Gestire gli invii alla sandbox avanzata per malware

Quando Cloud Next Generation Firewall Enterprise rileva file sconosciuti o potenziali minacce in tempo reale nella tua rete, valuta il traffico utilizzando modelli di machine learning on-box e il sandboxing asincrono nel cloud in base ai profili di sicurezza della sandbox avanzata per malware (WildFire). Prima di iniziare, esamina i concetti nella panoramica del profilo di sicurezza della sandbox avanzata per malware.

Questa pagina spiega come gestire i file inviati al servizio della sandbox avanzata per malware per l'analisi, monitorare i risultati della sandbox per malware e monitorare i verdetti dinamici utilizzando la console Google Cloud e gcloud.

Utilizza la scheda Invii alla sandbox avanzata per malware nella pagina Log NGFW Enterprise per controllare gli invii di file, scaricare report di analisi o campioni di malware e modificare gli override dei risultati. Per visualizzare un riepilogo dell'attività di analisi dei file inviati alla sandbox avanzata per malware e del malware rilevato durante un periodo di tempo specifico nella tua rete, vai alla dashboard di Cloud NGFW.

Per scoprire di più su come funzionano gli invii di file, consulta la Panoramica della sandbox avanzata per malware.

Per comprendere il layout JSON del record di logging, consulta Log della sandbox avanzata per malware.

Ruoli e autorizzazioni

Per visualizzare l'elenco degli invii e accedere ai dati di Advanced Malware Sandbox, chiedi all'amministratore di concederti i ruoli Identity and Access Management (IAM) necessari per la tua organizzazione.

Abilità Ruolo necessario
Visualizzare la configurazione e i record di invio di base Compute Network Viewer (roles/compute.networkViewer)
Per accedere ai report di analisi dinamica, scaricare i campioni di malware originali o inviare richieste di modifica dell'esito Uno dei seguenti ruoli nell'organizzazione o nel progetto:
  • Compute Network Admin (roles/compute.networkAdmin)
  • Le seguenti autorizzazioni specifiche:
    • networksecurity.firewallEndpoints.getWildfireReport per scaricare i report di analisi in formato PDF.
    • networksecurity.firewallEndpoints.getWildfireSample per scaricare i file binari originali del campione di malware.
    • networksecurity.firewallEndpoints.createVerdictChangeRequest per la presentazione di override manuali dei responsi per falsi positivi o falsi negativi.
    • networksecurity.firewallEndpoints.getVerdictChangeRequest per ottenere i dettagli della richiesta di modifica del verdetto.
    • networksecurity.firewallEndpoints.listVerdictChangeRequests per le richieste di modifica del verdetto della scheda.

Per saperne di più sulla concessione dei ruoli, consulta Gestisci l'accesso a progetti, cartelle e organizzazioni.

Modificare l'esito di un invio

Per inviare una richiesta di modifica del verdetto per un file inviato alla sandbox avanzata per malware da un endpoint:

Console

  1. Nella console Google Cloud , vai alla pagina Invii alla sandbox avanzata per malware.

    Vai ai contenuti inviati a WildFire

  2. Nel menu del selettore dei progetti, seleziona il tuo progetto.

  3. Per modificare l'esito dell'invio alla sandbox avanzata per malware, fai clic su  Altre azioni per il file di cui vuoi modificare l'esito.

  4. Fai clic su Modifica verdetto.

  5. Nell'elenco Verdetto, seleziona il verdetto. Ad esempio, Malware, phishing.

  6. Nel campo Commento, inserisci la motivazione della modifica dell'esito.

  7. Fai clic su Crea.

gcloud

Per inviare una richiesta di modifica dell'esito, utilizza il comando gcloud beta network-security firewall-endpoints wildfire-verdict-change-requests create.

gcloud beta network-security firewall-endpoints wildfire-verdict-change-requests create \
    --endpoint ENDPOINT_NAME \
    --organization ORGANIZATION_ID \
    --hash HASH \
    --zone ZONE \
    --verdict VERDICT \
    --comment COMMENT

Sostituisci quanto segue:

  • ENDPOINT_NAME: il nome completo univoco dell'endpoint.

  • ORGANIZATION_ID: l'ID organizzazione in cui si trova l'endpoint firewall.

  • HASH: l'hash del file per cui inviare una richiesta di modifica del verdetto.

  • ZONE: la zona in cui si trova l'endpoint firewall.

  • VERDICT: il verdetto richiesto per il file.

  • COMMENT: la motivazione della richiesta di modifica dell'esito. La lunghezza massima è di 2048 caratteri.

Elenca le richieste di modifica del verdetto

Console

Per elencare le singole richieste di modifica dell'esito:

  1. Nella console Google Cloud , vai alla pagina Invii alla sandbox avanzata per malware.

    Vai ai contenuti inviati a WildFire

  2. Nel menu del selettore dei progetti, seleziona il tuo progetto.

  3. La pagina Invii alla sandbox avanzata per malware elenca gli invii alla sandbox avanzata per malware configurati.

gcloud

Per elencare le singole richieste di modifica dell'esito, utilizza il comando gcloud beta network-security firewall-endpoints wildfire-verdict-change-requests list.

gcloud beta network-security firewall-endpoints wildfire-verdict-change-requests list \
    --endpoint ENDPOINT_NAME \
    --organization ORGANIZATION_ID \
    --zone ZONE

Sostituisci quanto segue:

  • ENDPOINT_NAME: il nome completo univoco dell'endpoint.

  • ORGANIZATION_ID: l'ID organizzazione in cui elencare le richieste di modifica del verdetto.

  • ZONE: la zona in cui elencare le richieste di modifica del verdetto.

Ottenere i dettagli della richiesta di modifica del verdetto

Per visualizzare i dettagli della richiesta di modifica dell'esito, svolgi questi passaggi:

Console

  1. Nella console Google Cloud , vai alla pagina Invii alla sandbox avanzata per malware.

    Vai ai contenuti inviati a WildFire

  2. Nel menu del selettore dei progetti, seleziona il tuo progetto.

  3. Fai clic sul nome dell'invio alla sandbox avanzata per malware. La pagina dei dettagli dell'invio mostra lo stato e i dettagli della richiesta di modifica del verdetto.

gcloud

Per ottenere i dettagli della richiesta di modifica dell'esito, utilizza il comando gcloud beta network-security firewall-endpoints wildfire-verdict-change-requests get.

gcloud beta network-security firewall-endpoints wildfire-verdict-change-requests get \
    --name NAME \
    --endpoint ENDPOINT_NAME \
    --organization ORGANIZATION_ID \
    --zone ZONE

Sostituisci quanto segue:

  • NAME: il nome univoco della richiesta di modifica del verdetto.

  • ENDPOINT_NAME: il nome completo univoco dell'endpoint.

  • ORGANIZATION_ID: l'ID organizzazione in cui ottenere la richiesta di modifica del verdetto.

  • ZONE: la zona in cui ottenere la richiesta di modifica del verdetto.

Scaricare un report di analisi

Per scaricare il report di analisi dell'invio alla sandbox avanzata per malware:

  1. Nella console Google Cloud , vai alla pagina Invii alla sandbox avanzata per malware.

    Vai ai contenuti inviati a WildFire

  2. Nel menu del selettore dei progetti, seleziona il tuo progetto.

  3. Fai clic su  Altre azioni per il file per scaricare il report di analisi della sandbox avanzata per malware.

  4. Fai clic su Scarica report di analisi.

Scaricare un campione di malware

Per scaricare il campione di malware da un invio alla sandbox avanzata per malware:

  1. Nella console Google Cloud , vai alla pagina Invii alla sandbox avanzata per malware.

    Vai ai contenuti inviati a WildFire

  2. Nel menu del selettore dei progetti, seleziona il tuo progetto.

  3. Fai clic su  Altre azioni per il file per scaricare il campione di malware.

  4. Fai clic su Scarica il campione di malware.

Passaggi successivi