管理高级恶意软件沙盒提交

当 Cloud Next Generation Firewall Enterprise 检测到网络中存在未知文件或潜在的实时威胁时，会根据您的高级恶意软件沙盒 (WildFire) 安全配置文件，使用设备端机器学习模型和异步云沙盒评估流量。在开始之前，请先查看高级恶意软件沙盒安全配置文件概览中的概念。

本页面介绍了如何使用 Google Cloud 控制台和 gcloud 管理提交到高级恶意软件沙盒服务进行分析的文件、监控恶意软件沙盒结果以及跟踪动态判定。

使用 NGFW 企业版日志页面上的高级恶意软件沙盒提交标签页，审核文件提交、下载分析报告或恶意软件样本，以及更改判定覆盖。如需查看特定时间范围内在网络中检测到的高级恶意软件沙盒提交文件分析活动和恶意软件的摘要，请前往 Cloud NGFW 信息中心。

如需详细了解文件提交的工作原理，请参阅高级恶意软件沙盒概览。

如需了解日志记录的 JSON 布局，请参阅高级恶意软件沙盒日志。

角色与权限

如需查看提交内容列表并访问高级恶意软件沙盒数据，请让管理员为您授予组织或项目的必要 Identity and Access Management (IAM) 角色。

特性 必要角色
查看配置和基本提交记录 以下两个角色：
访问动态分析报告、下载原始恶意软件样本或提交判定变更请求 组织或项目中的以下任一角色：
  • Compute Network Admin (roles/compute.networkAdmin)
  • Firewall Endpoint Admin (roles/networksecurity.firewallEndpointAdmin)
  • 以下特定权限：
    • networksecurity.firewallEndpoints.getWildfireReport，用于下载 PDF 分析报告。
    • networksecurity.firewallEndpoints.getWildfireSample，用于下载原始恶意软件样本二进制文件。
    • networksecurity.firewallEndpoints.createVerdictChangeRequest，用于针对假正例或假负例提交手动判定覆盖。
    • networksecurity.firewallEndpoints.getVerdictChangeRequest，用于获取判定变更请求详情。
    • networksecurity.firewallEndpoints.listVerdictChangeRequests，用于列出判定变更请求。

如需详细了解如何授予角色，请参阅管理对项目、文件夹和组织的访问权限。

更改提交内容的判定

如需为端点提交到高级恶意软件沙盒的文件提交判定变更请求，请执行以下操作：

控制台

  1. 在 Google Cloud 控制台中，前往高级恶意软件沙盒提交页面。

    前往“高级恶意软件沙盒提交”页面

  2. 在项目选择器菜单中，选择您的项目。

  3. 如需更改高级恶意软件沙盒提交内容的判定结果，请点击要更改判定结果的文件对应的  更多操作。

  4. 点击更改判定结果。

  5. 在判定列表中，选择判定。例如，恶意软件、钓鱼式攻击。

  6. 在评论字段中，输入更改判定的理由。

  7. 点击创建。

gcloud

如需提交判定变更请求，请使用 gcloud network-security firewall-endpoints wildfire-verdict-change-requests create 命令：

gcloud network-security firewall-endpoints wildfire-verdict-change-requests create \
    --endpoint=ENDPOINT_NAME \
    [--organization=ORGANIZATION_ID | --project=PROJECT_ID] \
    --zone=ZONE \
    --hash=HASH \
    --verdict=VERDICT \
    --comment=COMMENT

替换以下内容：

  • ENDPOINT_NAME：防火墙端点的 ID 或其完全限定标识符。如果您指定完全限定标识符，则可以省略 --organization 或 --project 以及 --zone。

  • ORGANIZATION_ID：组织级防火墙端点所在的组织 ID。

  • PROJECT_ID：项目级防火墙端点所在的项目 ID。

  • ZONE：防火墙端点所在的可用区。

  • HASH：要提交判定更改请求的文件的哈希。

  • VERDICT：为文件请求的判定。

  • COMMENT：判定结果更改请求的理由。长度上限为 2,048 个字符。

列出判定变更请求

控制台

如需列出各个判定变更请求，请执行以下操作：

  1. 在 Google Cloud 控制台中，前往高级恶意软件沙盒提交页面。

    前往“高级恶意软件沙盒提交”页面

  2. 在项目选择器菜单中，选择您的项目。

  3. 点击高级恶意软件沙盒提交内容的名称。提交详情页面上的判定变更请求部分列出了该提交内容的判定变更请求。

gcloud

如需列出单个判定更改请求，请使用 gcloud network-security firewall-endpoints wildfire-verdict-change-requests list 命令：

gcloud network-security firewall-endpoints wildfire-verdict-change-requests list \
    --endpoint=ENDPOINT_NAME \
    [--organization=ORGANIZATION_ID | --project=PROJECT_ID] \
    --zone=ZONE

替换以下内容：

  • ENDPOINT_NAME：防火墙端点的 ID 或其完全限定标识符。如果您指定完全限定标识符，则可以省略 --organization 或 --project 以及 --zone。

  • ORGANIZATION_ID：要列出其中的判定更改请求的组织 ID。

  • PROJECT_ID：要在其中列出判定结果更改请求的项目 ID。

  • ZONE：要在其中列出判定更改请求的可用区。

获取判定变更请求详情

如需获取判定变更请求的详细信息，请执行以下操作：

控制台

  1. 在 Google Cloud 控制台中，前往高级恶意软件沙盒提交页面。

    前往“高级恶意软件沙盒提交”页面

  2. 在项目选择器菜单中，选择您的项目。

  3. 点击高级恶意软件沙盒提交内容的名称。提交内容详情页面会显示判定结果更改请求的状态和详细信息。

gcloud

如需获取判定更改请求的详细信息，请使用 gcloud network-security firewall-endpoints wildfire-verdict-change-requests get 命令：

gcloud network-security firewall-endpoints wildfire-verdict-change-requests get NAME \
    --endpoint=ENDPOINT_NAME \
    [--organization=ORGANIZATION_ID | --project=PROJECT_ID] \
    --zone=ZONE

替换以下内容：

  • NAME：判定更改请求的唯一名称。

  • ENDPOINT_NAME：防火墙端点的 ID 或其完全限定标识符。如果您指定完全限定标识符，则可以省略 --organization 或 --project 以及 --zone。

  • ORGANIZATION_ID：要在其中获取判定更改请求的组织 ID。

  • PROJECT_ID：要在其中获取判定更改请求的项目 ID。

  • ZONE：要在其中获取判定更改请求的可用区。

下载分析报告

如需下载高级恶意软件沙盒提交分析报告，请执行以下操作：

  1. 在 Google Cloud 控制台中，前往高级恶意软件沙盒提交页面。

    前往“高级恶意软件沙盒提交”页面

  2. 在项目选择器菜单中，选择您的项目。

  3. 点击相应文件的  更多操作，下载高级恶意软件沙盒分析报告。

  4. 点击下载高级恶意软件沙盒报告。

下载恶意软件样本

如需从高级恶意软件沙盒提交内容中下载恶意软件样本，请执行以下操作：

  1. 在 Google Cloud 控制台中，前往高级恶意软件沙盒提交页面。

    前往“高级恶意软件沙盒提交”页面

  2. 在项目选择器菜单中，选择您的项目。

  3. 点击该文件的  更多操作，下载恶意软件样本。

  4. 点击下载恶意软件样本。

后续步骤