Skip to main content
NetApp Ransomware Resilience
Die deutsche Sprachversion wurde als Serviceleistung für Sie durch maschinelle Übersetzung erstellt. Bei eventuellen Unstimmigkeiten hat die englische Sprachversion Vorrang.

Konfigurieren der Benutzeraktivitätserkennung in NetApp Ransomware Resilience

Beitragende netapp-ahibbard
Änderungen vorschlagen
PDFs

Die Benutzerverhaltenserkennung von NetApp Ransomware Resilience dient zur Identifizierung verdächtiger Benutzeraktivitäten, die auf Ransomware, Datenlecks oder Datenzerstörung hinweisen könnten. Hierfür ist die Installation von mindestens einem Agenten zur Benutzeraktivität erforderlich, um die Datenerfassungsumgebung zu erstellen.

Ein Benutzeraktivitätsagent hostet einen Datensammler und einen Benutzerverzeichnis-Connector, die Daten zur Analyse an einen Cloud-Standort senden.

  • Der Datensammler erfasst Benutzeraktivitätsdaten von ONTAP. Der Datensammler wird automatisch erstellt, wenn Sie eine Schutzstrategie mit Benutzerverhaltenserkennung erstellen.

  • Der Benutzerverzeichnis-Connector stellt eine Verbindung zu Ihrem Verzeichnis her, um Benutzer-IDs Benutzernamen zuzuordnen. Sie müssen den Benutzerverzeichnis-Connector konfigurieren.

Der Benutzeraktivitätsagent, der Datensammler und der Benutzerverzeichnis-Connector können alle über das Dashboard der Ransomware Resilience-Einstellungen verwaltet werden.

Wenn Sie NetApp Data Infrastructure Insights (DII) nicht verwenden, finden Sie hier die Konfigurationsanweisungen.

Bevor Sie beginnen

Erforderliche Konsolenrolle Zur Aktivierung der Benutzerverhaltenserkennung benötigen Sie die Organization admin role. Für nachfolgende Konfigurationen der Benutzerverhaltenserkennung benötigen Sie die Ransomware Resilience user behavior admin role. "Erfahren Sie mehr über Ransomware Resilience-Rollen für die NetApp Console".

Stellen Sie sicher, dass jede Rolle auf Organisationsebene angewendet wird.

Hinweise für Benutzer von Data Infrastructure Insights (DII) Workload Security

Wenn Sie bereits NetApp Data Infrastructure Insights (DII) Workload Security verwenden, können dieselben Workload Security Agenten auch für Ransomware Resilience genutzt werden. Es ist nicht erforderlich, separate Workload Security Agenten für Ransomware Resilience bereitzustellen. Die Nutzung derselben Workload Security Agenten setzt jedoch eine Kopplung zwischen der Ransomware Resilience Console Organisation und dem DII Storage Workload Security Mandanten voraus. Für die Aktivierung dieser Kopplung ist der Kontakt mit dem Kundenbetreuer erforderlich.

Wenn Sie die Benutzeraktivitätserkennung in Ransomware Resilience aktivieren, werden die aktuell in Console gespeicherten Anmeldeinformationen zum Managen Ihrer Datensammler verwendet. Falls Sie die Benutzeraktivitätserkennung zuvor über Data Infrastructure Insights (DII) Workload Security aktiviert haben, ersetzen die Anmeldeinformationen von Console die Anmeldeinformationen, die Sie zuvor in DII zum Managen von Datensammlern verwendet haben.

Erstellen Sie einen Benutzeraktivitätsagenten

Benutzeraktivitätsagenten sind ausführbare Umgebungen für "Datensammler", die Benutzeraktivitätsereignisse mit Ransomware Resilience teilen. Mindestens ein Benutzeraktivitätsagent ist erforderlich, damit die Benutzeraktivitätserkennung verfügbar ist.

Hinweis Nachdem Sie den Mandanten erstellt haben, kann die Region nicht mehr geändert werden. Die Mandantenerstellung dauert etwa fünf Minuten und kann nach dem Start nicht mehr abgebrochen werden.
Schritte

Sie können einen Benutzeraktivitätsagenten mithilfe einer Manual Konfiguration oder einer Automatic Konfiguration erstellen. Bei der automatischen Konfiguration müssen Sie den Console Agent, den VM DNS-Namen oder die IP-Adresse sowie den VM SSH Key angeben, damit Ransomware Resilience den Mandanten erstellen kann. Bei einer manuellen Konfiguration stellt Ransomware Resilience die Befehle zum manuellen Erstellen des Mandanten bereit.

Manuell

  1. Beim erstmaligen Erstellen eines Benutzeraktivitätsagenten zum Dashboard wechseln. In der Kachel Benutzeraktivitätsüberwachung Aktivieren auswählen.

    Wenn Sie einen zusätzlichen Benutzeraktivitätsagenten hinzufügen möchten, wechseln Sie zu Einstellungen, suchen die Kachel Benutzeraktivitätsüberwachung und wählen dann Verwalten. Auf dem Bildschirm „Benutzeraktivität“ können Sie die Registerkarte Benutzeraktivitätsagenten und anschließend Hinzufügen auswählen.

  2. Zuerst erfolgt die Auswahl eines Cloud-Providers, anschließend die einer Region.

  3. Mandant erstellen auswählen.

    Die Mandantenerstellung dauert etwa fünf Minuten. Nach der Auswahl von Mandant erstellen können Sie Im Hintergrund ausführen wählen, um zum Dashboard zurückzukehren und mit anderen Vorgängen fortzufahren.

  4. Eingabe des Namens des Benutzeraktivitätsagenten.

  5. Als Konfigurationsmethode wird manuell verwendet.

  6. Im Schritt Mandanten zulassen stellt Ransomware Resilience die URL für den Benutzeraktivitätsagenten bereit. Zum Zulassen von Verbindungen wird die URL kopiert und eingefügt.

  7. In Ihrer Cloud-Umgebung ist ein Terminal zu öffnen, um den Benutzeraktivitätsagenten zu installieren.

    1. Optional können Sie, wenn Sie einen Proxyserver verwenden, Ihre Proxyserver-Variable angeben und den angezeigten Export-Befehl ausführen export https_proxy='USER:PASSWORD@PROXY_SERVER:<port>'. Wenn der Proxyserver keine Authentifizierung erfordert, können Sie die Felder für Benutzername und Passwort weglassen. In diesem Fall sieht der Befehl folgendermaßen aus export https_proxy='https://proxy.company.com:<port>'.

    2. Im selben Terminal erfolgt das Kopieren und Einfügen des Installationsbefehls. Der Befehlsausschnitt ist nur zwei Stunden gültig und kann nur zur Installation eines Benutzeraktivitätsagenten verwendet werden.

      Wenn die Installation zusätzlicher Benutzeraktivitätsagenten erforderlich ist, kann durch Wiederholen dieses Vorgangs ein neuer Installationsausschnitt generiert werden.

  8. Wählen Sie Weiter.

  9. Eine Überprüfung der Details des Mandanten und des Benutzeraktivitätsagenten ist erforderlich. Wenn alles korrekt ist, wird der Vorgang durch Auswahl von Aktivieren abgeschlossen.

Automatisch

  1. Beim erstmaligen Erstellen eines Benutzeraktivitätsagenten zum Dashboard wechseln. In der Kachel Benutzeraktivitätsüberwachung Aktivieren auswählen.

    Wenn Sie einen zusätzlichen Benutzeraktivitätsagenten hinzufügen möchten, wechseln Sie zu Einstellungen, suchen die Kachel Benutzeraktivitätsüberwachung und wählen dann Verwalten. Auf dem Bildschirm „Benutzeraktivität“ können Sie die Registerkarte Benutzeraktivitätsagenten und anschließend Hinzufügen auswählen.

  2. Zunächst erfolgt die Auswahl eines Cloud-Anbieters und anschließend einer Region.

  3. Mandant erstellen auswählen.

    Die Mandantenerstellung dauert etwa fünf Minuten. Nach der Auswahl von Mandant erstellen können Sie Im Hintergrund ausführen wählen, um zum Dashboard zurückzukehren und mit anderen Vorgängen fortzufahren.

  4. Eingabe eines Namens für den User activity agent name.

  5. Als Konfigurationsmethode wird Automatic gewählt.

  6. Geben Sie die Details des Benutzeraktivitätsagenten an:

    • Konsolenagent - Der Konsolenagent sollte sich im selben Netzwerk wie der Benutzeraktivitätsagent befinden und über eine SSH-Verbindung zur IP-Adresse des Benutzeraktivitätsagenten verfügen.

    • VM-DNS-Name oder IP-Adresse

    • VM SSH Key - Geben Sie den SSH-Schlüssel in diesem Format ein:

      -----BEGIN OPENSSH PRIVATE KEY-----
private-key-contents
-----END OPENSSH PRIVATE KEY-----

      Screenshot der Benutzeroberfläche des Aktivitätsagenten hinzufügen.

  7. Wählen Sie Weiter.

  8. Überprüfen Sie Ihre Einstellungen. Wählen Sie Aktivieren, um das Hinzufügen des Benutzeraktivitätsagenten abzuschließen.

  9. Bestätigen Sie, dass der Benutzeraktivitätsagent erfolgreich erstellt wurde. In der Kachel „Benutzeraktivitätsüberwachung“ wird eine erfolgreiche Bereitstellung als Wird ausgeführt angezeigt.

Ergebnis

Nachdem der Benutzeraktivitätsagent erfolgreich erstellt wurde, zurück zum Menü Einstellungen wechseln und dann im Bereich Benutzeraktivitätsüberwachung die Option Verwalten auswählen. Den Tab Benutzeraktivitätsagenten auswählen und dann den gewünschten Benutzeraktivitätsagenten, um Details dazu anzuzeigen, einschließlich Datensammler und Benutzerverzeichnis-Konnektoren.

Hinzufügen eines Datensammlers

Datensammler werden automatisch erstellt, wenn Sie eine Datensicherungsstrategie mit Benutzeraktivitätserkennung aktivieren. Weitere Informationen finden Sie unter "Hinzufügen einer Erkennungsrichtlinie".

Sie können die Details des Datensammlers einsehen. In den Einstellungen die Option Verwalten im Feld Benutzeraktivitätsüberwachung auswählen. Den Tab Datensammler auswählen und dann den Datensammler auswählen, um dessen Details anzuzeigen oder ihn anzuhalten.

Screenshot der Benutzeraktivitätseinstellungen.

Einen Datensammler löschen

Wenn ein Datensammler veraltet ist oder nicht mehr funktioniert, kann er gelöscht werden. Jede Arbeitslast, die vom Datensammler überwacht wurde, wird nach dem Löschen nicht mehr auf verdächtiges Benutzerverhalten überwacht.

Schritte

  1. Gehen Sie in Ransomware Resilience zu Einstellungen.

  2. Im Feld „Benutzeraktivitätsüberwachung“ Verwalten auswählen.

  3. Die Registerkarte Agenten und Sammler und dann Datensammler auswählen.

  4. Identifizieren Sie den Datensammler, den Sie löschen möchten. Im Aktionsmenü Löschen auswählen.

  5. Im Dialogfeld wählen Sie Löschen aus, um zu bestätigen.

Erstellen Sie einen Benutzerverzeichnis-Connector

Um Benutzer-IDs Benutzernamen zuzuordnen, müssen Sie einen Benutzerverzeichnis-Connector erstellen.

Schritte

  1. Gehen Sie in Ransomware Resilience zu Einstellungen.

  2. Im Feld „Benutzeraktivitätsüberwachung“ Verwalten auswählen.

  3. Wählen Sie die Registerkarte Agenten und Sammler, dann die Registerkarte Benutzerverzeichnis-Konnektoren und anschließend Hinzufügen.

  4. Konfigurieren Sie die Verbindung. Geben Sie die erforderlichen Informationen für jedes Feld ein.

    Feld Beschreibung

    Name

    Geben Sie einen eindeutigen Namen für den Benutzerverzeichnis-Connector ein.

    Benutzerverzeichnistyp

    Der Verzeichnistyp

    Server-IP-Adresse oder Domänenname

    Die IP-Adresse oder der vollqualifizierte Domänenname (FQDN) des Servers, der die Verbindung bereitstellt

    Waldname oder Suchname

    Sie können die Gesamtstrukturebene der Verzeichnisstruktur als direkten Domänennamen angeben (zum Beispiel unit.company.com) oder eine Reihe relativer, angesehener Namen (zum Beispiel: DC=unit,DC=company,DC=com). Sie können auch einen Eintrag eingeben OU um nach einer Organisationseinheit oder einem CN auf einen bestimmten Benutzer beschränken (zum Beispiel: CN=user,OU=engineering,DC=unit,DC=company,DC=com).

    BIND DN

    Der BIND DN ist ein Benutzerkonto, das berechtigt ist, das Verzeichnis zu durchsuchen, z. B. user@domain.com. Der Benutzer benötigt die Berechtigung „Domänenlesbar“.

    BIND-Passwort

    Das Passwort für den in BIND DN angegebenen Benutzer.

    Protokoll

    Das Feld „Protokoll“ ist optional. Sie können LDAP, LDAPS oder LDAP over StartTLS verwenden.

    Hafen

    Geben Sie die von Ihnen gewählte Portnummer ein.

    Screenshot der Benutzerverzeichnisverbindung

    Geben Sie die Details zur Attributzuordnung an:

    • Anzeigename

    • SID (wenn Sie LDAP verwenden)

    • Benutzername

    • Unix-ID (wenn Sie NFS verwenden)

    • Wenn Sie Optionale Attribute einbeziehen auswählen, können Sie auch eine E-Mail-Adresse, eine Telefonnummer, eine Rolle, ein Bundesland, ein Land, eine Abteilung, ein Foto, Manager DN oder Gruppen hinzufügen.

  5. Mit Erweitert lässt sich eine optionale Suchanfrage hinzufügen.

  6. Wählen Sie Hinzufügen.

  7. Kehren Sie zur Registerkarte „Benutzerverzeichnis-Konnektoren“ zurück, um den Status Ihres Benutzerverzeichnis-Konnektors zu überprüfen. Bei erfolgreicher Erstellung wird der Status des Benutzerverzeichnis-Connectors als Wird ausgeführt angezeigt.

Löschen eines Benutzerverzeichnis-Connectors

Schritte

  1. In Ransomware Resilience die Option Einstellungen auswählen.

  2. Die Kachel „Benutzeraktivitätsüberwachung“ finden und Verwalten auswählen.

  3. Wählen Sie die Registerkarte Benutzerverzeichnis-Connector.

  4. Identifizieren Sie den Benutzerverzeichnis-Connector, den Sie löschen möchten. Wählen Sie im Aktionsmenü am Ende der Zeile die drei Punkte aus …​ dann Löschen.

  5. Wählen Sie im Popup-Dialogfeld Löschen aus, um zu bestätigen.

Auf Benachrichtigungen über Benutzeraktivitäten reagieren

Nachdem Sie die Benutzeraktivitätserkennung konfiguriert haben, können Sie Ereignisse auf der Warnseite überwachen. Weitere Informationen finden Sie unter "Erkennen Sie bösartige Aktivitäten und verdächtiges Nutzerverhalten".

Sie können auch "Reaktionen auf Ereignisse der Benutzeraktivität automatisieren".

Nächste Schritte