El servicio de zona de pruebas avanzada contra malware (WildFire) para Cloud Next Generation Firewall (Cloud NGFW) proporciona protección contra malware con aprendizaje automático (AA) intercalado y zona de pruebas de comportamiento basada en la nube. Con la tecnología de Advanced WildFire de Palo Alto Networks, el servicio extiende el servicio estándar de detección y prevención de intrusiones basado en firmas, ya que evalúa los archivos sospechosos en tiempo real para evitar que las amenazas de día cero lleguen a tus cargas de trabajo.
La zona de pruebas avanzada contra malware se incluye como parte de las capacidades de Cloud Next Generation Firewall Enterprise. Para obtener más detalles, consulta Precios y Cuotas y límites.
En este documento, se proporciona una descripción general de las capacidades, la arquitectura, los componentes principales, los tipos de archivos admitidos y las regiones de servicio de la zona de pruebas avanzada contra malware.
Beneficios de usar la zona de pruebas avanzada contra malware
La integración de la zona de pruebas avanzada contra malware en Cloud Next Generation Firewall Enterprise proporciona las siguientes capacidades:
Protección contra amenazas desconocidas y de día cero: detecta y bloquea el software malicioso nuevo o altamente personalizado que no tiene firmas establecidas.
Protección del plano de datos intercalado: Intercepta y analiza las transferencias de archivos en tiempo real directamente en los extremos de firewall zonales y a través de búsquedas en la nube para minimizar la exposición a amenazas.
Inteligencia contra amenazas adaptable: Incorpora automáticamente los veredictos de amenazas recién descubiertas en las bases de datos de firmas locales.
Visibilidad y análisis forense prácticos: La zona de pruebas avanzada contra malware genera registros de envío y de amenazas detallados que se integran directamente en Cloud Logging. Si se detecta una amenaza, puedes descargar informes de análisis detallados de la ejecución de la zona de pruebas y descargar la muestra de malware real para realizar un análisis independiente del centro de operaciones de seguridad (SOC).
Cómo funciona la zona de pruebas avanzada contra malware
La zona de pruebas avanzada contra malware inspecciona las transferencias de archivos enrutadas por la red interceptando paquetes, realizando verificaciones locales de alta velocidad y descargando la zona de pruebas de comportamiento avanzada en la nube cuando es necesario.
En el siguiente diagrama de arquitectura de la zona de pruebas avanzada contra malware, se muestra la interceptación de paquetes desde una máquina virtual (VM) de red de nube privada virtual (VPC) hasta un extremo de firewall zonal, la evaluación paralela por parte del motor de AA en línea y la base de datos de firmas, las búsquedas en la nube en tiempo real y la zona de pruebas en la nube asíncrona.
La integración procesa y evalúa las transferencias de archivos a través de las siguientes etapas:
Intercepción y redireccionamiento del tráfico
Cuando una instancia de VM dentro de tu red de VPC inicia una conexión o transferencia de archivos, la regla de política de firewall redirecciona el flujo de la siguiente manera:
- Intercepción de paquetes: El componente de red de intercepción de paquetes de Google Cloud captura paquetes en el flujo de tráfico.
- Redireccionamiento: El componente de intercepción redirecciona los paquetes de red al extremo de firewall zonal para la inspección de la capa 7.
Evaluación local intercalada
Después de que el tráfico se redirecciona al extremo del firewall, dos motores intercalados de alto rendimiento analizan el archivo en paralelo:
Detección basada en firmas: El extremo compara el archivo con una base de datos de firmas de amenazas local. Esta base de datos se actualiza en tiempo real para detectar y descartar archivos maliciosos reconocidos.
AA intercalado: El motor de AA intercalado ejecuta modelos de AA directamente en el plano de datos del firewall. Analiza el archivo en tiempo real para identificar amenazas de día cero o muy sofisticadas en los tipos de archivos compatibles, como
WINDOWS_EXECUTABLE,ELF,POWERSHELL_SCRIPT1,POWERSHELL_SCRIPT2yMS_OFFICE.
Inspección avanzada basada en la nube
Para las amenazas de día cero o los archivos con firmas locales no reconocidas, la zona de pruebas avanzada contra malware usa un análisis avanzado en la nube:
Análisis directo en la nube: Si está habilitado en el perfil de seguridad, el firewall retiene temporalmente la transferencia de archivos mientras realiza una búsqueda en tiempo real en la nube de la zona de pruebas avanzada contra malware. La nube evalúa el archivo y envía una señal antes de que el archivo llegue a tu red.
La nube de la zona de pruebas avanzada contra malware es una plataforma de software como servicio (SaaS) de socios alojada en Google Cloud y operada por Palo Alto Networks (PAN). Proporciona un análisis profundo y asíncrono de software malicioso y una evaluación de amenazas en tiempo real.
Zona de pruebas asíncrona en la nube: Si el veredicto del archivo es desconocido, el firewall extrae el archivo y lo sube de forma asíncrona a la nube de la zona de pruebas avanzada contra malware para realizar un análisis profundo. En este entorno de contenedor aislado, los motores de seguridad ejecutan el archivo y auditan su comportamiento.
Aplicación de medidas por incumplimiento y registro
Según el veredicto resultante (software malicioso, grayware o benigno), la regla de firewall aplica la política de la siguiente manera:
Acción de aplicación: El archivo se bloquea (
Deny), se registra (Alert) o se permite (Allow) de acuerdo con tu perfil de seguridad de la zona de pruebas avanzada contra malware.Registros de auditoría: Los registros de eventos se registran en Cloud Logging, específicamente en el registro
networksecurity.googleapis.com%2Ffirewall_wildfire. Estos registros de envío se muestran en el panel y la página Envíos a la zona de pruebas avanzada contra malware.Comentarios de la zona de pruebas: Después de que se completa la zona de pruebas asíncrona, se sincronizan un informe de comportamiento completo y las muestras de malware originales fuera de banda y se ponen a tu disposición para que los consultes o recuperes.
Componentes de la zona de pruebas avanzada contra malware
Para usar la zona de pruebas avanzada contra malware, debes configurar los siguientes componentes:
Perfiles de seguridad y grupos de perfiles de seguridad
Perfiles de seguridad de la zona de pruebas avanzada contra malware: Son estructuras de políticas genéricas del tipo
WILDFIRE_ANALYSIS. Definen qué tipos de archivos se envían para su análisis y la dirección del tráfico. Para obtener más información, consulta Perfil de seguridad de la zona de pruebas avanzada contra malware.Para obtener información sobre la configuración del perfil de seguridad de la zona de pruebas avanzada contra malware, consulta Crea y administra perfiles de seguridad de la zona de pruebas avanzada contra malware.
Grupos de perfiles de seguridad: Actúan como contenedores de perfiles de seguridad. Cada grupo contiene uno o más perfiles de seguridad de diferentes tipos. Ten en cuenta que se requiere un perfil de seguridad del servicio de detección y prevención de intrusiones cuando incluyes un perfil de seguridad de zona de pruebas avanzada contra malware en un grupo.
Para obtener más información, consulta Crea y administra grupos de perfiles de seguridad.
Extremos de firewall
Un extremo de firewall es un recurso a nivel de la organización o a nivel de proyecto, creado a nivel de la zona. Inspecciona el tráfico de la capa 7 en la zona en la que se implementa. Los extremos se asocian con una o más redes de VPC en la misma zona. Para filtrar el tráfico de una instancia de VM de destino, crea el extremo de firewall en la misma zona que la VPC en la que se encuentra la VM de destino.
Un extremo de firewall debe tener seleccionada la opción Habilitar la zona de pruebas avanzada contra malware (WildFire). Este parámetro de configuración se aplica a todo el extremo y determina la región en la que se envían los envíos.
Para obtener más información, consulta Extremo de firewall para la zona de pruebas avanzada contra malware.
Políticas de firewall
Las políticas de firewall se aplican directamente a todo el tráfico de entrada y salida de una instancia de VM. Puedes usar políticas de firewall jerárquicas y políticas de firewall de red globales para configurar reglas de políticas de firewall con inspección de la capa 7.
Reglas de la política de firewall
Las reglas de política de firewall identifican el tráfico que se inspeccionará y aplican el grupo de perfiles de seguridad que contiene el perfil de seguridad de la zona de pruebas avanzada contra malware. Para configurar la zona de pruebas avanzada contra malware, crea una regla de política de firewall que haga lo siguiente:
- Identifica el tipo de tráfico que se inspeccionará con varios componentes de reglas de políticas de firewall de capa 3 y capa 4.
- Especifica el nombre del grupo de perfiles de seguridad para la
acción
apply_security_profile_groupen el tráfico coincidente.
Para ver el flujo de trabajo completo de la zona de pruebas avanzada contra malware, consulta Configura la zona de pruebas avanzada contra malware en tu red.
También puedes usar etiquetas seguras en las reglas de firewall para configurar la zona de pruebas avanzada contra malware. Puedes compilar en la segmentación existente que configuraste con etiquetas en tu red para identificar de forma selectiva las cargas de trabajo de instancias de VM cuyas transferencias de archivos requieren una detección avanzada de malware.
Si configuras una regla de firewall para aplicar un grupo de perfiles de seguridad y estableces
el destino en 0.0.0.0/0, el tráfico que se origina en las VMs de las zonas sin un
extremo de firewall conectado no se somete a la inspección de la capa 7. La regla de política de firewall permite todo el tráfico que coincide con los otros parámetros de la regla, como el origen, el puerto y el protocolo. Para garantizar la aplicación coherente de las políticas, implementa
extremos de firewall en todas las zonas de la red de VPC en la que
tengas cargas de trabajo que requieran inspección de capa 7.
Tipos de archivos y límites de tamaño admitidos
En la siguiente tabla, se enumeran las categorías de archivos, las extensiones admitidas y los límites de tamaño máximo de los archivos que analiza la zona de pruebas avanzada contra malware:
| Categoría | Extensiones de archivo compatibles | Límite de tamaño máximo |
|---|---|---|
| Ejecutables (PE) | .dll, .exe, .exe64 |
16 MB |
| Ejecutables (Linux) | .a, .dex, .elf, .ko, .o, .so |
50 MB |
| Documentos (Microsoft Office) | .doc, .docx, .xls, .xlsx, .ppt, .pptx, .docm, .dotm, .xlm, .xlsm, .xltm, .pptm, .potm, .ppsm |
16 MB |
| Documentos (PDF) | .pdf |
3 MB |
| Archives | .rar, .zip, .7z, .zbundle |
50 MB |
| Secuencias de comandos y Web (APK) | .apk |
10 MB |
| Secuencias de comandos y web (JAR) | .jar |
5 MB |
| Secuencias de comandos y Web (Flash) | .swf |
5 MB |
| Secuencias de comandos y Web (Scripts/Web) | .bat, .elink, .hta, .js, .pl, .ps1, .sh, .vbs |
20 KB |
Regiones del servicio de zona de pruebas avanzada contra malware
Una región de zona de pruebas avanzada contra malware se refiere a la ubicación específica en la que Palo Alto Networks aloja Advanced WildFire. Estas zonas no se asignan a regiones estándar deGoogle Cloud . Independientemente de dónde se implementen tus recursos de Google Cloud , el tráfico de la zona de pruebas avanzada contra malware se enruta a las zonas de servicio designadas de Palo Alto para su análisis.
Si no especificas una región de zona de pruebas avanzada contra malware cuando configuras tu extremo, el sistema asigna automáticamente tu tráfico a la región de zona de pruebas avanzada contra malware disponible más cercana. Para obtener más información, consulta Extremo de firewall para la zona de pruebas avanzada contra malware.
En la siguiente tabla, se enumeran las regiones de servicio de la zona de pruebas avanzada contra malware compatibles:
Ubicación: Es el país o el área geográfica en el que Palo Alto Networks aloja la infraestructura regional de análisis de la zona de pruebas avanzada contra malware.
Región: Es el valor de configuración que se usará cuando se cree o actualice un extremo de firewall. Por ejemplo, en la marca de Google Cloud CLI
--wildfire-region, las solicitudes a la API o los recursos de Terraform.Portal de la nube de Advanced WildFire de Palo Alto Networks: Es el nombre de dominio completamente calificado (FQDN) del portal de servicio regional de la zona de pruebas avanzada contra malware. Puedes usar este FQDN para verificar el cumplimiento de la residencia de datos, auditar los límites de seguridad o configurar las listas de entidades permitidas de firewall y proxy.
| Ubicación | Región | Portal de la nube de Advanced WildFire de Palo Alto Networks |
|---|---|---|
| Australia | AUSTRALIA |
au.wildfire.paloaltonetworks.com |
| Canadá | CANADA |
ca.wildfire.paloaltonetworks.com |
| Francia | FRANCE |
fr.wildfire.paloaltonetworks.com |
| Alemania | GERMANY |
de.wildfire.paloaltonetworks.com |
| India | INDIA |
in.wildfire.paloaltonetworks.com |
| Indonesia | INDONESIA |
id.wildfire.paloaltonetworks.com |
| Israel | ISRAEL |
il.wildfire.paloaltonetworks.com |
| Japón | JAPAN |
jp.wildfire.paloaltonetworks.com |
| Polonia | POLAND |
pl.wildfire.paloaltonetworks.com |
| Catar | QATAR |
qatar.wildfire.paloaltonetworks.com |
| Arabia Saudita | SAUDI_ARABIA |
sa.wildfire.paloaltonetworks.com |
| Singapur | SINGAPORE |
sg.wildfire.paloaltonetworks.com |
| Corea del Sur | SOUTH_KOREA |
kr.wildfire.paloaltonetworks.com |
| España | SPAIN |
es.wildfire.paloaltonetworks.com |
| Suiza | SWITZERLAND |
ch.wildfire.paloaltonetworks.com |
| Taiwán | TAIWAN |
tw.wildfire.paloaltonetworks.com |
| Reino Unido | UNITED_KINGDOM |
uk.wildfire.paloaltonetworks.com |
| Estados Unidos | UNITED_STATES |
us-native.wildfire.paloaltonetworks.com |
¿Qué sigue?
- Configura la zona de pruebas avanzada contra malware en tu red
- Crea extremos de firewall y asociaciones de extremos
- Administra extremos de firewall y asociaciones de extremos
- Crea y administra perfiles de seguridad de la zona de pruebas avanzada contra malware