השירות "סביבה מתקדמת לבדיקת תוכנות זדוניות (WildFire)" של Cloud Next Generation Firewall (Cloud NGFW) מגן מפני תוכנות זדוניות באמצעות למידת מכונה (ML) מוטמעת וארגז חול (sandbox) מבוסס-ענן לניתוח התנהגותי. השירות מבוסס על Palo Alto Networks Advanced WildFire, ומרחיב את השירות הרגיל של זיהוי ומניעת חדירות שמבוסס על חתימות. הוא עושה את זה באמצעות הערכת קבצים חשודים בזמן אמת, כדי למנוע מאיומי יום אפס להגיע לעומסי העבודה שלכם.
הסביבה המתקדמת לבדיקת תוכנות זדוניות היא חלק מהיכולות של Cloud Next Generation Firewall Enterprise. לפרטים נוספים, ראו תמחור ומכסות ומגבלות.
במאמר הזה נסביר על היכולות, הארכיטקטורה, הרכיבים העיקריים, סוגי הקבצים הנתמכים ואזורי השירות של הסביבה המתקדמת לבדיקת תוכנות זדוניות.
יתרונות השימוש בסביבה מתקדמת לבדיקת תוכנות זדוניות
שילוב של סביבה מתקדמת לבדיקת תוכנות זדוניות ב-Cloud Next Generation Firewall Enterprise מספק את היכולות הבאות:
הגנה מפני איומים לא מוכרים ואיומי יום אפס: זיהוי וחסימה של תוכנות זדוניות חדשות או מותאמות אישית שאין להן חתימות מבוססות.
הגנה על מישור הנתונים (dataplane) בתוך השורה: יירוט וניתוח של העברות קבצים בזמן אמת ישירות בנקודות הקצה של חומת האש האזורית ובאמצעות חיפושים בענן כדי לצמצם את החשיפה לאיומים.
מודיעין איומי סייבר דינמי: משלב באופן אוטומטי החלטות לגבי איומים שהתגלו לאחרונה במסדי נתונים מקומיים של חתימות.
ניראות וניתוח פורנזי שניתן לפעול לפיהם: הסביבה המתקדמת לבדיקת תוכנות זדוניות יוצרת יומני שליחה ויומני איומים מפורטים שמשתלבים ישירות ב-Cloud Logging. אם מזוהה איום, אתם יכולים להוריד דוחות ניתוח מפורטים של ההפעלה בארגז החול, ולהוריד את דגימת התוכנה הזדונית עצמה כדי לנתח אותה באופן עצמאי במרכז תפעול האבטחה (SOC).
איך פועלת הסביבה המתקדמת לבדיקת תוכנות זדוניות
הסביבה המתקדמת לבדיקת תוכנות זדוניות בודקת העברות קבצים שמתבצעות דרך הרשת. היא עושה את זה על ידי יירוט חבילות, ביצוע בדיקות מקומיות במהירות גבוהה והעברת בדיקות מתקדמות של התנהגות בענן כשצריך.
בדיאגרמת הארכיטקטורה הבאה של "סביבה מתקדמת לבדיקת תוכנות זדוניות" מוצג יירוט חבילות ממכונה וירטואלית (VM) ברשת VPC לנקודת קצה של חומת אש אזורית, הערכה מקבילה על ידי מנוע ה-ML המוטמע ומסד הנתונים של החתימות, חיפושים בענן בזמן אמת וארגז חול אסינכרוני בענן.
השילוב מעבד ומעריך את העברות הקבצים בשלבים הבאים:
יירוט תנועה והפניה אוטומטית
כשמכונה וירטואלית ברשת ה-VPC יוזמת חיבור או העברת קבצים, כלל מדיניות חומת האש מפנה את התהליך באופן הבא:
- יירוט חבילות: רכיב הרשת Google Cloud Packet Intercept לוכד חבילות בזרם התנועה.
- הפניה אוטומטית: רכיב היירוט מפנה את חבילות הנתונים של הרשת לנקודת הקצה של חומת האש האזורית לבדיקה של שכבה 7.
הערכה מקומית מוטמעת
אחרי שהתנועה מופנית לנקודת הקצה של חומת האש, הקובץ מנותח במקביל על ידי שני מנועים מוטמעים עם ביצועים גבוהים:
זיהוי מבוסס-חתימה: נקודת הקצה משווה את הקובץ למסד נתונים מקומי של חתימות איומים. מסד הנתונים הזה מתעדכן בזמן אמת כדי לזהות קבצים זדוניים מוכרים ולהסיר אותם.
Inline ML: מנוע ה-ML המוטמע מריץ מודלים של למידת מכונה ישירות במישור הנתונים של חומת האש. הוא מנתח את הקובץ בזמן אמת כדי לזהות איומים מתוחכמים מאוד או איומים מסוג zero-day בסוגי קבצים נתמכים כמו
WINDOWS_EXECUTABLE,ELF,POWERSHELL_SCRIPT1,POWERSHELL_SCRIPT2ו-MS_OFFICE.
בדיקה מתקדמת מבוססת-ענן
כדי לזהות איומים ביום האפס או קבצים עם חתימות מקומיות לא מזוהות, הסביבה המתקדמת לבדיקת תוכנות זדוניות משתמשת בניתוח מתקדם בענן:
ניתוח נתונים בענן בזמן אמת: אם האפשרות הזו מופעלת בפרופיל האבטחה, חומת האש מעכבת באופן זמני את העברת הקובץ בזמן שהיא מבצעת חיפוש בזמן אמת בענן של הסביבה המתקדמת לבדיקת תוכנות זדוניות. הענן בודק את הקובץ ושולח אות בחזרה לפני שהקובץ מגיע לרשת שלכם.
הענן של הסביבה המתקדמת לבדיקת תוכנות זדוניות הוא פלטפורמת תוכנה כשירות (SaaS) של שותף, שמתארחת ב- Google Cloud ומופעלת על ידי Palo Alto Networks (PAN). הוא מספק ניתוח מעמיק ואסינכרוני של תוכנות זדוניות והערכת איומים בזמן אמת.
ארגז חול אסינכרוני בענן: אם לא ידוע מה הסטטוס של הקובץ, חומת האש מחלצת את הקובץ ומעלה אותו באופן אסינכרוני לענן של הסביבה המתקדמת לבדיקת תוכנות זדוניות, כדי לבצע בדיקה מעמיקה בארגז החול. בסביבת הקונטיינר המבודדת הזו, מנועי האבטחה מריצים את הקובץ ובודקים את ההתנהגות שלו.
אכיפת פעולות ורישום ביומן
בהתאם לתוצאה (תוכנה זדונית, תוכנה אפורה או תוכנה שפירה), כלל חומת האש אוכף את המדיניות באופן הבא:
פעולת אכיפה: הקובץ נחסם (
Deny), נרשם (Alert) או אושר (Allow) בהתאם לפרופיל האבטחה של הסביבה המתקדמת לבדיקת תוכנות זדוניות.יומני ביקורת: יומני האירועים נרשמים ב-Cloud Logging, ובמיוחד ביומן
networksecurity.googleapis.com%2Ffirewall_wildfire. יומני השליחה האלה מוצגים במרכז הבקרה ובדף שליחות לסביבה מתקדמת לבדיקת תוכנות זדוניות.משוב מארגז החול: אחרי שהתהליך האסינכרוני בארגז החול מסתיים, דוח התנהגות מלא ודגימות התוכנה הזדונית המקוריות מסונכרנים מחוץ לפס וזמינים לשאילתות או לאחזור.
הרכיבים של סביבה מתקדמת לבדיקת תוכנות זדוניות
כדי להשתמש בסביבה המתקדמת לבדיקת תוכנות זדוניות, צריך להגדיר את הרכיבים הבאים:
פרופילי אבטחה וקבוצות של פרופילי אבטחה
פרופילי אבטחה של סביבה מתקדמת לבדיקת תוכנות זדוניות: מבני מדיניות כלליים מסוג
WILDFIRE_ANALYSIS. הם מגדירים אילו סוגי קבצים נשלחים לניתוח ואת כיוון התנועה. מידע נוסף זמין במאמר פרופיל אבטחה של סביבה מתקדמת לבדיקת תוכנות זדוניות.מידע נוסף על הגדרת פרופיל האבטחה של סביבה מתקדמת לבדיקת תוכנות זדוניות מופיע במאמר יצירה וניהול של פרופילי אבטחה של סביבה מתקדמת לבדיקת תוכנות זדוניות.
קבוצות של פרופילי אבטחה: משמשות כמכלים לפרופילי אבטחה. כל קבוצה מכילה פרופיל אבטחה אחד או יותר מסוגים שונים. שימו לב שכשמוסיפים לקבוצה פרופיל אבטחה של סביבה מתקדמת לבדיקת תוכנות זדוניות, צריך לכלול גם פרופיל אבטחה של שירות לזיהוי ומניעה של חדירות.
מידע נוסף זמין במאמר יצירה וניהול של קבוצות פרופילי אבטחה.
נקודות קצה של חומת אש
נקודת קצה של חומת אש היא משאב ברמת הארגון או ברמת הפרויקט, שנוצר ברמת האזור. הוא בודק את התנועה בשכבה 7 באזור שבו הוא פרוס. נקודות הקצה משויכות לרשת VPC אחת או יותר באותו אזור. כדי לסנן את התנועה למכונה וירטואלית מסוימת, צריך ליצור את נקודת הקצה של חומת האש באותו אזור של ה-VPC שבו נמצאת המכונה הווירטואלית.
בנקודת הקצה של חומת האש צריך לבחור באפשרות Enable Advanced malware sandbox (WildFire). ההגדרה הזו חלה על כל נקודת הקצה וקובעת את האזור שאליו נשלחות הבקשות.
מידע נוסף זמין במאמר נקודת קצה של חומת אש לסביבה מתקדמת לבדיקת תוכנות זדוניות.
כללי מדיניות של חומת אש
כללי מדיניות של חומת אש חלים ישירות על כל תעבורת הנתונים הנכנסת והיוצאת של מכונה וירטואלית. אתם יכולים להשתמש בכללי מדיניות היררכיים של חומת אש ובכללי מדיניות גלובליים של חומת אש ברשת כדי להגדיר כללי מדיניות של חומת אש עם בדיקה בשכבה 7.
כללי מדיניות חומת אש
כללי מדיניות חומת האש מזהים את תעבורת הנתונים שצריך לבדוק ומחילים את קבוצת פרופילי האבטחה שמכילה את פרופיל האבטחה של הסביבה המתקדמת לבדיקת תוכנות זדוניות. כדי להגדיר את הסביבה המתקדמת לבדיקת תוכנות זדוניות, יוצרים כלל מדיניות חומת אש שמבצע את הפעולות הבאות:
- מזהה את סוג התנועה שצריך לבדוק באמצעות כמה רכיבים של כללי מדיניות חומת האש בשכבה 3 ובשכבה 4.
- מציין את השם של קבוצת פרופילי האבטחה לפעולה
apply_security_profile_groupבתנועה התואמת.
תהליך העבודה המלא של הסביבה המתקדמת לבדיקת תוכנות זדוניות מפורט במאמר הגדרת סביבה מתקדמת לבדיקת תוכנות זדוניות ברשת.
אפשר גם להשתמש בתגים מאובטחים בכללי חומת האש כדי להגדיר סביבה מתקדמת לבדיקת תוכנות זדוניות. אתם יכולים להשתמש בפילוח הקיים שהגדרתם באמצעות תגים ברשת, כדי לזהות באופן סלקטיבי עומסי עבודה של מכונות וירטואליות שהעברות הקבצים שלהן דורשות סריקה מתקדמת לאיתור תוכנות זדוניות.
אם מגדירים כלל של חומת אש כדי להחיל קבוצת פרופילי אבטחה ומגדירים את היעד ל-0.0.0.0/0, תעבורת הנתונים שמגיעה ממכונות וירטואליות באזורים בלי נקודת קצה מצורפת של חומת אש לא עוברת בדיקה של שכבה 7. הכלל של מדיניות חומת האש מאפשר את כל תעבורת הנתונים שתואמת לפרמטרים האחרים של הכלל, כמו מקור, יציאה ופרוטוקול. כדי לאכוף את המדיניות באופן עקבי, צריך לפרוס נקודות קצה של חומת אש בכל האזורים ברשת ה-VPC שבהם יש עומסי עבודה שדורשים בדיקה של שכבה 7.
סוגי קבצים נתמכים ומגבלות גודל
בטבלה הבאה מפורטות קטגוריות הקבצים, הסיומות הנתמכות ומגבלות הגודל המקסימלי של קבצים שאפשר לנתח באמצעות "סביבה מתקדמת לבדיקת תוכנות זדוניות":
| קטגוריה | סיומות קבצים נתמכות | מגבלת הגודל המקסימלי |
|---|---|---|
| קובצי הפעלה (PE) | .dll, .exe, .exe64 |
16 MB |
| קובצי הפעלה (Linux) | .a, .dex, .elf, .ko, .o, .so |
50MB |
| מסמכים (Microsoft Office) | .doc, .docx, .xls, .xlsx, .ppt, .pptx, .docm, .dotm, .xlm, .xlsm, .xltm, .pptm, .potm, .ppsm |
16 MB |
| מסמכים (PDF) | .pdf |
3 MB |
| ארכיונים | .rar, .zip, .7z, .zbundle |
50MB |
| סקריפטים ואפליקציות אינטרנט (APK) | .apk |
10MB |
| סקריפטים ואינטרנט (JAR) | .jar |
5 MB |
| סקריפטים ואינטרנט (Flash) | .swf |
5 MB |
| סקריפטים ואינטרנט (סקריפטים/אינטרנט) | .bat, .elink, .hta, .js, .pl, .ps1, .sh, .vbs |
20KB |
אזורי השירות של סביבה מתקדמת לבדיקת תוכנות זדוניות
האזור של הסביבה המתקדמת לבדיקת תוכנות זדוניות הוא המיקום הספציפי שבו Palo Alto Networks מארחת את Advanced WildFire. האזורים האלה לא ממופים לאזורים רגילים שלGoogle Cloud . לא משנה איפה פרסתם את המשאבים של Google Cloud , התנועה של "סביבה מתקדמת לבדיקת תוכנות זדוניות" מנותבת לאזורי השירות הייעודיים של Palo Alto לצורך ניתוח.
אם לא תציינו אזור של סביבה מתקדמת לבדיקת תוכנות זדוניות כשאתם מגדירים את נקודת הקצה, המערכת תמפה באופן אוטומטי את התנועה לאזור הזמין הקרוב ביותר של סביבה מתקדמת לבדיקת תוכנות זדוניות. מידע נוסף זמין במאמר נקודת קצה של חומת אש לסביבה מתקדמת לבדיקת תוכנות זדוניות.
בטבלה הבאה מפורטים האזורים שבהם יש תמיכה בשירות "סביבה מתקדמת לבדיקת תוכנות זדוניות":
מיקום: המדינה או האזור הגיאוגרפי שבהם Palo Alto Networks מארחת את התשתית האזורית של הסביבה המתקדמת לבדיקת תוכנות זדוניות.
Region: ערך ההגדרה שמשמש ליצירה או לעדכון של נקודת קצה של חומת אש. לדוגמה, בדגל של
--wildfire-regionב-Google Cloud CLI, בבקשות API או במשאבים של Terraform.פורטל הענן של Palo Alto Networks Advanced WildFire: שם הדומיין שמוגדר במלואו (FQDN) של פורטל השירות האזורי של הסביבה המתקדמת לבדיקת תוכנות זדוניות. אתם יכולים להשתמש ב-FQDN הזה כדי לוודא את מיקום אחסון הנתונים בהתאם לדרישות, לבדוק את גבולות האבטחה או להגדיר רשימות היתרים של חומת אש ושרת proxy.
| מיקום | אזור | פורטל הענן של Palo Alto Networks Advanced WildFire |
|---|---|---|
| אוסטרליה | AUSTRALIA |
au.wildfire.paloaltonetworks.com |
| קנדה | CANADA |
ca.wildfire.paloaltonetworks.com |
| צרפת | FRANCE |
fr.wildfire.paloaltonetworks.com |
| גרמניה | GERMANY |
de.wildfire.paloaltonetworks.com |
| הודו | INDIA |
in.wildfire.paloaltonetworks.com |
| אינדונזיה | INDONESIA |
id.wildfire.paloaltonetworks.com |
| ישראל | ISRAEL |
il.wildfire.paloaltonetworks.com |
| יפן | JAPAN |
jp.wildfire.paloaltonetworks.com |
| פולין | POLAND |
pl.wildfire.paloaltonetworks.com |
| קטאר | QATAR |
qatar.wildfire.paloaltonetworks.com |
| ערב הסעודית | SAUDI_ARABIA |
sa.wildfire.paloaltonetworks.com |
| סינגפור | SINGAPORE |
sg.wildfire.paloaltonetworks.com |
| קוריאה הדרומית | SOUTH_KOREA |
kr.wildfire.paloaltonetworks.com |
| ספרד | SPAIN |
es.wildfire.paloaltonetworks.com |
| שווייץ | SWITZERLAND |
ch.wildfire.paloaltonetworks.com |
| טייוואן | TAIWAN |
tw.wildfire.paloaltonetworks.com |
| בריטניה | UNITED_KINGDOM |
uk.wildfire.paloaltonetworks.com |
| ארצות הברית | UNITED_STATES |
us-native.wildfire.paloaltonetworks.com |
המאמרים הבאים
- הגדרת סביבה מתקדמת לבדיקת תוכנות זדוניות ברשת
- יצירת נקודות קצה של חומת אש ושיוכים של נקודות קצה
- ניהול נקודות קצה של חומת אש ושיוכים של נקודות קצה
- יצירה וניהול של פרופילי אבטחה של סביבה מתקדמת לבדיקת תוכנות זדוניות