Administra los envíos a la Zona de pruebas de malware avanzada

Cuando Cloud Next Generation Firewall Enterprise detecta archivos desconocidos o posibles amenazas en tiempo real en tu red, evalúa el tráfico con modelos de aprendizaje automático integrados y la zona de pruebas asíncrona en la nube según tus perfiles de seguridad de la Zona de pruebas de malware avanzada (WildFire). Antes de comenzar, revisa los conceptos de la descripción general del perfil de seguridad de la Zona de pruebas de malware avanzada.

En esta página, se explica cómo administrar los archivos enviados al servicio de zona de pruebas avanzada de software malicioso para su análisis, supervisar los resultados de la zona de pruebas de software malicioso y hacer un seguimiento de los veredictos dinámicos con la consola de Google Cloud y gcloud.

Usa la pestaña Envíos a la zona de pruebas de malware avanzada en la página Registros de NGFW Enterprise para auditar los envíos de archivos, descargar informes de análisis o muestras de malware, y cambiar las anulaciones de veredictos. Para ver un resumen de la actividad de análisis de archivos de los envíos a la Zona de pruebas de malware avanzada y el malware detectado durante un período específico en tu red, ve al Panel de Cloud NGFW.

Para obtener más información sobre cómo funcionan los envíos de archivos, consulta la Descripción general de la Zona de pruebas de malware avanzada.

Para comprender el diseño JSON del registro, consulta Registros de la Zona de pruebas de malware avanzada.

Roles y permisos

Para ver la lista de envíos y acceder a los datos de Advanced malware sandbox, pídele a tu administrador que te otorgue los roles de Identity and Access Management (IAM) necesarios para tu organización.

Capacidad Rol necesario
Consulta la configuración y los registros básicos de envío Visualizador de la red de Compute (roles/compute.networkViewer)
Acceder a informes de análisis dinámicos, descargar muestras originales de software malicioso o enviar solicitudes de cambio de veredicto Cualquiera de los siguientes roles en la organización o el proyecto:
  • Administrador de la red de Compute (roles/compute.networkAdmin)
  • Los siguientes permisos específicos:
    • networksecurity.firewallEndpoints.getWildfireReport para descargar informes de análisis en PDF
    • networksecurity.firewallEndpoints.getWildfireSample para descargar los archivos binarios de la muestra de malware original
    • networksecurity.firewallEndpoints.createVerdictChangeRequest para presentar anulaciones manuales del veredicto en caso de falsos positivos o falsos negativos
    • networksecurity.firewallEndpoints.getVerdictChangeRequest para obtener detalles de la solicitud de cambio de veredicto
    • networksecurity.firewallEndpoints.listVerdictChangeRequests para las solicitudes de cambio de veredicto de la ficha.

Para obtener más información sobre cómo otorgar roles, consulta Administra el acceso a proyectos, carpetas y organizaciones.

Cómo cambiar el veredicto de un envío

Para enviar una solicitud de cambio de veredicto de un archivo enviado a la Zona de pruebas de malware avanzada por un extremo, haz lo siguiente:

Console

  1. En la consola de Google Cloud , ve a la página Envíos a la zona de pruebas de malware avanzada.

    Ir a Envíos de WildFire

  2. En el menú de selección de proyectos, selecciona tu organización.

  3. Para cambiar el veredicto del envío a la Zona de pruebas de malware avanzada, haz clic en  Más acciones del archivo cuyo veredicto deseas cambiar.

  4. Haz clic en Cambiar veredicto.

  5. En la lista Verificación, selecciona la verificación. Por ejemplo, software malicioso y phishing.

  6. En el campo Comentario, ingresa la justificación del cambio de veredicto.

  7. Haz clic en Crear.

gcloud

Para enviar una solicitud de cambio de veredicto, usa el comando gcloud beta network-security firewall-endpoints wildfire-verdict-change-requests create.

gcloud beta network-security firewall-endpoints wildfire-verdict-change-requests create \
    --endpoint ENDPOINT_NAME \
    --organization ORGANIZATION_ID \
    --hash HASH \
    --zone ZONE \
    --verdict VERDICT \
    --comment COMMENT

Reemplaza lo siguiente:

  • ENDPOINT_NAME: Es el nombre completo único del extremo.

  • ORGANIZATION_ID: Es el ID de organización en la que se encuentra el extremo de firewall.

  • HASH: Es el hash del archivo para el que se enviará una solicitud de cambio de veredicto.

  • ZONE: Es la zona en la que se encuentra el extremo de firewall.

  • VERDICT: Es el veredicto solicitado para el archivo.

  • COMMENT: Es la justificación de la solicitud de cambio de veredicto. La longitud máxima es de 2,048 caracteres.

Enumera las solicitudes de cambio de veredicto

Console

Para enumerar las solicitudes de cambio de veredicto individuales, haz lo siguiente:

  1. En la consola de Google Cloud , ve a la página Envíos a la zona de pruebas de malware avanzada.

    Ir a Envíos de WildFire

  2. En el menú de selección de proyectos, selecciona tu organización.

  3. En la página Envíos a la Zona de pruebas de malware avanzada, se enumeran los envíos configurados a la Zona de pruebas de malware avanzada.

gcloud

Para enumerar las solicitudes de cambio de veredicto individuales, usa el comando gcloud beta network-security firewall-endpoints wildfire-verdict-change-requests list.

gcloud beta network-security firewall-endpoints wildfire-verdict-change-requests list \
    --endpoint ENDPOINT_NAME \
    --organization ORGANIZATION_ID \
    --zone ZONE

Reemplaza lo siguiente:

  • ENDPOINT_NAME: Es el nombre completo único del extremo.

  • ORGANIZATION_ID: Es el ID de organización en la que se enumerarán las solicitudes de cambio de veredicto.

  • ZONE: Es la zona en la que se enumerarán las solicitudes de cambio de veredicto.

Obtén detalles de la solicitud de cambio de veredicto

Para obtener los detalles de la solicitud de cambio de veredicto, haz lo siguiente:

Console

  1. En la consola de Google Cloud , ve a la página Envíos a la zona de pruebas de malware avanzada.

    Ir a Envíos de WildFire

  2. En el menú de selección de proyectos, selecciona tu organización.

  3. Haz clic en el nombre del envío a la Zona de pruebas de malware avanzada. En la página de detalles del envío, se muestran el estado y los detalles de la solicitud de cambio de veredicto.

gcloud

Para obtener los detalles de la solicitud de cambio de veredicto, usa el comando gcloud beta network-security firewall-endpoints wildfire-verdict-change-requests get.

gcloud beta network-security firewall-endpoints wildfire-verdict-change-requests get \
    --name NAME \
    --endpoint ENDPOINT_NAME \
    --organization ORGANIZATION_ID \
    --zone ZONE

Reemplaza lo siguiente:

  • NAME: Es el nombre único de la solicitud de cambio de veredicto.

  • ENDPOINT_NAME: Es el nombre completo único del extremo.

  • ORGANIZATION_ID: Es el ID de organización en la que se obtendrá la solicitud de cambio de veredicto.

  • ZONE: Es la zona en la que se obtendrá la solicitud de cambio de veredicto.

Descarga un informe de análisis

Para descargar el informe de análisis de envíos a la Zona de pruebas de malware avanzada, haz lo siguiente:

  1. En la consola de Google Cloud , ve a la página Envíos a la zona de pruebas de malware avanzada.

    Ir a Envíos de WildFire

  2. En el menú de selección de proyectos, selecciona tu organización.

  3. Haz clic en  Más acciones del archivo para descargar el informe de análisis de la Zona de pruebas de malware avanzada.

  4. Haz clic en Descargar informe de análisis.

Descarga una muestra de malware

Para descargar la muestra de malware de un envío a la Zona de pruebas de malware avanzada, haz lo siguiente:

  1. En la consola de Google Cloud , ve a la página Envíos a la zona de pruebas de malware avanzada.

    Ir a Envíos de WildFire

  2. En el menú de selección de proyectos, selecciona tu organización.

  3. Haz clic en  Más acciones en el archivo para descargar la muestra de software malicioso.

  4. Haz clic en Descargar muestra de malware.

¿Qué sigue?