Einreichungen für die erweiterte Malware-Sandbox verwalten

Wenn Cloud Next Generation Firewall Enterprise unbekannte Dateien oder potenzielle Echtzeitbedrohungen in Ihrem Netzwerk erkennt, wird der Traffic anhand von On-Box-Machine-Learning-Modellen und asynchronem Cloud-Sandboxing gemäß Ihren Sicherheitsprofilen für die erweiterte Malware-Sandbox (WildFire) ausgewertet. Lesen Sie zuerst die Konzepte in der Übersicht über das Sicherheitsprofil für die erweiterte Malware-Sandbox.

Auf dieser Seite wird beschrieben, wie Sie mit der Google Cloud Console und gcloud Dateien verwalten, die zur Analyse an den Advanced Malware Sandbox-Dienst gesendet wurden, wie Sie die Ergebnisse der Malware-Sandbox überwachen und dynamische Ergebnisse verfolgen.

Auf dem Tab Einreichungen für die erweiterte Malware-Sandbox auf der Seite NGFW Enterprise-Logs können Sie Dateieinreichungen prüfen, Analyseberichte oder Malware-Beispiele herunterladen und Ergebnisüberschreibungen ändern. Eine Zusammenfassung der Dateianalyseaktivitäten für Einreichungen für die erweiterte Malware-Sandbox und der Malware, die in einem bestimmten Zeitraum in Ihrem Netzwerk erkannt wurde, finden Sie im Cloud NGFW-Dashboard.

Weitere Informationen zur Funktionsweise von Dateieinreichungen finden Sie unter Erweiterte Malware-Sandbox – Übersicht.

Informationen zum JSON-Layout des Logdatensatzes finden Sie unter Logs der erweiterten Malware-Sandbox.

Rollen und Berechtigungen

Wenn Sie die Liste der Einreichungen aufrufen und auf Advanced Malware Sandbox-Daten zugreifen möchten, bitten Sie Ihren Administrator, Ihnen die erforderlichen IAM-Rollen (Identity and Access Management) für Ihre Organisation zuzuweisen.

Funktion Erforderliche Rolle
Konfiguration und grundlegende Einreichungsdatensätze ansehen Compute-Netzwerkbetrachter (roles/compute.networkViewer)
Auf Berichte zur dynamischen Analyse zugreifen, ursprüngliche Malware-Samples herunterladen oder Änderungsanfragen für Ergebnisse einreichen Eine der folgenden Rollen für die Organisation oder das Projekt:
  • Compute-Netzwerkadministrator (roles/compute.networkAdmin)
  • Die folgenden spezifischen Berechtigungen:
    • networksecurity.firewallEndpoints.getWildfireReport zum Herunterladen von PDF-Analyseberichten.
    • networksecurity.firewallEndpoints.getWildfireSample zum Herunterladen von Binärdateien des ursprünglichen Malware-Beispiels.
    • networksecurity.firewallEndpoints.createVerdictChangeRequest zum Einreichen manueller Urteilsüberschreibungen für falsch positive oder falsch negative Ergebnisse.
    • networksecurity.firewallEndpoints.getVerdictChangeRequest zum Abrufen von Details zu Änderungsanfragen für Ergebnisse.
    • networksecurity.firewallEndpoints.listVerdictChangeRequests für Änderungsanfragen für Ergebnisse.

Weitere Informationen zum Zuweisen von Rollen finden Sie unter Zugriff auf Projekte, Ordner und Organisationen verwalten.

Ergebnis einer Einreichung ändern

So reichen Sie eine Änderungsanfrage für das Ergebnis für eine Datei ein, die von einem Endpunkt an die erweiterte Malware-Sandbox gesendet wurde:

Console

  1. Rufen Sie in der Google Cloud Console die Seite Einreichungen für die erweiterte Malware-Sandbox auf.

    Zu WildFire-Einreichungen

  2. Wählen Sie im Menü „Projektauswahl“ Ihr Projekt aus.

  3. Wenn Sie das Ergebnis der Einreichung für die erweiterte Malware-Sandbox ändern möchten, klicken Sie bei der Datei, deren Ergebnis Sie ändern möchten, auf  Weitere Aktionen.

  4. Klicken Sie auf Urteil ändern.

  5. Wählen Sie in der Liste Urteil das Urteil aus. Beispiele: Malware, Phishing.

  6. Geben Sie im Feld Kommentar die Begründung für die Änderung des Urteils ein.

  7. Klicken Sie auf Erstellen.

gcloud

Verwenden Sie den Befehl gcloud beta network-security firewall-endpoints wildfire-verdict-change-requests create, um eine Änderungsanfrage für Ergebnisse einzureichen.

gcloud beta network-security firewall-endpoints wildfire-verdict-change-requests create \
    --endpoint ENDPOINT_NAME \
    --organization ORGANIZATION_ID \
    --hash HASH \
    --zone ZONE \
    --verdict VERDICT \
    --comment COMMENT

Ersetzen Sie Folgendes:

  • ENDPOINT_NAME: der eindeutige vollständige Name des Endpunkts.

  • ORGANIZATION_ID: die Organisations-ID, in der sich der Firewall-Endpunkt befindet.

  • HASH: Der Hash der Datei, für die eine Anfrage zur Änderung des Urteils eingereicht werden soll.

  • ZONE: die Zone, in der sich der Firewall-Endpunkt befindet.

  • VERDICT: Das für die Datei angeforderte Urteil.

  • COMMENT: Die Begründung für die Anfrage zur Änderung des Ergebnisses. Die maximale Länge beträgt 2.048 Zeichen.

Anfragen zum Ändern des Ergebnisses auflisten

Console

So listen Sie einzelne Änderungsanfragen für Ergebnisse auf:

  1. Rufen Sie in der Google Cloud Console die Seite Einreichungen für die erweiterte Malware-Sandbox auf.

    Zu WildFire-Einreichungen

  2. Wählen Sie im Menü „Projektauswahl“ Ihr Projekt aus.

  3. Auf der Seite Einreichungen für die erweiterte Malware-Sandbox werden die konfigurierten Einreichungen für die erweiterte Malware-Sandbox aufgeführt.

gcloud

Verwenden Sie den Befehl gcloud beta network-security firewall-endpoints wildfire-verdict-change-requests list, um einzelne Anträge auf Änderung des Urteils aufzulisten.

gcloud beta network-security firewall-endpoints wildfire-verdict-change-requests list \
    --endpoint ENDPOINT_NAME \
    --organization ORGANIZATION_ID \
    --zone ZONE

Ersetzen Sie Folgendes:

  • ENDPOINT_NAME: der eindeutige vollständige Name des Endpunkts.

  • ORGANIZATION_ID: Die Organisations-ID, in der Anträge auf Änderung des Urteils aufgelistet werden sollen.

  • ZONE: die Zone, in der Anträge auf Überprüfung von Entscheidungsänderungen aufgelistet werden sollen.

Details zur Änderungsanfrage für Ergebnisse abrufen

So rufen Sie die Details der Änderungsanfrage für Ergebnisse auf:

Console

  1. Rufen Sie in der Google Cloud Console die Seite Einreichungen für die erweiterte Malware-Sandbox auf.

    Zu WildFire-Einreichungen

  2. Wählen Sie im Menü „Projektauswahl“ Ihr Projekt aus.

  3. Klicken Sie auf den Namen der Einreichung für die erweiterte Malware-Sandbox. Auf der Detailseite der Einreichung werden der Status und die Details der Anfrage zur Änderung des Urteils angezeigt.

gcloud

Verwenden Sie den Befehl gcloud beta network-security firewall-endpoints wildfire-verdict-change-requests get, um die Details der Änderungsanfrage für Ergebnisse abzurufen.

gcloud beta network-security firewall-endpoints wildfire-verdict-change-requests get \
    --name NAME \
    --endpoint ENDPOINT_NAME \
    --organization ORGANIZATION_ID \
    --zone ZONE

Ersetzen Sie Folgendes:

  • NAME: Der eindeutige Name der Anfrage zur Änderung des Urteils.

  • ENDPOINT_NAME: der eindeutige vollständige Name des Endpunkts.

  • ORGANIZATION_ID: Die Organisations-ID, in der die Anfrage zur Änderung des Urteils abgerufen werden soll.

  • ZONE: die Zone, in der die Anfrage zur Änderung des Urteils eingeholt werden soll.

Analysebericht herunterladen

So laden Sie den Analysebericht zu Einreichungen für die erweiterte Malware-Sandbox herunter:

  1. Rufen Sie in der Google Cloud Console die Seite Einreichungen für die erweiterte Malware-Sandbox auf.

    Zu WildFire-Einreichungen

  2. Wählen Sie im Menü „Projektauswahl“ Ihr Projekt aus.

  3. Klicken Sie bei der Datei auf  Weitere Aktionen, um den Analysebericht der erweiterten Malware-Sandbox herunterzuladen.

  4. Klicken Sie auf Analysebericht herunterladen.

Malware-Beispiel herunterladen

So laden Sie die Malware-Probe aus einer Einreichung für die erweiterte Malware-Sandbox herunter:

  1. Rufen Sie in der Google Cloud Console die Seite Einreichungen für die erweiterte Malware-Sandbox auf.

    Zu WildFire-Einreichungen

  2. Wählen Sie im Menü „Projektauswahl“ Ihr Projekt aus.

  3. Klicken Sie für die Datei, die Sie herunterladen möchten, auf  Weitere Aktionen.

  4. Klicken Sie auf Malware-Beispiel herunterladen.

Nächste Schritte