Introdução

Este documento descreve as configurações de rede essenciais que você precisa implementar em seu firewall para garantir a operação contínua do Secure Malware Analytics.

Contribuição dos engenheiros do Cisco TAC.

Nuvens de análise de malware seguras

Nuvem nos EUA (Estados Unidos)

URL de acesso: https://panacea.threatgrid.com)

Hostname IP Porta Detalhes
panacea.threatgrid.com

63.97.201.67, 63.162.55.67

443

Para Secure Malware Analytics Portal e dispositivos integrados (ESA/WSA/FTD/ODNS/Meraki) 

glovebox.chi.threatgrid.com

200.194.241.35

443

Janela Interação de exemplo

glovebox.rcn.threatgrid.com

 63.97.201.67 443 

Janela Interação de exemplo

glovebox.scl.threatgrid.com

 63.162.55.67 443

Janela Interação de exemplo

fmc.api.threatgrid.com

63.97.201.67, 63.162.55.67

 443 FMC/FTD Serviço de análise de ficheiros

Nuvem da UE (Europa)

URL de acesso: https://panacea.threatgrid.eu

Hostname IP Porta Detalhes

panacea.threatgrid.eu

62.67.214.195, 200.194.242.35

 443  Para Secure Malware Analytics Portal e dispositivos integrados (ESA/WSA/FTD/ODNS/Meraki) 

glovebox.muc.threatgrid.eu

 62.67.214.195 443  Janela Interação de exemplo

glovebox.fam.threatgrid.eu

 200.194.242.35 443  Janela Interação de exemplo

fmc.api.threatGrid.eu

 62.67.214.195, 200.194.242.35 443  FMC/FTD Serviço de análise de ficheiros

O IP antigo 89.167.128.132 foi desativado. Atualize suas regras de firewall com os IPs acima.

Nuvem da CA (Canadá)

URL de acesso:https://panacea.threatgrid.ca

Hostname IP Porta Detalhes

panaceia.threatGrid.ca

200.194.240.35

 443  Para Secure Malware Analytics Portal e dispositivos integrados (ESA/WSA/FTD/ODNS/Meraki) 

glovebox.kam.threatGrid.ca

 200.194.240.35 443  Janela Interação de exemplo
fmc.api.threatGrid.ca 200.194.240.35 443  FMC/FTD Serviço de análise de ficheiros

Nuvem AU (Austrália)

URL de acesso:https://panacea.threatgrid.au

Hostname IP Porta Detalhes

panacea.threatgrid.com.au

124.19.22.171

 443  Para Secure Malware Analytics Portal e dispositivos integrados (ESA/WSA/FTD/ODNS/Meraki) 

glovebox.syd.threatgrid.com.au

 124.19.22.171 443  Janela Interação de exemplo
fmc.api.threatgrid.com.au 124.19.22.171 443  FMC/FTD Serviço de análise de ficheiros

Dispositivo de análise de malware seguro

A seguir estão as regras de firewall recomendadas por interface do Secure Malware Analytics Appliance.

Interface suja

Usado pelas VMs para se comunicar com a Internet para que as amostras possam resolver DNS e se comunicar com servidores de comando e controle (C&C)
Permissão:
Direção
Protocolo
Porta
Destino
Hostname
Detalhes
Saída
IP
QUALQUER UM
QUALQUER UM

Recomendado, exceto onde especificado na seção Negar aqui.

Usado para permitir a conectividade para análise.
Saída
TCP
22
54.173.231.161 1
63.97.201.98 2 63.162.55.98 2
support-snapshots.threatgrid.com
Usado para uploads de diagnóstico de suporte automático
Observação: requer software versão 1.2+
Saída
TCP
22
54.173.181.217 1 , 54.173.182.46 1
63.162.55.97 2 63.97.201.97 2
appliance-updates.threatgrid.com
Atualizações do equipamento
Saída
TCP
19791
54.164.165.137 1, 34.199.44.202 1
63.97.201.96 2 , 63.162.55.96 2
rash.threatgrid.com
Suporte remoto / Modo de suporte do dispositivo
Saída
TCP
22

63.97.201.99
63.162.55.99
appliance-licensing.threatgrid.com
Gerenciamento de licenças

1Esses IPs serão desabilitados em um futuro próximo.

2Esses são os IPs que substituiriam os do 1. Sugerimos adicionar ambos os IPs até que a comunicação sobre as alterações de IP seja feita em um futuro próximo.

Saída de rede remota

Usado pelo dispositivo para encapsular o tráfego da VM para uma saída remota conhecida anteriormente como tg-tunnel. 
Direção Protocolo Porta Destino
Saída TCP 21413

163.182.175.193
Saída  TCP 21417

69.55.5.250
Saída TCP 21415

69.55.5.250
Saída TCP 21413

76.8.60.91

Observação: a saída remota 4.14.36.142 foi removida e não está mais em produção. Verifique se todos os IPs mencionados foram adicionados à sua lista de exceções de firewall.

Negar:
Direção
Protocolo
Porta(s)
Destino
Detalhes
Saída
SMTP
QUALQUER UM
QUALQUER UM
Para evitar que o malware envie spam.
Entrada
IP
QUALQUER UM
Secure Malware Analytics Appliance Dirty Interface

Recomendado, exceto quando especificado na seção Permitir acima.

Usado para permitir comunicação para análise.

Limpar interface

Usado por vários serviços conectados para enviar amostras, bem como acesso de IU para analistas.
Permissão:
Direção
Protocolo
Porta(s)
Destino
Detalhes
Entrada
TCP
443 e 8443
Secure Malware Analytics Appliance Clean Interface
Acesso a WebUI e API
Entrada
TCP
9443
Secure Malware Analytics Appliance Clean Interface
Usado para Glovebox
Entrada
TCP
22
Secure Malware Analytics Appliance Clean Interface
Acesso TUI de administração sobre SSH
Saída
TCP
19791
Anfitrião: rash.threatgrid.com
54.164.165.137 1 ,34.199.44.202 1
63.97.201.96 2 ,63.162.55.96 2
Modo de recuperação para suporte analítico seguro contra malware.

1Esses IPs serão desabilitados em um futuro próximo.

2Esses são os IPs que substituiriam os do 1. Sugerimos adicionar ambos os IPs até que a comunicação sobre as alterações de IP seja feita em um futuro próximo.

Interface do administrador

Acesso à interface de usuário da administração.
Permissão:
Direção
Protocolo
Porta(s)
Destino
Detalhes
Entrada
TCP
443 e 8443
Interface de administração do Secure Malware Analytics Appliance
Usado para definir as configurações de hardware e licenciamento.
Entrada
TCP
22
Interface de administração do Secure Malware Analytics Appliance
Acesso TUI de administração sobre SSH