【Paloalto】UTM（WildFire）の設定と動作確認　PANOS9.0.9-h1.xfr

2020.11.23

WildFire は、Paloalto を通過したファイルをクラウドのサンドボックスで実行して、マルウェアかどうかを判定する機能です。この記事では、WildFire 分析プロファイルを作ってセキュリティポリシーに適用し、テスト用のファイルで WildFire への送信を確かめます。あわせて、WildFire シグネチャの手動更新と自動更新の設定も確認します。

この記事でわかること
  1. WildFire 分析プロファイルを作り、セキュリティポリシーに適用する
  2. SSL 復号化した通信のファイルも WildFire に送れるようにする
  3. テスト用ファイルで動作を確かめ、WildFire シグネチャを更新する

この記事は、次の記事の内容が前提です。SSL 復号化をしないと、HTTPS 通信の中で送られるファイルは検出できません。先にお読みいただくことをおすすめします。

>> 参考記事 : SSL復号化（SSL Forward Proxy）の設定と動作確認　PANOS9.0.9-h1.xfr

検証環境

PAN-OS 9.0.9-h1 で検証しています。PAN-OS 9.0 は 2022年3月1日でサポートが終了（End-of-Life）しています。画面の項目の並びや表記は、バージョンによって変わります。

WildFire のしくみ

WildFire 分析プロファイルを適用したポリシーで EXE ファイルなどの対象ファイルが Paloalto を通過すると、Paloalto は WildFire でまだ判定されていない（未知の）ファイルを WildFire クラウドに送ります。WildFire はファイルをサンドボックスで動かして判定し、マルウェアと判定した場合はシグネチャを作ります。Paloalto は、そのシグネチャを更新で受け取ります。

WildFireクライアントPaloaltoWildFire クラウド1ファイルをダウンロード2 未知のファイルを送る3サンドボックスで判定4マルウェアならシグネチャを作成5シグネチャの更新
図1　WildFire の流れ

WildFire 分析プロファイルを作る

Objects ›› セキュリティ プロファイル ›› WildFire 分析 で「追加」をクリックします。名前に Custom と入力し、ルールの「追加」をクリックします。

画面イメージについて

この記事の画面は、実際の画面ではなく、検証時の画面から設定する項目（見るポイント）を抜き出して描いたイメージです。バージョンによって、項目の並びや表記は変わります。

Paloalto 設定画面（Web UI）画面イメージ
Objects ›› セキュリティ プロファイル ›› WildFire 分析 ›› WildFire 分析プロファイル
1名前Custom
2ルール
名前アプリケーションファイル タイプ方向分析
Customanyanybothpublic-cloud
3ファイル タイプの選択肢apk / archive / email-link / flash / jar / linux / MacOSX / ms-office / pdf / pe / script
4OKキャンセル
図2　WildFire 分析プロファイル（実際の画面ではなく、設定項目のポイントを示したイメージです）
No.項目設定内容
1名前任意の名前です。今回は Custom にしました。
2ルールどのアプリケーション・ファイルタイプ・方向（アップロード、ダウンロード、両方）のファイルを、どこで分析するかを決めます。今回はアプリケーションとファイルタイプを any、方向を both、分析を public-cloud（WildFire のパブリッククラウド）にしました。
3ファイル タイプ対象を特定のファイルタイプに絞ることもできます。
4OKOK をクリックすると、WildFire 分析プロファイルの一覧に Custom が登録されます。

サポートされるファイルタイプは、次のドキュメントを参考にしてください。

>> WildFire File Type Support（WildFire Administrator’s Guide）

SSL 復号した通信のファイルを送れるようにする

SSL 復号化した通信のファイルを WildFire で分析させるには、復号したファイルの WildFire への転送を許可する設定が必要です。Device ›› セットアップ ›› コンテンツ ID で、「コンテンツ ID 設定」の歯車をクリックします。

Paloalto 設定画面（Web UI）画面イメージ
Device ›› セットアップ ›› コンテンツ ID ›› コンテンツ ID 設定（歯車）
1復号化されたコンテンツの転送を許可☑
拡張パケット キャプチャ長 (パケット数)5
2OKキャンセル
図3　コンテンツ ID 設定（実際の画面ではなく、設定項目のポイントを示したイメージです）

「復号化されたコンテンツの転送を許可」にチェックを入れて、OK をクリックします。

セキュリティポリシーに適用する

LAN からインターネットへのセキュリティポリシー（LAN_to_Internet）の「アクション」タブで、WildFire 分析に Custom を選びます。OK をクリックしてコミットします。

Paloalto 設定画面（Web UI）画面イメージ
Policies ›› セキュリティ ›› LAN_to_Internet ›› アクションタブ
プロファイル設定
プロファイル タイププロファイル
アンチウイルスAntiVirus
脆弱性防御strict
URL フィルタリングCustom
1WildFire 分析Custom
図4　セキュリティポリシーのアクションタブ。None のプロファイルは省いています（実際の画面ではなく、設定項目のポイントを示したイメージです）

端末からテストする

Palo Alto Networks のサイトで、WildFire のテスト用ファイルが公開されています。このファイルをダウンロードして、WildFire への送信がログに記録されることで動作を確かめます。

>> 偽マルウェア ファイルを使ったWildFireのテスト方法（LIVEcommunity）

このページのリンク（http://wildfire.paloaltonetworks.com/publicapi/test/pe）をクリックすると、ランダムに生成されたテスト用ファイルがダウンロードされます。そのあと Monitor ›› ログ ›› WildFire への送信 を見ると、テスト用ファイルを検出して WildFire クラウドに送っていることがわかります。

Paloalto 設定画面（Web UI）画面イメージ
Monitor ›› ログ ›› WildFire への送信
ファイル名送信元
ゾーン		宛先
ゾーン		宛先
ポート		アプリケ
ーション		ルール判定アク
ション		重大度
1wildfire-test-pe-file.exeLANInternet80web-browsingLAN_to_Internet2maliciousallowhigh
wildfire-test-pe-file.exeLANInternet80web-browsingLAN_to_Internetmaliciousallowhigh
図5　WildFire への送信ログ。送信元・宛先アドレスの列は省いています（実際の画面ではなく、表示のポイントを示したイメージです）
No.表示意味
1ファイル名WildFire に送られたファイルです。テスト用ファイル wildfire-test-pe-file.exe が記録されています。
2判定WildFire の判定結果です。テスト用ファイルは malicious（マルウェア）と判定されています。WildFire への送信はファイルを止める処理ではないので、このログのアクションは allow です。

WildFire シグネチャを更新する

WildFire が作ったシグネチャは、ダイナミック更新で Paloalto に取り込みます。

手動で更新する

Device ›› ダイナミック更新 で「今すぐチェック」をクリックすると、更新サーバーに問い合わせて最新の情報を取得します。新しい WildFire シグネチャの行の「ダウンロード」をクリックするとすぐにダウンロードされ、終わると「インストール」が表示されます。「インストール」をクリックするとすぐにインストールされ、「現在インストール済み」にチェックが入ります。

Paloalto 設定画面（Web UI）画面イメージ
Device ›› ダイナミック更新　▾ WildFire　スケジュール: None
バージョンファイル名リリース日ダウン
ロード済み		現在イン
ストール済み		アクション
504630-507592panupv2-all-wildfire-504630-5075922020/11/07 14:50:04 JST✔ 以前戻す
508959-511958panupv2-all-wildfire-508959-5119582020/11/22 23:40:56 JST✔1✔
図6　インストール後の WildFire シグネチャ（実際の画面ではなく、表示のポイントを示したイメージです）

自動で更新する

スケジュールを設定すると、WildFire シグネチャを自動で更新（ダウンロード、インストール）できます。Device ›› ダイナミック更新 で、WildFire の「スケジュール」（None）をクリックします。

Paloalto 設定画面（Web UI）画面イメージ
Device ›› ダイナミック更新 ›› WildFire の更新スケジュール
1Choice選択肢なし
毎分15 分ごと
30 分ごと
毎時間
2アクションdownload-and-install
3HA☐ ダウンロード/インストール後に HA ピアとコンテンツを同期
4OKキャンセル
図7　WildFire の更新スケジュール（実際の画面ではなく、設定項目のポイントを示したイメージです）
No.項目設定内容
1Choice更新の間隔です。毎分から選べます。今回は「毎分」にしました。
2アクションダウンロードのみ（download-only）か、ダウンロードとインストール（download-and-install）を選びます。
3HA ピアとコンテンツを同期HA 構成のときは、スタンバイ機にもシグネチャを反映させるため、チェックを入れます。
4OKOK をクリックすると、WildFire の行のスケジュールが「Every minute (Download and Install)」になり、スケジュールに従って更新されます。
現在の状況

PAN-OS 10.0 以降では、WildFire シグネチャをリアルタイムで取得できるようになりました。Device ›› ダイナミック更新 の WildFire のスケジュールで、更新の間隔にリアルタイムを選べます（WildFire のサブスクリプションが必要です）。

まとめ

設定場所内容
WildFire 分析プロファイルObjects ›› セキュリティ プロファイル ›› WildFire 分析Custom（アプリケーション any、ファイルタイプ any、方向 both、public-cloud）
復号したファイルの転送Device ›› セットアップ ›› コンテンツ ID「復号化されたコンテンツの転送を許可」にチェック
セキュリティポリシーPolicies ›› セキュリティLAN_to_Internet のアクションタブで WildFire 分析に Custom
確認Monitor ›› ログ ›› WildFire への送信テスト用ファイルが送られ、malicious と判定される
シグネチャ更新Device ›› ダイナミック更新手動（今すぐチェック → ダウンロード → インストール）またはスケジュール

参考

関連記事：SSL 復号化（SSL Forward Proxy）／脅威防御（アンチウイルス）／脅威防御（脆弱性防御）／UTM（URL フィルタリング）

コメント