Skip to main content
NetApp Ransomware Resilience
Die deutsche Sprachversion wurde als Serviceleistung für Sie durch maschinelle Übersetzung erstellt. Bei eventuellen Unstimmigkeiten hat die englische Sprachversion Vorrang.

Konfigurieren der Benutzeraktivitätserkennung in NetApp Ransomware Resilience

Beitragende netapp-ahibbard
Änderungen vorschlagen
PDFs

Die Benutzerverhaltenserkennung von NetApp Ransomware Resilience dient zur Identifizierung verdächtiger Benutzeraktivitäten, die auf Ransomware, Datenlecks oder Datenzerstörung hinweisen könnten. Hierfür ist die Installation von mindestens einem Agenten zur Benutzeraktivität erforderlich, um die Datenerfassungsumgebung zu erstellen.

Ein Benutzeraktivitätsagent hostet einen Datensammler und einen Benutzerverzeichnis-Connector, die Daten zur Analyse an einen Cloud-Standort senden.

  • Der Datensammler erfasst Benutzeraktivitätsdaten von ONTAP. Der Datensammler wird automatisch erstellt, wenn Sie eine Schutzstrategie mit Benutzerverhaltenserkennung erstellen.

  • Der Benutzerverzeichnis-Connector stellt eine Verbindung zu Ihrem Verzeichnis her, um Benutzer-IDs Benutzernamen zuzuordnen. Sie müssen den Benutzerverzeichnis-Connector konfigurieren.

Der Benutzeraktivitätsagent, der Datensammler und der Benutzerverzeichnis-Connector können alle über das Dashboard der Ransomware Resilience-Einstellungen verwaltet werden.

Hinweis Wenn Sie bereits NetApp Data Infrastructure Insights (DII) Workload Security verwenden, können dieselben Workload Security Agenten auch für Ransomware Resilience genutzt werden. Es ist nicht erforderlich, separate Workload Security Agenten für Ransomware Resilience bereitzustellen. Die Nutzung derselben Workload Security Agenten setzt jedoch eine Kopplung zwischen der Ransomware Resilience Console Organisation und dem DII Storage Workload Security Mandanten voraus. Für die Aktivierung dieser Kopplung ist der Kontakt mit dem Kundenbetreuer erforderlich.

Wenn Sie DII nicht verwenden, finden Sie die Konfigurationsanweisungen hier.

Bevor Sie beginnen

Erforderliche Konsolenrolle Zur Aktivierung der Benutzerverhaltenserkennung benötigen Sie die Organization admin role. Für nachfolgende Konfigurationen der Benutzerverhaltenserkennung benötigen Sie die Ransomware Resilience user behavior admin role. "Erfahren Sie mehr über Ransomware Resilience-Rollen für die NetApp Console".

Stellen Sie sicher, dass jede Rolle auf Organisationsebene angewendet wird.

Erstellen Sie einen Benutzeraktivitätsagenten

Benutzeraktivitätsagenten sind ausführbare Umgebungen für "Datensammler", die Benutzeraktivitätsereignisse mit Ransomware Resilience teilen. Mindestens ein Benutzeraktivitätsagent ist erforderlich, damit die Benutzeraktivitätserkennung verfügbar ist.

Schritte

  1. Wenn Sie zum ersten Mal einen Benutzeraktivitätsagenten erstellen, gehen Sie zum Dashboard. Wählen Sie in der Kachel Benutzeraktivität die Option Aktivieren aus.

    Wenn Sie einen zusätzlichen Benutzeraktivitätsagenten hinzufügen, gehen Sie zu Einstellungen, suchen Sie die Kachel Benutzeraktivität und wählen Sie dann Verwalten. Wählen Sie auf dem Bildschirm „Benutzeraktivität“ die Registerkarte Benutzeraktivitätsagenten und dann Hinzufügen.

  2. Wählen Sie einen Cloud-Anbieter und dann eine Region aus. Wählen Sie Weiter.

  3. Geben Sie die Details des Benutzeraktivitätsagenten an:

    • Name des Benutzeraktivitätsagenten

    • Konsolenagent - Der Konsolenagent sollte sich im selben Netzwerk wie der Benutzeraktivitätsagent befinden und über eine SSH-Verbindung zur IP-Adresse des Benutzeraktivitätsagenten verfügen.

    • VM-DNS-Name oder IP-Adresse

    • VM SSH Key - Geben Sie den SSH-Schlüssel in diesem Format ein:

      -----BEGIN OPENSSH PRIVATE KEY-----
private-key-contents
-----END OPENSSH PRIVATE KEY-----

      Screenshot der Benutzeroberfläche des Aktivitätsagenten hinzufügen.

  4. Wählen Sie Weiter.

  5. Überprüfen Sie Ihre Einstellungen. Wählen Sie Aktivieren, um das Hinzufügen des Benutzeraktivitätsagenten abzuschließen.

  6. Bestätigen Sie, dass der Benutzeraktivitätsagent erfolgreich erstellt wurde. In der Kachel „Benutzeraktivitätsüberwachung“ wird eine erfolgreiche Bereitstellung als Wird ausgeführt angezeigt.

Ergebnis

Nachdem der Benutzeraktivitätsagent erfolgreich erstellt wurde, zurück zum Menü Einstellungen wechseln und dann im Bereich Benutzeraktivitätsüberwachung die Option Verwalten auswählen. Den Tab Benutzeraktivitätsagenten auswählen und dann den gewünschten Benutzeraktivitätsagenten, um Details dazu anzuzeigen, einschließlich Datensammler und Benutzerverzeichnis-Konnektoren.

Hinzufügen eines Datensammlers

Datensammler werden automatisch erstellt, wenn Sie eine Datensicherungsstrategie mit Benutzeraktivitätserkennung aktivieren. Weitere Informationen finden Sie unter "Hinzufügen einer Erkennungsrichtlinie".

Sie können die Details des Datensammlers einsehen. In den Einstellungen die Option Verwalten im Feld Benutzeraktivitätsüberwachung auswählen. Den Tab Datensammler auswählen und dann den Datensammler auswählen, um dessen Details anzuzeigen oder ihn anzuhalten.

Screenshot der Benutzeraktivitätseinstellungen.

Einen Datensammler löschen

Wenn ein Datensammler veraltet ist oder nicht mehr funktioniert, kann er gelöscht werden. Jede Arbeitslast, die vom Datensammler überwacht wurde, wird nach dem Löschen nicht mehr auf verdächtiges Benutzerverhalten überwacht.

Schritte

  1. Gehen Sie in Ransomware Resilience zu Einstellungen.

  2. Im Feld „Benutzeraktivitätsüberwachung“ Verwalten auswählen.

  3. Die Registerkarte Agenten und Sammler und dann Datensammler auswählen.

  4. Identifizieren Sie den Datensammler, den Sie löschen möchten. Im Aktionsmenü Löschen auswählen.

  5. Im Dialogfeld wählen Sie Löschen aus, um zu bestätigen.

Erstellen Sie einen Benutzerverzeichnis-Connector

Um Benutzer-IDs Benutzernamen zuzuordnen, müssen Sie einen Benutzerverzeichnis-Connector erstellen.

Schritte

  1. Gehen Sie in Ransomware Resilience zu Einstellungen.

  2. Im Feld „Benutzeraktivitätsüberwachung“ Verwalten auswählen.

  3. Wählen Sie die Registerkarte Agenten und Sammler, dann die Registerkarte Benutzerverzeichnis-Konnektoren und anschließend Hinzufügen.

  4. Konfigurieren Sie die Verbindung. Geben Sie die erforderlichen Informationen für jedes Feld ein.

    Feld Beschreibung

    Name

    Geben Sie einen eindeutigen Namen für den Benutzerverzeichnis-Connector ein.

    Benutzerverzeichnistyp

    Der Verzeichnistyp

    Server-IP-Adresse oder Domänenname

    Die IP-Adresse oder der vollqualifizierte Domänenname (FQDN) des Servers, der die Verbindung hostet

    Waldname oder Suchname

    Sie können die Gesamtstrukturebene der Verzeichnisstruktur als direkten Domänennamen angeben (zum Beispiel unit.company.com) oder eine Reihe relativer, angesehener Namen (zum Beispiel: DC=unit,DC=company,DC=com). Sie können auch einen Eintrag eingeben OU um nach einer Organisationseinheit oder einem CN auf einen bestimmten Benutzer beschränken (zum Beispiel: CN=user,OU=engineering,DC=unit,DC=company,DC=com).

    BIND DN

    Der BIND DN ist ein Benutzerkonto, das berechtigt ist, das Verzeichnis zu durchsuchen, z. B. user@domain.com. Der Benutzer benötigt die Berechtigung „Domänenlesbar“.

    BIND-Passwort

    Das Passwort für den in BIND DN angegebenen Benutzer.

    Protokoll

    Das Feld „Protokoll“ ist optional. Sie können LDAP, LDAPS oder LDAP over StartTLS verwenden.

    Hafen

    Geben Sie die von Ihnen gewählte Portnummer ein.

    Screenshot der Benutzerverzeichnisverbindung

    Geben Sie die Details zur Attributzuordnung an:

    • Anzeigename

    • SID (wenn Sie LDAP verwenden)

    • Benutzername

    • Unix-ID (wenn Sie NFS verwenden)

    • Wenn Sie Optionale Attribute einbeziehen auswählen, können Sie auch eine E-Mail-Adresse, eine Telefonnummer, eine Rolle, ein Bundesland, ein Land, eine Abteilung, ein Foto, den Vorgesetzten-DN oder Gruppen hinzufügen. Wählen Sie Erweitert, um eine optionale Suchanfrage hinzuzufügen.

  5. Wählen Sie Hinzufügen.

  6. Kehren Sie zur Registerkarte „Benutzerverzeichnis-Konnektoren“ zurück, um den Status Ihres Benutzerverzeichnis-Konnektors zu überprüfen. Bei erfolgreicher Erstellung wird der Status des Benutzerverzeichnis-Connectors als Wird ausgeführt angezeigt.

Löschen eines Benutzerverzeichnis-Connectors

Schritte

  1. In Ransomware Resilience die Option Einstellungen auswählen.

  2. Die Kachel „Benutzeraktivitätsüberwachung“ finden und Verwalten auswählen.

  3. Wählen Sie die Registerkarte Benutzerverzeichnis-Connector.

  4. Identifizieren Sie den Benutzerverzeichnis-Connector, den Sie löschen möchten. Wählen Sie im Aktionsmenü am Ende der Zeile die drei Punkte aus …​ dann Löschen.

  5. Wählen Sie im Popup-Dialogfeld Löschen aus, um zu bestätigen.

Auf Benachrichtigungen über Benutzeraktivitäten reagieren

Nachdem Sie die Benutzeraktivitätserkennung konfiguriert haben, können Sie Ereignisse auf der Warnseite überwachen. Weitere Informationen finden Sie unter "Erkennen Sie bösartige Aktivitäten und verdächtiges Nutzerverhalten".

Sie können auch "Antworten auf Benutzeraktivitätsereignisse automatisieren".

Nächste Schritte