Cloud Next Generation Firewall (Cloud NGFW) 的高级恶意软件沙盒 (WildFire) 服务使用内嵌机器学习 (ML) 和基于云的行为沙盒提供恶意软件防护。该服务由 Palo Alto Networks Advanced WildFire 提供支持，通过实时评估可疑文件来防止零日威胁到达您的工作负载，从而扩展了标准的基于签名的入侵检测和防御服务。
高级恶意软件沙盒是 Cloud Next Generation Firewall Enterprise 功能的一部分。如需了解详情，请参阅价格以及配额和限制。
本文档简要介绍了高级恶意软件沙盒功能、架构、核心组件、支持的文件类型和服务区域。
使用高级恶意软件沙盒的好处
将高级恶意软件沙盒集成到 Cloud Next Generation Firewall Enterprise 中可提供以下功能：
防范未知和零日威胁：检测并拦截缺乏既定特征码的新型或高度定制的恶意软件。
内嵌数据平面保护：直接在可用区级防火墙端点上实时拦截和分析文件传输，并通过云端查找来最大限度地减少威胁暴露。
自适应威胁情报：自动将新发现的威胁判定结果纳入本地签名数据库。
可操作的可见性和取证：高级恶意软件沙盒会生成详细的提交日志和威胁日志，这些日志可直接与 Cloud Logging 集成。如果检测到威胁，您可以下载沙盒执行的详细分析报告，并下载实际恶意软件样本，以供独立安全运维中心 (SOC) 分析。
高级恶意软件沙盒的工作原理
高级恶意软件沙盒通过拦截数据包、执行高速本地检查以及在必要时将高级行为沙盒化任务分流到云端，来检查通过网络路由的文件传输。
以下高级恶意软件沙盒架构图显示了从虚拟私有云 (VPC) 网络虚拟机 (VM) 到可用区级防火墙端点的数据包拦截、内嵌机器学习引擎和签名数据库的并行评估、实时云查找以及异步云沙盒。
集成会通过以下阶段处理和评估文件传输：
流量拦截和重定向
当 VPC 网络内的虚拟机实例发起连接或文件传输时，防火墙政策规则会按如下方式重定向流量：
- 数据包拦截： Google Cloud 数据包拦截网络组件会捕获流量中的数据包。
- 重定向：拦截组件将网络数据包重定向到可用区级防火墙端点，以进行第 7 层检查。
内嵌本地评估
流量重定向到防火墙端点后，文件会由两个内嵌的高性能引擎并行分析：
基于签名的检测：端点会将文件与本地威胁签名数据库进行比较。此数据库会实时更新， 以检测并丢弃已识别的恶意文件。
内嵌机器学习：内嵌机器学习引擎直接在防火墙数据平面中运行机器学习模型。它会实时分析文件，以识别受支持文件类型（例如
WINDOWS_EXECUTABLE、ELF、POWERSHELL_SCRIPT1、POWERSHELL_SCRIPT2和MS_OFFICE）中的零日威胁或高度复杂的威胁。
基于云的高级检查
对于零日威胁或具有无法识别的本地签名的文件，高级恶意软件沙盒会使用高级云分析：
内嵌云分析：如果在安全配置文件中启用，防火墙会在高级恶意软件沙盒云中执行实时查找时，暂时保留文件传输。云端会评估文件，并在文件到达您的网络之前发回信号。
高级恶意软件沙盒云是一个合作伙伴软件即服务 (SaaS) 平台，托管在 Google Cloud 中，由 Palo Alto Networks (PAN) 运营。它提供深度、异步的恶意软件分析和实时威胁评估。
异步云沙盒：如果文件判定结果未知，防火墙会提取文件并将其异步上传到高级恶意软件沙盒云，以进行深度沙盒分析。在这个隔离的容器环境中，安全引擎会执行文件并审核其行为。
操作执行和日志记录
根据判定结果（恶意软件、灰度软件或良性软件），防火墙规则会按如下方式强制执行政策：
强制执行操作：系统会根据您的高级恶意软件沙盒安全配置文件，屏蔽 (
Deny)、记录 (Alert) 或允许 (Allow) 该文件。审核日志：事件日志记录在 Cloud Logging 中，特别是
networksecurity.googleapis.com%2Ffirewall_wildfire日志。这些提交日志会显示在高级恶意软件沙盒提交信息中心和页面上。沙盒反馈：异步沙盒分析完成后，系统会通过带外方式同步完整的行为报告和原始恶意软件样本，供您查询或检索。
高级恶意软件沙盒的组件
如需使用高级恶意软件沙盒，您必须配置以下组件：
安全配置文件和安全配置文件组
高级恶意软件沙盒安全配置文件：
WILDFIRE_ANALYSIS类型的通用政策结构。它们定义了提交分析的文件类型以及流量方向。如需了解详情，请参阅高级恶意软件沙盒安全配置文件。如需了解高级恶意软件沙盒安全配置文件配置，请参阅创建和管理高级恶意软件沙盒安全配置文件。
安全配置文件组：充当安全配置文件的容器。每个组包含一个或多个不同类型的安全配置文件。请注意，如果您在组中添加了高级恶意软件沙盒安全配置文件，则必须同时添加入侵检测和防御服务安全配置文件。
如需了解详情，请参阅创建和管理安全配置文件组。
防火墙端点
防火墙端点是组织级或项目级资源，在可用区级创建。它会检查部署区域中的第 7 层流量。端点与同一可用区中的一个或多个 VPC 网络相关联。如需过滤目标虚拟机实例的流量，请在目标虚拟机所在的 VPC 的同一可用区中创建防火墙端点。
防火墙端点必须已选中启用高级恶意软件沙盒 (WildFire) 选项。此设置适用于整个端点，并决定了提交内容发送到的区域。
如需了解详情，请参阅适用于高级恶意软件沙盒的防火墙端点。
防火墙政策
防火墙政策直接应用于虚拟机实例的所有入站和出站流量。您可以使用分层防火墙政策和全球网络防火墙政策来为防火墙政策规则配置第 7 层检查。
防火墙政策规则
防火墙政策规则会识别要检查的流量，并应用包含高级恶意软件沙盒安全配置文件的安全配置文件组。如需配置高级恶意软件沙盒，请创建执行以下操作的防火墙政策规则：
- 使用多个第 3 层和第 4 层防火墙政策规则组件来确定要检查的流量类型。
- 为匹配流量上的
apply_security_profile_group操作指定安全配置文件组名称。
如需查看完整的高级恶意软件沙盒工作流，请参阅在网络中配置高级恶意软件沙盒。
您还可以在防火墙规则中使用安全标记来配置高级恶意软件沙盒。您可以在网络中使用标记，基于已设置的现有细分，选择性地识别文件传输需要高级恶意软件扫描的虚拟机实例工作负载。
如果您将防火墙规则配置为应用安全配置文件组，并将目标设置为 0.0.0.0/0，则源自未关联防火墙端点的可用区中虚拟机的流量不会进行第 7 层检查。防火墙政策规则允许与来源、端口和协议等其他规则参数匹配的所有流量。为确保政策执行的一致性，请在 VPC 网络中具有需要第 7 层检查的工作负载的所有可用区中部署防火墙端点。
支持的文件类型和大小限制
下表列出了高级恶意软件沙盒分析的文件类别、支持的扩展名和文件大小上限：
| 类别 | 支持的文件扩展名 | 大小上限 |
|---|---|---|
| 可执行文件 (PE) | .dll、.exe、.exe64 |
16 MB |
| 可执行文件 (Linux) | .a、.dex、.elf、.ko、.o、.so |
50 MB |
| 文档 (Microsoft Office) | .doc、.docx、.xls、.xlsx、.ppt、.pptx、.docm、.dotm、.xlm、.xlsm、.xltm、.pptm、.potm、.ppsm |
16 MB |
| 文档 (PDF) | .pdf |
3 MB |
| 归档 | .rar、.zip、.7z、.zbundle |
50 MB |
| 脚本和 Web (APK) | .apk |
10 MB |
| 脚本和 Web (JAR) | .jar |
5 MB |
| 脚本和网页 (Flash) | .swf |
5 MB |
| 脚本和 Web (Scripts/Web) | .bat、.elink、.hta、.js、.pl、.ps1、.sh、.vbs |
20 KB |
高级恶意软件沙盒服务区域
高级恶意软件沙盒区域是指 Palo Alto Networks 托管 Advanced WildFire 的特定位置。这些可用区不会映射到标准Google Cloud 区域。无论您的 Google Cloud 资源部署在何处，高级恶意软件沙盒流量都会路由到 Palo Alto 的指定服务区域进行分析。
如果您在配置端点时未指定高级恶意软件沙盒区域，系统会自动将您的流量映射到最近的可用高级恶意软件沙盒区域。如需了解详情，请参阅适用于高级恶意软件沙盒的防火墙端点。
下表列出了支持高级恶意软件沙盒服务的区域：
位置：Palo Alto Networks 托管区域级高级恶意软件沙盒分析基础设施的国家/地区或地理区域。
区域：创建或更新防火墙端点时要使用的配置值。例如，在
--wildfire-regionGoogle Cloud CLI 标志、API 请求或 Terraform 资源中。Palo Alto Networks Advanced WildFire 云门户：区域级高级恶意软件沙盒服务门户的完全限定域名 (FQDN)。您可以使用此 FQDN 来验证数据驻留合规性、审核安全边界，或配置防火墙和代理许可清单。
| 位置 | 区域 | Palo Alto Networks Advanced WildFire 云门户 |
|---|---|---|
| 澳大利亚 | AUSTRALIA |
au.wildfire.paloaltonetworks.com |
| 加拿大 | CANADA |
ca.wildfire.paloaltonetworks.com |
| 法国 | FRANCE |
fr.wildfire.paloaltonetworks.com |
| 德国 | GERMANY |
de.wildfire.paloaltonetworks.com |
| 印度 | INDIA |
in.wildfire.paloaltonetworks.com |
| 印度尼西亚 | INDONESIA |
id.wildfire.paloaltonetworks.com |
| 以色列 | ISRAEL |
il.wildfire.paloaltonetworks.com |
| 日本 | JAPAN |
jp.wildfire.paloaltonetworks.com |
| 波兰 | POLAND |
pl.wildfire.paloaltonetworks.com |
| 卡塔尔 | QATAR |
qatar.wildfire.paloaltonetworks.com |
| 沙特阿拉伯 | SAUDI_ARABIA |
sa.wildfire.paloaltonetworks.com |
| 新加坡 | SINGAPORE |
sg.wildfire.paloaltonetworks.com |
| 韩国 | SOUTH_KOREA |
kr.wildfire.paloaltonetworks.com |
| 西班牙 | SPAIN |
es.wildfire.paloaltonetworks.com |
| 瑞士 | SWITZERLAND |
ch.wildfire.paloaltonetworks.com |
| 台湾 | TAIWAN |
tw.wildfire.paloaltonetworks.com |
| 英国 | UNITED_KINGDOM |
uk.wildfire.paloaltonetworks.com |
| 美国 | UNITED_STATES |
us-native.wildfire.paloaltonetworks.com |