Mit Sammlungen den Überblick behalten
Sie können Inhalte basierend auf Ihren Einstellungen speichern und kategorisieren.
Die signaturbasierte Bedrohungserkennung ist eine der am häufigsten verwendeten Methoden zur Identifizierung von böswilligem Verhalten. Sie wird daher häufig genutzt, um Netzwerkangriffe zu verhindern. Die Cloud Next Generation Firewall-Funktionen zur Bedrohungserkennung basieren auf den Technologien zur Bedrohungsvermeidung von Palo Alto Networks.
In diesem Abschnitt sind die standardmäßigen Bedrohungssignaturen, unterstützten Schweregrade und Bedrohungsausnahmen aufgeführt, die von Cloud NGFW in Zusammenarbeit mit Palo Alto Networks bereitgestellt werden.
Standardsignatursatz
Cloud NGFW bietet einen Standardsatz von Bedrohungssignaturen, mit denen Sie Ihre Netzwerkarbeitslasten vor Bedrohungen schützen können. Die Signaturen werden verwendet, um Sicherheitslücken und Spyware zu erkennen. Um sich alle in Cloud NGFW konfigurierten Bedrohungssignaturen anzusehen, rufen Sie den Threat Vault auf.
Wenn Sie noch kein Konto haben, registrieren Sie sich für ein neues Konto.
Signaturen zur Sicherheitslückenerkennung erkennen Versuche, Systemfehler zu auszunutzen oder unbefugten Zugriff auf Systeme zu erlangen. Anti-Spyware-Signaturen helfen dabei, infizierte Hosts zu identifizieren, wenn der Traffic das Netzwerk verlässt. Mit Signaturen zur Sicherheitslückenerkennung sind sie vor Bedrohungen geschützt, die in das Netzwerk eindringen.
Signaturen zur Sicherheitslückenerkennung schützen beispielsweise vor Zwischenspeicherüberläufen, der illegalen Codeausführung und anderen Versuchen, die Systemsicherheitslücken auszunutzen. Die standardmäßigen Signaturen für die Sicherheitslückenerkennung bieten für Clients und Server die Erkennung aller bekannten Bedrohungen mit kritischem, hohem und mittlerem Schweregrad sowie von Bedrohungen mit niedrigem und Informationsschweregrad.
Anti-Spyware-Signaturen erkennen Spyware auf manipulierten Hosts.
Solche Spyware versucht möglicherweise, externe C2-Server (Command-and-Control-Server) zu kontaktieren.
Antivirensignaturen erkennen Viren und Malware, die in ausführbaren Dateien und Dateitypen gefunden werden.
DNS-Signaturen erkennen DNS-Anfragen zum Herstellen einer Verbindung zu schädlichen Domains.
Jeder Bedrohungssignatur ist auch eine Standardaktion zugeordnet. Mit Sicherheitsprofilen können Sie die Aktionen für diese Signaturen überschreiben und in einer Firewallregel im Rahmen einer Sicherheitsprofilgruppe auf diese Profile verweisen. Wenn im abgefangenen Traffic eine konfigurierte Bedrohungssignatur erkannt wird, führt der Firewall-Endpunkt die entsprechende Aktion aus, die im Sicherheitsprofil für die übereinstimmenden Pakete angegeben ist.
Bedrohungsschweregrade
Der Schweregrad einer Bedrohungssignatur gibt das Risiko des erkannten Ereignisses an und Cloud NGFW generiert Benachrichtigungen für übereinstimmenden Traffic.
In der folgenden Tabelle sind die Schweregrade der Bedrohungen zusammengefasst.
Schweregrad
Beschreibung
Kritisch
Ernsthafte Bedrohungen verursachen eine Root-Manipulation von Servern. Beispielsweise Bedrohungen, die die Standardinstallationen einer gängigen Software betreffen und bei denen Exploit-Code allgemein für Angreifer verfügbar ist. Der Angreifer benötigt in der Regel keine speziellen Authentifizierungsanmeldedaten oder Kenntnisse über die einzelnen Opfer. Das Ziel muss außerdem nicht so manipuliert werden, dass spezielle Funktionen ausgeführt werden.
Hoch
Bedrohungen, die kritisch werden können, bei denen es aber Möglichkeiten zur Risikominderung gibt. Sie können beispielsweise schwierig auszunutzen sein, führen nicht zu höheren Berechtigungen oder haben keine große Zahl potenzieller Opfer.
Mittel
Kleinere Bedrohungen, bei denen die Auswirkungen minimiert werden und das Ziel nicht manipuliert wird, oder Exploit, die erfordern, dass sich ein Angreifer im selben lokalen Netzwerk wie das Opfer befindet. Solche Angriffe betreffen nur nicht standardmäßige Konfigurationen oder ganz besondere Anwendungen oder ermöglichen nur einen eingeschränkten Zugriff.
Niedrig
Bedrohungen auf Warnungsebene, die nur sehr geringe Auswirkungen auf die Infrastruktur einer Organisation haben. Solche Bedrohungen erfordern in der Regel den Zugriff auf lokale oder physische Systeme und können häufig zu Datenschutzproblemen bei den Opfern und zu Informationslecks führen.
Informationell
Verdächtige Ereignisse, die keine unmittelbare Bedrohung darstellen, aber auf tiefergehende Probleme hinweisen können, die möglicherweise existieren.
Bedrohungsausnahmen
Wenn Sie Benachrichtigungen für bestimmte Bedrohungssignatur-IDs unterdrücken oder vermehrt erhalten möchten, können Sie Sicherheitsprofile verwenden, um die mit Bedrohungen verbundenen Standardaktionen zu überschreiben. Sie finden die Bedrohungssignatur-IDs vorhandener Bedrohungen, die von Cloud NGFW erkannt werden, in Ihren Bedrohungslogs.
Cloud NGFW bietet Einblick in Bedrohungen, die in Ihrer Umgebung erkannt werden. Informationen zu Bedrohungen, die in Ihrem Netzwerk erkannt wurden, finden Sie unter Bedrohungen ansehen.
Häufigkeit von Inhaltsupdates
Cloud NGFW aktualisiert alle Signaturen automatisch ohne Nutzereingriff, sodass Sie sich auf die Analyse und Lösung von Bedrohungen konzentrieren können, ohne Signaturen verwalten oder aktualisieren zu müssen.
Updates von Palo Alto Networks werden von Cloud NGFW übernommen und an alle vorhandenen Firewall-Endpunkte übertragen. Die Updatelatenz beträgt geschätzt bis zu 48 Stunden.
Logs ansehen
Verschiedene Features von Cloud NGFW generieren Benachrichtigungen, die an das Bedrohungslog gesendet werden. Weitere Informationen zum Logging finden Sie unter Cloud Logging.
[[["Leicht verständlich","easyToUnderstand","thumb-up"],["Mein Problem wurde gelöst","solvedMyProblem","thumb-up"],["Sonstiges","otherUp","thumb-up"]],[["Schwer verständlich","hardToUnderstand","thumb-down"],["Informationen oder Beispielcode falsch","incorrectInformationOrSampleCode","thumb-down"],["Benötigte Informationen/Beispiele nicht gefunden","missingTheInformationSamplesINeed","thumb-down"],["Problem mit der Übersetzung","translationIssue","thumb-down"],["Sonstiges","otherDown","thumb-down"]],["Zuletzt aktualisiert: 2025-03-03 (UTC)."],[[["\u003cp\u003eCloud NGFW uses a default set of threat signatures from Palo Alto Networks to detect vulnerabilities, spyware, and viruses in network traffic.\u003c/p\u003e\n"],["\u003cp\u003eThreat signatures have severity levels, ranging from "Critical" to "Informational," which indicate the risk and impact of the detected event.\u003c/p\u003e\n"],["\u003cp\u003eSecurity profiles can be used to override the default actions associated with threats, allowing for customized responses such as alerting or denying traffic.\u003c/p\u003e\n"],["\u003cp\u003eCloud NGFW automatically updates threat signatures from Palo Alto Networks, with an estimated update latency of up to 48 hours.\u003c/p\u003e\n"],["\u003cp\u003eCloud NGFW generates alerts for detected threats, which are sent to the threat log, and can be viewed for further analysis.\u003c/p\u003e\n"]]],[],null,["# Threat signatures overview\n\nSignature-based threat detection is one of the most commonly used mechanisms to\nidentify malicious behavior, and is therefore widely used to prevent\nnetwork attacks. Cloud Next Generation Firewall's threat detection capabilities are powered\nby Palo Alto Networks threat prevention technologies.\n\nThis section lists the default threat signatures, supported threat severity\nlevels, and threat exceptions provided by Cloud NGFW in partnership\nwith Palo Alto Networks.\n\nDefault signature set\n---------------------\n\nCloud NGFW provides a default set of\n[threat signatures](https://docs.paloaltonetworks.com/pan-os/10-0/pan-os-admin/threat-prevention/threat-signatures.html)\nthat help you to safeguard your network workloads from threats. The\nsignatures are used to detect vulnerabilities and spyware. To view\nall the threat signatures configured in Cloud NGFW,\ngo to the [threat vault](https://threatvault.paloaltonetworks.com/).\nIf you don't already have an account, sign-up for a new account.\n\n- **Vulnerability detection signatures** detect attempts to exploit system\n flaws or gain unauthorized access to systems. While anti-spyware signatures\n help identify infected hosts when traffic leaves the network, vulnerability\n detection signatures safeguard against threats that penetrate the network.\n\n For example, vulnerability detection signatures help protect against buffer\n overflows, illegal code execution, and other attempts to exploit system\n vulnerabilities. The default vulnerability detection signatures provide\n detection for clients and servers from all known\n critical-, high-, and medium-severity threats along with any low- and\n informational-severity threats.\n- **Anti-spyware signatures** detect spyware on compromised hosts.\n Such spyware might try to contact external command-and-control (C2) servers.\n\n- **Antivirus signatures** detect viruses and malware found in executables\n and file types.\n\nEach threat signature also has a [default action](https://docs.paloaltonetworks.com/pan-os/10-2/pan-os-web-interface-help/objects/objects-security-profiles/actions-in-security-profiles)\nassociated with it. You can use\n[security profiles](/firewall/docs/about-security-profiles) to override\nthe actions for these signatures, and reference these profiles as part of a\n[security profile group](/firewall/docs/about-security-profile-groups)\nin a firewall policy rule. If any configured threat\nsignature is detected in the intercepted traffic, the [firewall endpoint](/firewall/docs/about-firewall-endpoints)\nperforms the corresponding action specified in the security profile on the\nmatched packets.\n\nThreat severity levels\n----------------------\n\nA threat signature's severity indicates the risk of the detected event, and\nCloud NGFW generates alerts for matching traffic.\nThe following table summarizes the threat severity levels.\n\nThreat exceptions\n-----------------\n\nIf you want to suppress or increase alerts on specific threat signature IDs, you\ncan use [security profiles](/firewall/docs/about-security-profiles) to override\nthe default actions associated with threats. You can find the threat signature\nIDs of existing threats detected by Cloud NGFW in your threat logs.\n\nCloud NGFW provides visibility on threats that are detected in your\nenvironment. To view threats detected in your network, see [View threats](/firewall/docs/view-threats).\n\nAntivirus\n---------\n\nBy default, Cloud NGFW generates an alert when it finds a virus\nthreat in the network traffic of any of its supported protocols. You\ncan use [security profiles](/firewall/docs/about-security-profiles) to override\nthis default action, and allow or deny the network traffic based on the network\nprotocol.\n\n### Supported protocols\n\nCloud NGFW supports the following protocols for antivirus detection:\n\n- `SMTP`\n- `SMB`\n- `POP3`\n- `IMAP`\n- `HTTP2`\n- `HTTP`\n- `FTP`\n\n### Supported actions\n\nCloud NGFW supports the following antivirus actions for its\nsupported protocols:\n\n- `DEFAULT`: the default behavior of Palo Alto Networks antivirus action.\n\n If a threat is found in the SMTP, IMAP, or\n POP3 protocol traffic, Cloud NGFW generates an alert in the\n threat logs. If a threat is found in the FTP, HTTP, or SMB protocol\n traffic, Cloud NGFW blocks the traffic.\n For more information, see the [Palo Alto Networks actions\n documentation](https://docs.paloaltonetworks.com/network-security/security-policy/administration/security-profiles/security-profile-antivirus).\n- `ALLOW`: allow the traffic.\n\n- `DENY`: deny the traffic.\n\n- `ALERT`: generate an alert in the threat logs. This is the default behavior\n of Cloud NGFW.\n\n### Best practices for using the antivirus actions\n\nWe recommend that you configure the antivirus actions\nto deny all virus threats. Use the following guidance to determine whether to\ndeny the traffic or generate an alert:\n\n- For business-critical applications, start with the security profile's action set to `alert`. This setting lets you monitor and assess threats without disrupting the traffic. After you confirm that the security profile meets your business and security requirements, you can change the security profile's action to `deny`.\n- For non-critical applications, set the security profile's action to `deny`. It's safe to block malicious traffic for non-critical applications immediately.\n\nTo set up an alert or to deny network traffic for all supported network\nprotocols, use the following commands:\n\n- To set up an alert action on antivirus threats for all supported protocols:\n\n ```\n gcloud network-security security-profiles threat-prevention add-override NAME \\\n --antivirus SMB,IMAP,HTTP,HTTP2,FTP,SMTP,POP3 \\\n --action ALERT \\\n --organization ORGANIZATION_ID \\\n --location LOCATION \\\n --project PROJECT_ID\n ```\n\n Replace the following:\n - \u003cvar translate=\"no\"\u003eNAME\u003c/var\u003e: the name of the security profile; you can specify\n the name as a string or as a unique URL identifier.\n\n - \u003cvar translate=\"no\"\u003eORGANIZATION_ID\u003c/var\u003e: the organization where the security\n profile is created.\n\n If you use a unique URL identifier for the\n `name` flag, you can omit the `organization` flag.\n - \u003cvar translate=\"no\"\u003eLOCATION\u003c/var\u003e: the location of the security profile.\n\n Location is always set to `global`. If you use a unique URL identifier\n for the `name` flag, you can omit the `location` flag.\n - \u003cvar translate=\"no\"\u003ePROJECT_ID\u003c/var\u003e: the project ID to use\n for quotas and access restrictions on the security profile.\n\n- To set up a deny action on antivirus threats for all supported protocols:\n\n ```\n gcloud network-security security-profiles threat-prevention add-override NAME \\\n --antivirus SMB,IMAP,HTTP,HTTP2,FTP,SMTP,POP3 \\\n --action DENY \\\n --organization ORGANIZATION_ID \\\n --location LOCATION \\\n --project PROJECT_ID\n ```\n\n Replace the following:\n - \u003cvar translate=\"no\"\u003eNAME\u003c/var\u003e: the name of the security profile; you can specify\n the name as a string or as a unique URL identifier.\n\n - \u003cvar translate=\"no\"\u003eORGANIZATION_ID\u003c/var\u003e: the organization where the security\n profile is created.\n\n If you use a unique URL identifier for the\n `name` flag, you can omit the `organization` flag.\n - \u003cvar translate=\"no\"\u003eLOCATION\u003c/var\u003e: the location of the security profile.\n\n Location is always set to `global`. If you use a unique URL identifier\n for the `name` flag, you can omit the `location` flag.\n - \u003cvar translate=\"no\"\u003ePROJECT_ID\u003c/var\u003e: the project ID to use\n for quotas and access restrictions on the security profile.\n\nFor more information about how to set up the override, see [Add override actions\nin a security\nprofile](/firewall/docs/configure-security-profiles#add-overrides).\n\nContent update frequency\n------------------------\n\nCloud NGFW automatically updates all signatures without any user\nintervention, enabling you to focus on analyzing and resolving threats\nwithout managing or updating signatures.\n\nUpdates from Palo Alto Networks are picked up by Cloud NGFW and\npushed to all the existing firewall endpoints. Update latency is estimated\nto be up to 48 hours.\n\nView logs\n---------\n\nSeveral features of Cloud NGFW generate alerts, which are sent to\nthe threat log. For more information about logging, see\n[Cloud Logging](/logging/docs/overview).\n\nWhat's next\n-----------\n\n- [View threats](/firewall/docs/view-threats)\n- [Intrusion detection and prevention service overview](/firewall/docs/about-intrusion-prevention)\n- [Configure intrusion detection and prevention service](/firewall/docs/configure-intrusion-prevention)"]]
