Ringkasan sandbox malware lanjutan

Layanan Sandbox malware lanjutan (WildFire) untuk Cloud Next Generation Firewall (Cloud NGFW) memberikan perlindungan malware menggunakan machine learning (ML) inline dan sandboxing perilaku berbasis cloud. Didukung oleh Palo Alto Networks Advanced WildFire, layanan ini memperluas layanan deteksi dan pencegahan intrusi berbasis tanda tangan standar dengan mengevaluasi file mencurigakan secara real time untuk mencegah ancaman zero-day mencapai workload Anda.

Sandbox malware lanjutan disertakan sebagai bagian dari kemampuan Cloud Next Generation Firewall Enterprise. Untuk mengetahui detailnya, lihat Harga serta Kuota dan batas.

Dokumen ini memberikan ringkasan tentang kemampuan, arsitektur, komponen inti, jenis file yang didukung, dan region layanan Sandbox malware lanjutan.

Manfaat menggunakan Sandbox malware lanjutan

Mengintegrasikan Sandbox malware lanjutan ke Cloud Next Generation Firewall Enterprise memberikan kemampuan berikut:

  • Perlindungan terhadap ancaman yang tidak diketahui dan zero-day: mendeteksi dan memblokir malware baru atau yang sangat disesuaikan yang tidak memiliki signature yang ditetapkan.

  • Perlindungan dataplane inline: mencegat dan menganalisis transfer file secara real time langsung di endpoint firewall zona dan melalui pencarian cloud untuk meminimalkan eksposur ancaman.

  • Threat intelligence adaptif: otomatis menggabungkan putusan ancaman yang baru ditemukan ke dalam database signature lokal.

  • Visibilitas dan forensik yang dapat ditindaklanjuti: Sandbox malware lanjutan menghasilkan log pengiriman dan log ancaman mendetail yang terintegrasi langsung dengan Cloud Logging. Jika ancaman terdeteksi, Anda dapat mendownload laporan analisis mendetail tentang eksekusi sandbox dan mendownload sampel malware yang sebenarnya untuk analisis Pusat Operasi Keamanan (SOC) independen.

Cara kerja Sandbox malware lanjutan

Sandbox malware lanjutan memeriksa transfer file yang dirutekan jaringan dengan mencegat paket, melakukan pemeriksaan lokal berkecepatan tinggi, dan memindahkan sandboxing perilaku lanjutan ke cloud jika diperlukan.

Diagram arsitektur Sandbox malware lanjutan berikut menunjukkan intersepsi paket dari virtual machine (VM) jaringan Virtual Private Cloud (VPC) ke endpoint firewall zona, evaluasi paralel oleh mesin ML inline dan database signature, pencarian cloud real-time, dan sandboxing cloud asinkron.

Arsitektur sandbox malware lanjutan dan aliran data langkah demi langkah yang komprehensif.
Arsitektur sandbox malware lanjutan dan aliran data langkah demi langkah yang komprehensif (klik untuk memperbesar).

Integrasi memproses dan mengevaluasi transfer file melalui tahap-tahap berikut:

Intersepsi dan pengalihan traffic

Saat instance VM di dalam jaringan VPC Anda memulai koneksi atau transfer file, aturan kebijakan firewall akan mengalihkan alur sebagai berikut:

  1. Intersepsi paket: Komponen jaringan Packet Intercept Google Cloud menangkap paket dalam aliran traffic.
  2. Pengalihan: Komponen intersepsi mengalihkan paket jaringan ke endpoint firewall zona untuk pemeriksaan Lapisan 7.

Evaluasi lokal inline

Setelah traffic dialihkan ke endpoint firewall, file akan dianalisis secara paralel oleh dua mesin inline berperforma tinggi:

  • Deteksi berbasis pola: endpoint membandingkan file dengan database pola ancaman lokal. Database ini diperbarui secara real-time untuk mendeteksi dan menghapus file berbahaya yang dikenali.

  • ML inline: mesin ML inline menjalankan model ML secara langsung di dataplane firewall. Fitur ini menganalisis file secara real-time untuk mengidentifikasi ancaman zero-day atau ancaman yang sangat canggih dalam jenis file yang didukung seperti WINDOWS_EXECUTABLE, ELF, POWERSHELL_SCRIPT1, POWERSHELL_SCRIPT2, dan MS_OFFICE.

Pemeriksaan lanjutan berbasis cloud

Untuk ancaman zero-day atau file dengan signature lokal yang tidak dikenali, Sandbox malware lanjutan menggunakan analisis cloud lanjutan:

  • Analisis cloud inline: jika diaktifkan di profil keamanan, firewall akan menahan transfer file untuk sementara saat melakukan pencarian real-time di cloud Sandbox malware lanjutan. Cloud mengevaluasi file dan mengirimkan sinyal kembali sebelum file mencapai jaringan Anda.

    Cloud Sandbox malware lanjutan adalah platform Software as a Service (SaaS) partner yang dihosting di Google Cloud dan dioperasikan oleh Palo Alto Networks (PAN). VirusTotal menyediakan analisis malware asinkron yang mendalam dan evaluasi ancaman real-time.

  • Sandbox cloud asinkron: jika verdict file tidak diketahui, firewall akan mengekstrak file dan menguploadnya secara asinkron ke cloud Sandbox malware lanjutan untuk sandboxing mendalam. Di lingkungan container yang terisolasi ini, mesin keamanan menjalankan file dan mengaudit perilakunya.

Penerapan dan logging tindakan

Berdasarkan verdict yang dihasilkan (Malware, Grayware, atau Benign), aturan firewall menerapkan kebijakan sebagai berikut:

  1. Enforce action: file diblokir (Deny), dicatat (Alert), atau diizinkan (Allow) sesuai dengan profil keamanan Sandbox malware lanjutan Anda.

  2. Log audit: log peristiwa dicatat di Cloud Logging, khususnya log networksecurity.googleapis.com%2Ffirewall_wildfire. Log pengiriman ini ditampilkan di dasbor dan halaman Pengiriman sandbox malware lanjutan.

  3. Masukan sandbox: setelah sandboxing asinkron selesai, laporan perilaku lengkap dan sampel malware asli akan disinkronkan secara out-of-band dan tersedia untuk Anda buat kueri atau ambil.

Komponen Sandbox malware lanjutan

Untuk menggunakan Sandbox malware lanjutan, Anda harus mengonfigurasi komponen berikut:

Profil keamanan dan grup profil keamanan

  • Profil keamanan sandbox malware lanjutan: struktur kebijakan umum dari jenis WILDFIRE_ANALYSIS. Aturan ini menentukan jenis file yang dikirim untuk analisis dan arah traffic. Untuk mengetahui informasi selengkapnya, lihat Profil keamanan sandbox malware lanjutan.

    Untuk mengetahui informasi tentang konfigurasi profil keamanan Sandbox malware lanjutan, lihat Membuat dan mengelola profil keamanan Sandbox malware lanjutan.

  • Grup profil keamanan: bertindak sebagai penampung untuk profil keamanan. Setiap grup berisi satu atau beberapa profil keamanan dari berbagai jenis. Perhatikan bahwa profil keamanan layanan deteksi dan pencegahan penyusupan diperlukan saat Anda menyertakan profil keamanan Sandbox malware lanjutan dalam grup.

    Untuk mengetahui informasi selengkapnya, lihat Membuat dan mengelola grup profil keamanan.

Endpoint firewall

Endpoint firewall adalah resource level organisasi atau level project, yang dibuat di level zona. Layanan ini memeriksa traffic Lapisan 7 di zona tempat layanan di-deploy. Endpoint dikaitkan dengan satu atau beberapa jaringan VPC di zona yang sama. Untuk memfilter traffic instance VM target, buat endpoint firewall di zona yang sama dengan VPC tempat VM target berada.

Endpoint firewall harus memilih opsi Enable Advanced malware sandbox (WildFire). Setelan ini berlaku untuk seluruh endpoint dan menentukan region tempat pengiriman dikirim.

Untuk mengetahui informasi selengkapnya, lihat Endpoint firewall untuk Sandbox malware lanjutan.

Kebijakan firewall

Kebijakan firewall berlaku langsung untuk semua traffic masuk dan keluar dari instance VM. Anda dapat menggunakan kebijakan firewall hierarkis dan kebijakan firewall jaringan global untuk mengonfigurasi aturan kebijakan firewall dengan pemeriksaan Lapisan 7.

Aturan kebijakan firewall

Aturan kebijakan firewall mengidentifikasi traffic yang akan diperiksa dan menerapkan grup profil keamanan yang berisi profil keamanan Sandbox malware lanjutan. Untuk mengonfigurasi Sandbox malware lanjutan, buat aturan kebijakan firewall yang melakukan hal berikut:

  • Mengidentifikasi jenis traffic yang akan diperiksa menggunakan beberapa komponen aturan kebijakan firewall Lapisan 3 dan Lapisan 4.
  • Menentukan nama grup profil keamanan untuk tindakan apply_security_profile_group pada traffic yang cocok.

Untuk mengetahui alur kerja Sandbox malware lanjutan yang lengkap, lihat Mengonfigurasi Sandbox malware lanjutan di jaringan Anda.

Anda juga dapat menggunakan tag aman dalam aturan firewall untuk mengonfigurasi Sandbox malware lanjutan. Anda dapat mengembangkan segmentasi yang ada yang telah Anda siapkan dengan menggunakan tag di jaringan Anda untuk mengidentifikasi workload instance VM secara selektif yang transfer filenya memerlukan pemindaian malware tingkat lanjut.

Jika Anda mengonfigurasi aturan firewall untuk menerapkan grup profil keamanan dan menetapkan tujuan ke 0.0.0.0/0, traffic yang berasal dari VM di zona tanpa endpoint firewall yang terpasang tidak akan menjalani pemeriksaan Lapisan 7. Aturan kebijakan firewall mengizinkan semua traffic yang cocok dengan parameter aturan lainnya, seperti sumber, port, dan protokol. Untuk memastikan penegakan kebijakan yang konsisten, deploy endpoint firewall di semua zona dalam jaringan VPC tempat Anda memiliki workload yang memerlukan pemeriksaan Lapisan 7.

Jenis file dan batas ukuran yang didukung

Tabel berikut mencantumkan kategori file, ekstensi yang didukung, dan batas ukuran file maksimum yang dianalisis oleh Sandbox malware lanjutan:

Kategori Ekstensi file yang didukung Batas ukuran maksimum
Executable (PE) .dll, .exe, .exe64 16 MB
File yang dapat dieksekusi (Linux) .a, .dex, .elf, .ko, .o, .so 50 MB
Dokumen (Microsoft Office) .doc, .docx, .xls, .xlsx, .ppt, .pptx, .docm, .dotm, .xlm, .xlsm, .xltm, .pptm, .potm, .ppsm 16 MB
Dokumen (PDF) .pdf 3 MB
Arsip .rar, .zip, .7z, .zbundle 50 MB
Skrip dan web (APK) .apk 10 MB
Skrip dan web (JAR) .jar 5 MB
Skrip dan web (Flash) .swf 5 MB
Skrip dan web (Skrip/Web) .bat, .elink, .hta, .js, .pl, .ps1, .sh, .vbs 20 KB

Region layanan sandbox malware lanjutan

Region Sandbox malware lanjutan mengacu pada lokasi spesifik tempat Palo Alto Networks menghosting Advanced WildFire. Zona ini tidak dipetakan ke regionGoogle Cloud standar. Di mana pun resource Google Cloud Anda di-deploy, traffic Sandbox malware lanjutan Anda akan dirutekan ke zona layanan yang ditetapkan Palo Alto untuk dianalisis.

Jika Anda tidak menentukan region Sandbox malware lanjutan saat mengonfigurasi endpoint, sistem akan otomatis memetakan traffic Anda ke region Sandbox malware lanjutan terdekat yang tersedia. Untuk mengetahui informasi selengkapnya, lihat Endpoint firewall untuk Sandbox malware lanjutan.

Tabel berikut mencantumkan region layanan Sandbox malware lanjutan yang didukung:

  • Lokasi: negara atau wilayah geografis tempat Palo Alto Networks menghosting infrastruktur analisis Sandbox malware lanjutan regional.

  • Region: nilai konfigurasi yang akan digunakan saat membuat atau memperbarui endpoint firewall. Misalnya, dalam flag Google Cloud CLI --wildfire-region, permintaan API, atau resource Terraform.

  • Portal cloud Advanced WildFire Palo Alto Networks: Nama Domain yang Sepenuhnya Memenuhi Syarat (FQDN) untuk portal layanan Sandbox malware lanjutan regional. Anda dapat menggunakan FQDN ini untuk memverifikasi kepatuhan residensi data, mengaudit batas keamanan, atau mengonfigurasi daftar yang diizinkan untuk firewall dan proxy.

Lokasi Wilayah Portal cloud Advanced WildFire Palo Alto Networks
Australia AUSTRALIA au.wildfire.paloaltonetworks.com
Kanada CANADA ca.wildfire.paloaltonetworks.com
Prancis FRANCE fr.wildfire.paloaltonetworks.com
Jerman GERMANY de.wildfire.paloaltonetworks.com
India INDIA in.wildfire.paloaltonetworks.com
Indonesia INDONESIA id.wildfire.paloaltonetworks.com
Israel ISRAEL il.wildfire.paloaltonetworks.com
Jepang JAPAN jp.wildfire.paloaltonetworks.com
Polandia POLAND pl.wildfire.paloaltonetworks.com
Qatar QATAR qatar.wildfire.paloaltonetworks.com
Arab Saudi SAUDI_ARABIA sa.wildfire.paloaltonetworks.com
Singapura SINGAPORE sg.wildfire.paloaltonetworks.com
Korea Selatan SOUTH_KOREA kr.wildfire.paloaltonetworks.com
Spanyol SPAIN es.wildfire.paloaltonetworks.com
Swiss SWITZERLAND ch.wildfire.paloaltonetworks.com
Taiwan TAIWAN tw.wildfire.paloaltonetworks.com
Inggris Raya UNITED_KINGDOM uk.wildfire.paloaltonetworks.com
Amerika Serikat UNITED_STATES us-native.wildfire.paloaltonetworks.com

Langkah berikutnya