Gestire gli invii alla sandbox avanzata per malware

Quando Cloud Next Generation Firewall Enterprise rileva file sconosciuti o potenziali minacce in tempo reale nella rete, valuta il traffico utilizzando modelli di machine learning on-box e la sandbox cloud asincrona in base ai profili di sicurezza della sandbox avanzata per malware (WildFire). Prima di iniziare, consulta i concetti nella panoramica dei profili di sicurezza della sandbox avanzata per malware.

Questa pagina spiega come gestire i file inviati al servizio della sandbox avanzata per malware per l'analisi, monitorare i risultati della sandbox per malware e tenere traccia degli esiti dinamici utilizzando la Google Cloud console e gcloud.

Utilizza la scheda Invii alla sandbox avanzata per malware nella pagina Log di NGFW Enterprise per controllare gli invii di file, scaricare report di analisi o campioni di malware e modificare le sostituzioni degli esiti. Per visualizzare un riepilogo dell'attività di analisi dei file inviati alla sandbox avanzata per malware e dei malware rilevati durante un periodo di tempo specifico nella rete, vai alla dashboard di Cloud NGFW .

Per scoprire di più sul funzionamento degli invii di file, consulta Panoramica della sandbox avanzata per malware.

Per comprendere il layout JSON del record di logging, consulta Log della sandbox avanzata per malware.

Ruoli e autorizzazioni

Per visualizzare l'elenco degli invii e accedere ai dati della sandbox avanzata per malware, chiedi all'amministratore di concederti i ruoli IAM (Identity and Access Management) necessari per la tua organizzazione.

Abilità Ruolo necessario
Visualizzare la configurazione e i record di invio di base Compute Network Viewer (roles/compute.networkViewer)
Per accedere ai report di analisi dinamica, scaricare i campioni di malware originali o inviare richieste di modifica dell'esito Uno dei seguenti ruoli nell'organizzazione o nel progetto:
  • Compute Network Admin (roles/compute.networkAdmin)
  • Le seguenti autorizzazioni specifiche:
    • networksecurity.firewallEndpoints.getWildfireReport per scaricare i report di analisi in formato PDF.
    • networksecurity.firewallEndpoints.getWildfireSample per scaricare i file binari dei campioni di malware originali.
    • networksecurity.firewallEndpoints.createVerdictChangeRequest per presentare sostituzioni manuali dell'esito per falsi positivi o falsi negativi.
    • networksecurity.firewallEndpoints.getVerdictChangeRequest per ottenere i dettagli della richiesta di modifica dell'esito.
    • networksecurity.firewallEndpoints.listVerdictChangeRequests per elencare le richieste di modifica dell'esito.

Per saperne di più sulla concessione dei ruoli, consulta Gestisci l'accesso a progetti, cartelle e organizzazioni.

Modificare l'esito di un invio

Per inviare una richiesta di modifica dell'esito per un file inviato alla sandbox avanzata per malware da un endpoint:

Console

  1. Nella Google Cloud console, vai alla pagina Invii alla sandbox avanzata per malware.

    Vai agli invii a WildFire

  2. Nel menu del selettore dei progetti, seleziona il tuo progetto.

  3. Per modificare l'esito dell'invio alla sandbox avanzata per malware, fai clic su  Altre azioni per il file di cui vuoi modificare l'esito.

  4. Fai clic su Modifica esito.

  5. Nell'elenco Esito, seleziona l'esito. Ad esempio, Malware, Phishing.

  6. Nel campo Commento, inserisci la motivazione della modifica dell'esito.

  7. Fai clic su Crea.

gcloud

Per inviare una richiesta di modifica dell'esito, utilizza il gcloud beta network-security firewall-endpoints wildfire-verdict-change-requests create comando.

gcloud beta network-security firewall-endpoints wildfire-verdict-change-requests create \
    --endpoint ENDPOINT_NAME \
    --organization ORGANIZATION_ID \
    --hash HASH \
    --zone ZONE \
    --verdict VERDICT \
    --comment COMMENT

Sostituisci quanto segue:

  • ENDPOINT_NAME: il nome completo univoco dell'endpoint.

  • ORGANIZATION_ID: l'ID organizzazione in cui si trova l'endpoint firewall.

  • HASH: l'hash del file per cui inviare una richiesta di modifica dell'esito.

  • ZONE: la zona in cui si trova l'endpoint firewall.

  • VERDICT: l'esito richiesto per il file.

  • COMMENT: la motivazione della richiesta di modifica dell'esito. La lunghezza massima è di 2048 caratteri.

Elencare le richieste di modifica dell'esito

Console

Per elencare le singole richieste di modifica dell'esito:

  1. Nella Google Cloud console, vai alla pagina Invii alla sandbox avanzata per malware.

    Vai agli invii a WildFire

  2. Nel menu del selettore dei progetti, seleziona il tuo progetto.

  3. La pagina Invii alla sandbox avanzata per malware elenca gli invii alla sandbox avanzata per malware configurati.

gcloud

Per elencare le singole richieste di modifica dell'esito, utilizza il gcloud beta network-security firewall-endpoints wildfire-verdict-change-requests list comando.

gcloud beta network-security firewall-endpoints wildfire-verdict-change-requests list \
    --endpoint ENDPOINT_NAME \
    --organization ORGANIZATION_ID \
    --zone ZONE

Sostituisci quanto segue:

  • ENDPOINT_NAME: il nome completo univoco dell'endpoint.

  • ORGANIZATION_ID: l'ID organizzazione in cui elencare le richieste di modifica dell'esito.

  • ZONE: la zona in cui elencare le richieste di modifica dell'esito.

Ottenere i dettagli della richiesta di modifica dell'esito

Per ottenere i dettagli della richiesta di modifica dell'esito:

Console

  1. Nella Google Cloud console, vai alla pagina Invii alla sandbox avanzata per malware.

    Vai agli invii a WildFire

  2. Nel menu del selettore dei progetti, seleziona il tuo progetto.

  3. Fai clic sul nome dell'invio alla sandbox avanzata per malware. La pagina dei dettagli dell'invio mostra lo stato e i dettagli della richiesta di modifica dell'esito.

gcloud

Per ottenere i dettagli della richiesta di modifica dell'esito, utilizza il gcloud beta network-security firewall-endpoints wildfire-verdict-change-requests get comando.

gcloud beta network-security firewall-endpoints wildfire-verdict-change-requests get \
    --name NAME \
    --endpoint ENDPOINT_NAME \
    --organization ORGANIZATION_ID \
    --zone ZONE

Sostituisci quanto segue:

  • NAME: il nome univoco della richiesta di modifica dell'esito.

  • ENDPOINT_NAME: il nome completo univoco dell'endpoint.

  • ORGANIZATION_ID: l'ID organizzazione in cui ottenere la richiesta di modifica dell'esito.

  • ZONE: la zona in cui ottenere la richiesta di modifica dell'esito.

Scaricare un report di analisi

Per scaricare il report di analisi dell'invio alla sandbox avanzata per malware:

  1. Nella Google Cloud console, vai alla pagina Invii alla sandbox avanzata per malware.

    Vai agli invii a WildFire

  2. Nel menu del selettore dei progetti, seleziona il tuo progetto.

  3. Fai clic su  Altre azioni per il file per scaricare il report di analisi della sandbox avanzata per malware.

  4. Fai clic su Scarica report di analisi.

Scaricare un campione di malware

Per scaricare il campione di malware da un invio alla sandbox avanzata per malware:

  1. Nella Google Cloud console, vai alla pagina Invii alla sandbox avanzata per malware.

    Vai agli invii a WildFire

  2. Nel menu del selettore dei progetti, seleziona il tuo progetto.

  3. Fai clic su  Altre azioni per il file per scaricare il campione di malware.

  4. Fai clic su Scarica il campione di malware.

Passaggi successivi