש
יוצרים נקודת קצה של חומת אש ושיוך של נקודת קצה של חומת אש לרשת של ענן וירטואלי פרטי (VPC). כדי לבצע את המשימה הזו, אתם צריכים להיות בעלי אחד מהתפקידים הבאים: התפקידים האלה כוללים את ההרשאה הבאה ליצירת נקודת קצה של חומת אש:
  • networksecurity.firewallEndpoints.create
בנוסף, התפקידים האלה כוללים את ההרשאות הבאות ליצירת שיוך של נקודת קצה לחומת אש:
  • networksecurity.firewallEndpointAssociations.create
  • networksecurity.firewallEndpoints.use בארגון שבו קיימת נקודת הקצה של חומת האש
יצירה של פרופיל אבטחה מתקדם של ארגז חול לתוכנות זדוניות, פרופיל אבטחה למניעת איומים וקבוצת פרופילי אבטחה אדמין של פרופיל אבטחה (roles/networksecurity.securityProfileAdmin) ברמת הפרויקט (גרסת טרום-השקה (Preview)) או ברמת הארגון.
התפקיד הזה כולל את ההרשאות הנדרשות הבאות:
  • networksecurity.securityProfileGroups.create כדי ליצור קבוצה של פרופילי אבטחה
  • ‫networksecurity.securityProfiles.create כדי ליצור פרופיל אבטחה מתקדם של ארגז חול לתוכנות זדוניות או פרופיל אבטחה למניעת איומים
יצירה של מדיניות חומת אש היררכית והכללים שלה ‫Compute Organization Firewall Policy Admin (roles/compute.orgFirewallPolicyAdmin).
נדרש התפקיד הזה כדי ליצור מדיניות חומת אש היררכית. צריך להעניק את התפקיד במשאב שבו רוצים ליצור את המדיניות.
בנוסף, צריך להיות לכם התפקיד הזה כדי ליצור כלל במדיניות חומת אש היררכית. צריך להקצות את התפקיד למשאב שמכיל את המדיניות או למדיניות עצמה.
התפקיד כולל את ההרשאות הנדרשות הבאות:
  • ‫compute.firewallPolicies.create כדי ליצור מדיניות היררכית לחומת אש
  • ‫compute.firewallPolicies.update כדי ליצור כלל מדיניות חומת אש היררכי
שיוך מדיניות חומת אש היררכית לארגון או לתיקייה כדי לבצע את המשימה הזו, אתם צריכים להיות בעלי אחד מהתפקידים הבאים: התפקידים האלה כוללים את ההרשאות הנדרשות הבאות:
  • ‫compute.firewallPolicies.addAssociation במדיניות חומת האש
  • ‫compute.organizations.setFirewallPolicy במשאב היעד
יצירה של מדיניות חומת אש בין רשתות גלובלית והכללים שלה אדמין אבטחה ב-Compute (roles/compute.securityAdmin)

צריך להיות לכם התפקיד הזה כדי ליצור מדיניות גלובלית של חומת אש ברשת. צריך להעניק את התפקיד בפרויקט שבו רוצים ליצור את המדיניות.

בנוסף, צריך להקצות את התפקיד הזה כדי ליצור כלל במדיניות חומת אש גלובלית ברשת. צריך להעניק את התפקיד בפרויקט שמכיל את המדיניות או במדיניות עצמה.

התפקיד כולל את ההרשאות הנדרשות הבאות:
  • ‫compute.firewallPolicies.create כדי ליצור מדיניות חומת אש גלובלית בין רשתות
  • ‫compute.firewallPolicies.update כדי ליצור כלל במדיניות חומת אש בין רשתות גלובלית
שיוך מדיניות חומת אש בין רשתות גלובלית לרשת VPC אדמין של רשת Compute (roles/compute.networkAdmin)

התפקיד הזה כולל את ההרשאות הנדרשות הבאות:
  • compute.firewallPolicies.use
  • compute.networks.setFirewallPolicy
יצירת מאגר של רשויות אישורים מנהל תפעול של שירות CA (roles/privateca.caManager)

אם אתם משתמשים בבדיקה של Transport Layer Security‏ (TLS), אתם צריכים את התפקיד הזה כדי ליצור מאגר של רשות אישורים (CA).
יצירת מדיניות לבדיקת TLS כדי לבצע את המשימה הזו, אתם צריכים להיות בעלי אחד מהתפקידים הבאים: אם אתם משתמשים בבדיקת TLS, אתם צריכים אחד מהתפקידים שלמעלה כדי ליצור מדיניות בדיקת TLS. התפקידים האלה כוללים את ההרשאות הנדרשות הבאות:
  • certificatemanager.trustconfigs.list
  • certificatemanager.trustconfigs.use
  • networksecurity.operations.get
  • networksecurity.tlsInspectionPolicies.create
  • networksecurity.tlsInspectionPolicies.list
  • privateca.caPools.list
  • privateca.caPools.use
  • privateca.certificateAuthorities.list

הגדרה של ארגז חול מתקדם לתוכנות זדוניות ללא בדיקת TLS

כדי להגדיר ארגז חול מתקדם לתוכנות זדוניות ללא בדיקה של Transport Layer Security ‏ (TLS) ברשת, צריך לבצע את הפעולות הבאות:

  1. אישור הסכם הרישיון למשתמש הקצה (EULA) של ארגז החול המתקדם לזיהוי תוכנות זדוניות

    לפני שמפעילים את Advanced malware sandbox בנקודות קצה, צריך לקרוא ולאשר את הסכם הרישיון עם משתמש הקצה (EULA) בפרויקט החיוב. אפשר לאשר את הסכם הרישיון למשתמש הקצה כשיוצרים או מעדכנים נקודת קצה.

    מידע נוסף זמין במאמר יצירת נקודת קצה של חומת אש.

  2. יצירת פרופיל אבטחה מתקדם של ארגז חול לתוכנות זדוניות

    יוצרים פרופיל אבטחה מתקדם של ארגז חול לתוכנות זדוניות מסוג WILDFIRE_ANALYSIS ומציינים את סוגי הקבצים לשליחה לניתוח ואת כיוון התנועה (העלאה או הורדה).

    מידע נוסף זמין במאמר בנושא יצירת פרופיל אבטחה מתקדם של ארגז חול לתוכנות זדוניות.

  3. יצירת פרופיל אבטחה למניעת איומים

    כשמשתמשים בפרופיל אבטחה מתקדם של ארגז חול לתוכנות זדוניות בקבוצה, נדרש פרופיל אבטחה למניעת איומים. יוצרים פרופיל אבטחה למניעת איומים מסוג THREAT_PREVENTION.

    מידע נוסף זמין במאמר בנושא יצירת פרופיל אבטחה למניעת איומים.

  4. יצירת קבוצה של פרופילי אבטחה

    מוסיפים את פרופילי האבטחה Advanced malware sandbox ו-Threat prevention לקבוצת פרופילי האבטחה.

    מידע נוסף זמין במאמר בנושא יצירת קבוצה של פרופילי אבטחה.

  5. יצירת נקודת קצה של חומת אש עם הפעלה של ארגז חול מתקדם לזיהוי תוכנות זדוניות

    יוצרים נקודת קצה של חומת אש. בקטע Advanced configuration, מסמנים את התיבה Enable Advanced malware sandbox (WildFire).

    מידע נוסף זמין במאמר יצירת נקודת קצה של חומת אש.

  6. שיוך נקודת הקצה של חומת האש לרשתות ה-VPC

    כדי להפעיל את ארגז החול המתקדם לתוכנות זדוניות, צריך לשייך את נקודת הקצה של חומת האש לרשתות ה-VPC. מוודאים שעומסי העבודה פועלים באותו אזור כמו נקודת הקצה של חומת האש.

    נקודת קצה של חומת אש עם תמיכה ב-jumbo frame יכולה לקבל חבילות רק עד 8,500 בייט. לחלופין, נקודת קצה של חומת אש ללא תמיכה ב-jumbo frame יכולה לקבל מנות עד 1,460 בייט. אם אתם צריכים את Advanced malware sandbox, מומלץ להגדיר את רשתות ה-VPC המשויכות כך שישתמשו במגבלות יחידת השידור המקסימלית (MTU) של 8,500 בייט ו-1,460 בייט. מידע נוסף זמין במאמר בנושא גודל מנות נתונים נתמך.

    מידע נוסף זמין במאמר יצירת שיוכים של נקודות קצה לחומת אש.

  7. הגדרה והחלה של ארגז חול מתקדם לתוכנות זדוניות על תעבורת הרשת

    יוצרים כלל במדיניות חומת אש גלובלית או היררכית באמצעות הפעולה apply_security_profile_group. מציינים את קבוצת פרופיל האבטחה. מוודאים שמדיניות חומת האש משויכת לאותה רשת VPC כמו עומסי העבודה שרוצים לבדוק.

    מידע נוסף זמין במאמרים יצירה של כללים ומדיניות היררכית של חומת אש ויצירה של כללים ומדיניות גלובלית של חומת אש לרשת.

הגדרה של ארגז חול מתקדם לתוכנות זדוניות עם בדיקת TLS

כדי להגדיר את Advanced malware sandbox עם בדיקת TLS ברשת שלכם:

  1. אישור הסכם הרישיון למשתמש הקצה (EULA) של ארגז החול המתקדם לזיהוי תוכנות זדוניות

    לפני שמפעילים את Advanced malware sandbox בנקודות קצה, צריך לקרוא ולאשר את הסכם הרישיון למשתמש הקצה בפרויקט החיוב. אפשר לאשר את הסכם הרישיון למשתמש הקצה כשיוצרים או מעדכנים נקודת קצה.

    מידע נוסף זמין במאמר יצירת נקודת קצה של חומת אש.

  2. יצירת פרופיל אבטחה מתקדם של ארגז חול לתוכנות זדוניות

    יוצרים פרופיל אבטחה מתקדם של ארגז חול לתוכנות זדוניות מסוג WILDFIRE_ANALYSIS ומציינים את סוגי הקבצים לשליחה לניתוח ואת כיוון התנועה (העלאה או הורדה).

    מידע נוסף זמין במאמר בנושא יצירת פרופיל אבטחה מתקדם של ארגז חול לתוכנות זדוניות.

  3. יצירת פרופיל אבטחה למניעת איומים

    כשמשתמשים בפרופיל אבטחה מתקדם של ארגז חול לתוכנות זדוניות בקבוצה, נדרש פרופיל אבטחה למניעת איומים. יוצרים פרופיל אבטחה למניעת איומים מסוג THREAT_PREVENTION.

    מידע נוסף זמין במאמר בנושא יצירת פרופיל אבטחה למניעת איומים.

  4. יצירת קבוצה של פרופילי אבטחה

    מוסיפים את פרופילי האבטחה Advanced malware sandbox ו-Threat prevention לקבוצת פרופילי האבטחה.

    מידע נוסף זמין במאמר בנושא יצירת קבוצה של פרופילי אבטחה.

  5. יצירת נקודת קצה של חומת אש עם הפעלה של ארגז חול מתקדם לזיהוי תוכנות זדוניות

    יוצרים נקודת קצה של חומת אש. בקטע Advanced configuration, מסמנים את התיבה Enable Advanced malware sandbox (WildFire).

    מידע נוסף זמין במאמר יצירת נקודת קצה של חומת אש.

  6. שיוך נקודת הקצה של חומת האש לרשתות ה-VPC

    כדי להפעיל את ארגז החול המתקדם לתוכנות זדוניות, צריך לשייך את נקודת הקצה של חומת האש לרשתות ה-VPC. מוודאים שעומסי העבודה פועלים באותו אזור כמו נקודת הקצה של חומת האש.

    נקודת קצה של חומת אש עם תמיכה ב-jumbo frame יכולה לקבל חבילות רק עד 8,500 בייט. לחלופין, נקודת קצה של חומת אש ללא תמיכה ב-jumbo frame יכולה לקבל מנות עד 1,460 בייט. אם אתם צריכים את Advanced malware sandbox, מומלץ להגדיר את רשתות ה-VPC המשויכות כך שישתמשו במגבלות יחידת השידור המקסימלית (MTU) של 8,500 בייט ו-1,460 בייט. מידע נוסף זמין במאמר בנושא גודל מנות נתונים נתמך.

    מידע נוסף זמין במאמר יצירת שיוכים של נקודות קצה לחומת אש.

  7. יצירה והגדרה של משאבים לבדיקת תנועה מוצפנת

    1. יצירת מאגר של רשויות אישורים

      מאגר CA הוא אוסף של רשויות אישורים עם מדיניות משותפת להנפקת אישורים ומדיניות IAM. צריך ליצור מאגר אזורי של רשויות אישורים (CA) לפני שמגדירים בדיקת TLS.

      מידע נוסף זמין במאמר בנושא יצירת מאגר CA.

    2. יצירת רשות אישורים (CA) עליונה

      כדי להשתמש בבדיקת TLS, צריך להיות לכם לפחות אישור CA אחד של רשות אישורי בסיס. ה-CA הבסיסי חותם על CA ביניים, שחותם על כל האישורים הסופיים של הלקוחות. מידע נוסף זמין בחומרי העזר של הפקודה gcloud privateca roots create.

    3. מתן הרשאות לסוכן השירות של Network Security

      ‫Cloud NGFW דורש מסוכן השירות של אבטחת הרשת ליצור רשויות אישורים ביניים לבדיקת TLS. לסוכן השירות צריכות להיות הרשאות לבקשת אישורים למאגר רשויות האישורים.

      מידע נוסף מופיע במאמר יצירת חשבון שירות.

  8. יצירת מדיניות אזורית לבדיקת TLS

    מדיניות בדיקת TLS מציינת איך ליירט תעבורה מוצפנת. מדיניות אזורית לבדיקת TLS מכילה את הגדרות התצורה לבדיקת TLS.

    מידע נוסף זמין במאמר בנושא יצירת מדיניות לבדיקת TLS.

  9. הוספת מדיניות לבדיקת TLS לשיוך של נקודת קצה של חומת אש

    כדי להוסיף את מדיניות בדיקת ה-TLS לשיוך של נקודת קצה של חומת אש, אפשר לעיין במאמר בנושא יצירת שיוכים של נקודות קצה של חומת אש.

  10. הגדרה והחלה של ארגז חול מתקדם לתוכנות זדוניות על תעבורת הרשת

    כדי להגדיר ארגז חול מתקדם לתוכנות זדוניות, צריך ליצור מדיניות חומת אש גלובלית ברשת או מדיניות חומת אש היררכית עם בדיקה בשכבה 7.

שדרוג של נקודת קצה קיימת של חומת אש כדי להפעיל ארגז חול מתקדם לתוכנות זדוניות

אם כבר פרסתם נקודות קצה של Cloud Next Generation Firewall Enterprise ברשת שלכם עם פרופילים פעילים של אבטחה למניעת איומים וקבוצות של פרופילי אבטחה, אתם צריכים לבצע את הפעולות הבאות כדי להגדיר ולהפעיל את Advanced malware sandbox:

  1. אישור הסכם הרישיון למשתמש הקצה (EULA) של ארגז החול המתקדם לתוכנות זדוניות

    קוראים ומאשרים את הסכם הרישיון למשתמשי קצה (EULA) של Advanced malware sandbox בפרויקט לחיוב של נקודות הקצה.

  2. יצירת פרופיל אבטחה מתקדם של ארגז חול לתוכנות זדוניות

    יוצרים פרופיל אבטחה מתקדם של ארגז חול לתוכנות זדוניות מסוג WILDFIRE_ANALYSIS ומגדירים את הכללים לשליחת קבצים, ביטולים של פרוטוקולים בהתאמה אישית או ביטולים של איומים. מידע נוסף זמין במאמר בנושא יצירת פרופיל אבטחה מתקדם של ארגז חול לתוכנות זדוניות.

  3. עדכון קבוצת פרופילי האבטחה

    מוסיפים את פרופיל האבטחה החדש של ארגז החול המתקדם לתוכנות זדוניות לקבוצת פרופילי האבטחה. קבוצת פרופילי האבטחה צריכה לכלול פרופיל למניעת איומים. מידע נוסף זמין במאמר בנושא עדכון קבוצה של פרופילי אבטחה.

  4. הפעלת ארגז חול מתקדם לתוכנות זדוניות בנקודת הקצה של חומת האש

    מעדכנים את נקודת הקצה של חומת האש ומסמנים את התיבה Enable Advanced malware sandbox (WildFire) בקטע Advanced configuration עבור נקודת הקצה האזורית. למידע נוסף: עדכון של נקודת קצה של חומת אש.

המאמרים הבאים