Skip to main content
NetApp Ransomware Resilience
Die deutsche Sprachversion wurde als Serviceleistung für Sie durch maschinelle Übersetzung erstellt. Bei eventuellen Unstimmigkeiten hat die englische Sprachversion Vorrang.

Führen Sie eine Übung zur Vorbereitung auf Ransomware-Angriffe in NetApp Ransomware Resilience durch

Beitragende netapp-ahibbard amgrissino
Änderungen vorschlagen
PDFs

In NetApp Ransomware Resilience kann eine Übung zur Vorbereitung auf einen Ransomware-Angriff durchgeführt werden, um die Bereitschaft für einen realen Ransomware-Angriff zu testen. Mit der Übung simuliert Ransomware Resilience einen Angriff auf eine neue Beispiel-Workload, wodurch eine Untersuchung des simulierten Angriffs und eine Wiederherstellung möglich sind, ohne die realen Produktionsdaten zu beeinträchtigen. Die Übung trägt dazu bei, sich mit Warnmeldungen vertraut zu machen und auf Reaktion sowie Wiederherstellung vorbereitet zu sein. Die Übung kann beliebig oft durchgeführt werden.

Sie können Bereitschaftsübungen für NFS- und CIFS-Workloads (SMB) durchführen.

Funktionsweise von Bereitschaftsübungen

Ransomware Resilience unterstützt drei Übungstypen: "Clean Restore", "Benutzerdefinierte Wiederherstellung" und "Wiederherstellung nach einem Data Breach". Clean Restore und Custom Recovery simulieren verschlüsselungsbasierte (entropiebasierte) Angriffe und unterscheiden sich in der angebotenen Wiederherstellungsmethode. Data Breach Recovery simuliert die Exfiltration mit ungewöhnlichen Lesemustern bei Ihren Daten.

Wenn Sie eine Bereitschaftsübung konfigurieren, erstellt Ransomware Resilience ein Testvolume, wendet den Ransomware-Schutz mit einer Snapshot-Richtlinie auf das Volume an, validiert die Konnektivität, bindet das Volume ein, kopiert Basisdaten, bindet das Volume aus und erstellt einen Basis-Snapshot.

Beim Start der Übung bindet Ransomware Resilience das Volume ein und simuliert einen Ransomware-Angriff. Bei einer Vorbereitungsübung für eine benutzerdefinierte Wiederherstellung oder eine vollständige Wiederherstellung werden die Basisdaten des Testvolumes durch Dateiendungen ersetzt, die bekanntermaßen Ransomware sind, sowie durch verschlüsselte oder entropieveränderte Dateien. Bei einer Übung zur Wiederherstellung nach einem Datenleck werden die Dateien nicht ersetzt, stattdessen simuliert Ransomware Resilience einen Angreifer, der systematisch Daten liest und exfiltriert. Unabhängig vom Übungstyp löst Ransomware Resilience anschließend eine Warnung aus und überprüft, ob die Warnung erfolgreich generiert wurde.

Wenn Sie die Übung durchführen, können Sie Ihre Reaktion auf Warnmeldungen testen und optional den Wiederherstellungsprozess durchlaufen, ohne reale Daten zu beeinträchtigen.

Konfigurieren Sie eine Übung zur Vorbereitung auf Ransomware-Angriffe

Vor dem Ausführen einer Simulation müssen Sie die Bereitschaftsübung konfigurieren. Die Bereitschaftsübung muss für einen bestimmten Typ von Ransomware-Angriff erstellt werden. Ransomware Resilience erkennt fünf Arten von Angriffen:

Angriffsart Beschreibung

Verschlüsselung (Entropie)

Ransomware Resilience erkennt anomale IOPS-Muster, Datenentropie und nicht standardmäßige Dateisuffixe.

Verschlüsselung (Benutzerverhalten)

Ransomware Resilience erkennt anomale Lese-, Schreib- und Umbenennungsaktivitäten von Dateien, die von einem bestimmten Benutzer durchgeführt werden.

Datenpanne

Ransomware Resilience erkennt anomale Dateilesemuster, die von einem bestimmten Benutzer durchgeführt werden.

Datenvernichtung

Ransomware Resilience erkennt die massenhafte Löschung von Dateien durch einen bestimmten Benutzer.

Verdächtiges Nutzerverhalten

Ransomware Resilience identifiziert anomales Verhalten, das über den Rahmen von Datenlecks, Datenzerstörung oder Verschlüsselung hinausgeht.
Hinweis "Benutzeraktivitätserkennung" muss so konfiguriert werden, dass Verschlüsselung (Benutzerverhalten), Datenschutzverletzungen, Datenzerstörung und Angriffe mit verdächtigem Benutzerverhalten erkannt werden.

Erforderliche Konsolenrolle Um diese Aufgabe auszuführen, benötigen Sie die "Super-Admin" oder die Administratorrolle für Ransomware Resilience. "Erfahren Sie mehr über Ransomware Resilience-Rollen für die NetApp Console".

Bevor Sie beginnen

  • Um eine Bereitschaftsübung für jede Art von Ransomware-Angriff außer Verschlüsselung (Entropie) zu konfigurieren, muss "Benutzeraktivitätserkennung" konfiguriert sein.

  • Wenn eine Bereitschaftsübung für eine CIFS-Workload erstellt wird, müssen Benutzeranmeldeinformationen eingegeben werden. Für Bereitschaftsübungen empfiehlt sich die Erstellung eines dedizierten Testbenutzers außerhalb der Produktionsumgebung, insbesondere beim Testen von Angriffstypen, die Benutzeraktivitäten betreffen (also Datenlecks). Wird ein realer Produktionsbenutzer verwendet und zeigt dieser verdächtiges Verhalten auf anderen Produktionsvolumes, können diese Warnungen unter der Bereitschaftsübung erscheinen, anstatt eine echte Warnung zu generieren.

Schritte

  1. Unter Ransomware Resilience wählen Sie Einstellungen.

  2. In der Readiness-Drill-Karte auf der Seite „Einstellungen“ die Option Konfigurieren auswählen.

    Seite zur Konfiguration der Bereitschaftsübung

  3. Den Ransomware-Angriffstyp auswählen.

  4. Wählen Sie die Umgebung, in der der Bereitschaftsübungstest erstellt wird.

    1. Den Konsolenagenten und das primäre System auswählen.

    2. Nachdem das primäre System ausgewählt wurde, die Storage VM aus der vorausgefüllten Liste auswählen.

    3. Wenn die Storage-VM das CIFS-Protokoll verwendet, sind die Active Directory-Anmeldeinformationen einzugeben. Optional kann die Active Directory-Domäne eingegeben werden; Benutzername und Kennwort müssen jedoch eingegeben werden. Es wird empfohlen, Anmeldeinformationen für einen dedizierten Testbenutzer einzugeben.

    4. Geben Sie einen Namen für die New test workload an. Die Test-Workload wird mit rps_test_ vorangestellt.

    5. Wenn die Bereitschaftsübung für einen Angriffstyp vom Typ Benutzeraktivität ist, den Benutzeraktivitätsagent für die Übungsumgebung auswählen.

  5. Wählen Sie Speichern.

Tipp Die Konfiguration der Bereitschaftsübung lässt sich später auf der Seite „Einstellungen“ anpassen.

Starten Sie eine Bereitschaftsübung

Nachdem Sie die Bereitschaftsübung konfiguriert haben, können Sie mit der Übung beginnen.

Erforderliche Konsolenrolle Um diese Aufgabe auszuführen, benötigen Sie die "Super-Admin" oder die Administratorrolle für Ransomware Resilience. "Erfahren Sie mehr über Ransomware Resilience-Rollen für die NetApp Console".

Schritte

  1. Unter Ransomware Resilience wählen Sie Einstellungen.

  2. Auf der Einstellungsseite Start auswählen.

Hinweis Die Konfiguration der Bereitschaftsübung kann nicht bearbeitet werden, während die Übung läuft. Zum Ändern der Bereitschaftsübung zunächst Zurücksetzen auswählen und anschließend die Übung bearbeiten.

Auf einen Alarm einer Bereitschaftsübung reagieren

Testen Sie Ihre Bereitschaft, indem Sie auf eine Bereitschaftsübungswarnung reagieren.

Erforderliche Konsolenrolle Um diese Aufgabe auszuführen, benötigen Sie die "Super-Admin" oder die Administratorrolle für Ransomware Resilience. "Erfahren Sie mehr über Ransomware Resilience-Rollen für die NetApp Console".

Schritte

  1. Wählen Sie im Menü „Ransomware Resilience“ die Option „Warnungen“ aus.

  2. Die Warnung mit dem Hinweis „Readiness drill“ auswählen. Auf der Seite mit den Warnungsdetails erscheint eine Liste der Vorfallwarnungen.

    Seite mit Alarmdetails, auf der der Alarm zur Bereitschaftsübung angezeigt wird

  3. Überprüfen Sie die Alarmvorfälle.

  4. Wählen Sie einen Alarmvorfall aus.

    Vorfallseite mit der Warnung zur Bereitschaftsübung

Bei der Überprüfung des Vorfalls sind folgende Punkte zu berücksichtigen:

  • Der potenzielle Schweregrad.

    Wenn der Schweregrad darauf hindeutet, dass ein Benutzer böswilliger Aktivitäten verdächtigt wird, überprüfen Sie den Benutzernamen. Sie können auch"den Benutzer blockieren."

  • Dateiaktivitäten und verdächtige Prozesse werden angezeigt:

    • Die eingehenden erfassten Daten im Vergleich zu den erwarteten Daten betrachten.

    • Die festgestellte Erstellungsrate der Dateien im Vergleich zur erwarteten Rate kann betrachtet werden.

    • Die festgestellte Dateiumbenennungsrate im Vergleich zur erwarteten Rate kann betrachtet werden.

    • Die Löschrate im Vergleich zur erwarteten Rate betrachten.

  • Die Liste der betroffenen Dateien kann eingesehen werden. Die Dateierweiterungen, die möglicherweise den Angriff verursachen, können überprüft werden.

  • Bestimmen Sie die Auswirkungen und das Ausmaß des Angriffs, indem Sie die Anzahl der betroffenen Dateien und Verzeichnisse überprüfen.

Wiederherstellen der Test-Workload

Stellen Sie nach der Überprüfung der Warnung zur Bereitschaftsübung bei Bedarf die Testarbeitslast wieder her.

Erforderliche Konsolenrolle Um diese Aufgabe auszuführen, benötigen Sie die "Super-Admin" oder die Administratorrolle für Ransomware Resilience. "Erfahren Sie mehr über Ransomware Resilience-Rollen für die NetApp Console".

Schritte

  1. Kehren Sie zur Seite mit den Alarmdetails zurück.

  2. Soll die Testlast wiederhergestellt werden, Als Wiederherstellung erforderlich markieren auswählen und anschließend im Bestätigungsdialog erneut diese Schaltfläche auswählen.

  3. Wählen Sie im Menü „Ransomware Resilience“ die Option „Wiederherstellung“ aus.

  4. Die mit dem Tag „Readiness drill“ gekennzeichnete Test-Workload, die wiederhergestellt werden soll, auswählen.

  5. Wählen Sie Wiederherstellen.

  6. Befolgen Sie die Anweisungen für den von Ihnen konfigurierten Wiederherstellungsstil:

Den Alarmstatus nach der Bereitschaftsübung ändern

Nachdem Sie die Warnung zur Bereitschaftsübung überprüft und die Arbeitslast wiederhergestellt haben, ändern Sie bei Bedarf den Warnungsstatus.

Erforderliche Konsolenrolle Organisationsadministrator, Ordner- oder Projektadministrator oder Administrator für NetApp Ransomware Resilience. "Erfahren Sie mehr über die Konsolenzugriffsrollen für alle Dienste".

Schritte

  1. Kehren Sie zur Seite mit den Alarmdetails zurück.

  2. Wählen Sie die Warnung erneut aus.

  3. Der Status wird angegeben, indem neben dem Status auf Bearbeiten ausgewählt wird. Der Status kann auf einen der folgenden geändert werden:

    • Abgelehnt: Wenn Sie vermuten, dass es sich bei der Aktivität nicht um einen Ransomware-Angriff handelt, ändern Sie den Status in „Abgelehnt“.

      Wichtig Nachdem Sie einen Angriff verworfen haben, kann dies nicht rückgängig gemacht werden. Wenn Sie eine Arbeitslast verwerfen, werden alle automatisch als Reaktion auf den potenziellen Ransomware-Angriff erstellten Snapshot-Kopien endgültig gelöscht. Mit dem Verwerfen der Warnung gilt die Bereitschaftsübung als abgeschlossen.

    • Behoben: Der Vorfall wurde entschärft.

Überprüfen Sie die Berichte zur Bereitschaftsübung

Nach Abschluss der Bereitschaftsübung kann ein Bericht darüber generiert und gespeichert werden. Der Übungsbericht ist eine JSON-Datei, die Informationen wie die Erkennungsrichtlinie, den Alarmtyp und den Zeitstempel, Details zum Angriff und den Wiederherstellungsstatus enthält.

Erforderliche Konsolenrolle Um diese Aufgabe auszuführen, benötigen Sie die "Super-Admin", Ransomware Resilience-Administrator- oder Ransomware Resilience-Betrachter-Rolle. "Erfahren Sie mehr über Ransomware Resilience-Rollen für die NetApp Console".

Schritte

  1. Wählen Sie im Menü „Ransomware-Resilienz“ die Option „Berichte“ aus.

    Berichtsseite mit dem Bereitschaftsübungsbericht

  2. Wählen Sie Bereitschaftsübungen und Herunterladen, um den Bericht zur Bereitschaftsübung herunterzuladen.