Informieren Sie sich über den autonomen Ransomware-Schutz von ONTAP
Änderungen vorschlagen
PDFs
Ab ONTAP 9.10.1 können ONTAP -Administratoren Autonomous Ransomware Protection (ARP) aktivieren, um Workload-Analysen in NAS-Umgebungen (NFS und SMB) durchzuführen und so proaktiv ungewöhnliche Aktivitäten zu erkennen und davor zu warnen, die auf einen Ransomware-Angriff hindeuten könnten. Ab ONTAP 9.17.1 unterstützt ARP auch Blockgeräte-Volumes, einschließlich SAN-Volumes mit LUNs oder NVMe-Namespaces oder NAS-Volumes mit virtuellen Festplatten von Hypervisoren wie VMware.
ARP ist direkt in ONTAP integriert und gewährleistet die integrierte Steuerung und Koordination mit den anderen Funktionen von ONTAP. ARP arbeitet in Echtzeit, verarbeitet Daten beim Schreiben oder Lesen in das Dateisystem und erkennt und reagiert schnell auf potenzielle Ransomware-Angriffe.
ARP erstellt zur zusätzlichen Absicherung in regelmäßigen Abständen gesperrte Snapshots zusätzlich zu den geplanten Snapshots. Es verwaltet intelligent, wie lange Momentaufnahmen aufbewahrt werden. Wenn keine ungewöhnliche Aktivität festgestellt wird, werden die Snapshots schnell wiederverwendet. Wird jedoch ein Angriff erkannt, wird eine vor Beginn des Angriffs erstellte Momentaufnahme für einen längeren Zeitraum aufbewahrt. Weitere Informationen, einschließlich der durch die ONTAP Version hinzugefügten Änderungen, finden Sie unter ARP-SchnappschüsseDie
Lizenzen und Enablement
Sie benötigen eine Lizenz zur Nutzung von ARP. Entscheiden Sie, ob ARP standardmäßig auf neuen Volumes aktiviert oder manuell pro Volume aktiviert werden soll.
Lizenzoptionen für ARP
ARP-Unterstützung ist im Lieferumfang enthalten."ONTAP One-Lizenz" Die Wenn Sie nicht über die ONTAP One-Lizenz verfügen, stehen Ihnen für die ARP-Nutzung andere Lizenzen zur Verfügung, die sich je nach Ihrer ONTAP-Version unterscheiden
| ONTAP-Versionen | Lizenz |
|---|---|
ONTAP 9.11.1 und höher |
|
ONTAP 9.10.1 |
|
-
Wenn Sie von ONTAP 9.10.1 auf ONTAP 9.11.1 oder höher aktualisieren und ARP bereits auf Ihrem System konfiguriert ist, müssen Sie die neue
Anti-ransomwareLizenz. Für neue ARP-Konfigurationen ist die neue Lizenz erforderlich. -
Wenn Sie von ONTAP 9.11.1 oder höher auf ONTAP 9.10.1 zurückkehren und ARP mit der Anti_ransomware-Lizenz aktiviert haben, wird eine Warnmeldung angezeigt und Sie müssen ARP möglicherweise neu konfigurieren. "Erfahren Sie mehr über das Zurücksetzen von ARP" .
Aktivierungsoptionen für ARP
ARP bietet flexible Aktivierungsoptionen auf Cluster-, SVM- und Volume-Ebene, sodass Sie die automatische Standardaktivierung für neue Volumes konfigurieren oder ARP bei Bedarf manuell auf bestehenden Volumes aktivieren können.
Ab ONTAP 9.18.1 ist ARP auf allen neuen Volumes der AFF A-Serie und AFF C-Serie, ASA und ASA r2-Systemen standardmäßig automatisch aktiviert. Diese automatische Standard-ARP-Aktivierung gilt nicht für "Nicht unterstützte Volumes oder Konfigurationen".
Die standardmäßige ARP-Aktivierung auf neuen Volumes tritt nach einer 12-stündigen Übergangsfrist nach einem Upgrade oder sofort bei einer neuen ONTAP 9.18.1-Installation in Kraft, sofern in beiden Fällen eine ARP-Lizenz installiert ist. Sie müssen ARP manuell aktivieren auf bestehenden Volumes durchführen.
Während der Testphase können Sie "Deaktivieren Sie die standardmäßige Aktivierung für neue Volumes auf Clusterebene mithilfe von System Manager oder der ONTAP CLI". Wenn Sie nicht widersprechen, wird ARP nach Ablauf der Testphase automatisch für alle neuen Volumes aktiviert. Sollten sich Ihre Anforderungen nach der Testphase ändern, können Sie die Standardaktivierung jederzeit aktivieren oder deaktivieren.
Wenn Sie die automatische Standardaktivierung von ARP auf Clusterebene deaktiviert haben, können Sie sich auch dafür entscheiden, "ARP standardmäßig auf allen neuen Volumes manuell aktivieren" auf SVM-Ebene vorzugehen. Für ONTAP 9.17.1 und frühere Versionen ist dies die einzige Möglichkeit, ARP so zu konfigurieren, dass es auf neuen Volumes standardmäßig aktiviert ist.
Ab Version 9.18.1 können Sie ARP manuell auf allen vorhandenen Volumes auf Clusterebene aktivieren (wählen Sie Cluster > Sicherheit und 
im Abschnitt Anti-ransomware dann Auf allen vorhandenen Volumes aktivieren).
Falls Sie die ARP-Aktivierung auf ein bestimmtes Volume beschränken möchten, können Sie "ARP auf Basis einzelner Volumes aktivieren".
ONTAP Strategie zum Schutz der Ransomware
Effektiver Ransomware-Schutz erfordert viele Schutzebenen, die zusammenarbeiten.
Während ONTAP Funktionen wie FPolicy, Snapshots, SnapLock und Active IQ Digital Advisor (auch bekannt als Digital Advisor) zum Schutz vor Ransomware bietet, stellt ARP eine zusätzliche Verteidigungsebene dar.
Weitere Informationen zu anderen Funktionen im NetApp Portfolio, die vor Ransomware schützen, finden Sie hier:
Was ARP erkennt
ONTAP ARP schützt vor Denial-of-Service-Angriffen, bei denen der Angreifer Daten zurückhält, bis ein Lösegeld gezahlt wird. ARP bietet Ransomware-Erkennung in Echtzeit basierend auf folgenden Kriterien:
-
Identifizierung eingehender Daten als verschlüsselt oder im Klartext.
-
Analysen, die Folgendes erkennen:
-
Entropie: (Wird in NAS und SAN verwendet) Eine Bewertung der Zufälligkeit von Daten in einer Datei
-
Dateierweiterungstypen: (Nur in NAS verwendet) Eine Dateierweiterung, die nicht den erwarteten Erweiterungstypen entspricht
-
Datei-IOPS: (Wird in NAS erst ab ONTAP 9.11.1 verwendet) Ein Anstieg der anormalen Volume-Aktivität mit Datenverschlüsselung
-
ARP erkennt die Ausbreitung der meisten Ransomware-Angriffe, nachdem nur eine kleine Anzahl von Dateien verschlüsselt wurde, reagiert automatisch, um die Daten zu schützen, und warnt Sie, wenn ein mutmaßlicher Angriff stattfindet.
|
Kein Ransomware-Erkennungssystem kann vollständige Sicherheit garantieren. ARP bietet eine zusätzliche Verteidigungsebene, wenn die Antivirensoftware einen Eindringling nicht erkennt. |
Erfahren Sie mehr über ARP-Modi
Nachdem ARP für ein Volume aktiviert wurde, beginnt eine Lernphase, um eine Basislinie festzulegen. ARP analysiert Systemmetriken, um ein Alarmprofil zu entwickeln, bevor in den aktiven Erkennungsmodus gewechselt wird. Im aktiven Modus überwacht ARP abnormale Aktivitäten, ergreift Schutzmaßnahmen und generiert Warnungen, wenn es abnormales Verhalten erkennt.
Bei ARP unterscheiden sich das Verhalten im Lernmodus und im aktiven Modus je nach ONTAP Version, Volume-Typ und Protokoll (NAS oder SAN).
NAS-Umgebungen und Modustypen
Die folgende Tabelle fasst die Unterschiede zwischen ONTAP 9.10.1 und späteren Versionen für NAS-Umgebungen zusammen.
Bei Versionen mit dem älteren ARP-Modell wird eine Lernphase empfohlen, bevor die aktive Überwachung beginnt. Für NAS-Umgebungen, die Folgendes unterstützenARP/AI Es gibt keine Einarbeitungszeit, die aktive Überwachung beginnt sofort.
| Modus | Beschreibung | Datenträgertypen und -versionen | ||
|---|---|---|---|---|
Lernen |
Bei bestimmten ONTAP Versionen und bestimmten Volume-Typen wird ARP automatisch in den Lernmodus versetzt, wenn Sie ARP aktivieren. Im Lernmodus entwickelt das ONTAP -System ein Alarmprofil basierend auf den Analysebereichen Entropie, Dateierweiterungstypen und Datei-IOPS. Es wird empfohlen, ARP 30 Tage lang im Lernmodus zu belassen. Ab ONTAP 9.13.1 ermittelt ARP automatisch das optimale Lernintervall und automatisiert den Wechsel, der möglicherweise schon vor 30 Tagen erfolgt. Bei Versionen vor ONTAP 9.13.1 können Sie die Umstellung manuell vornehmen. Ab ONTAP 9.16.1 für FlexVol -Volumes gibt es nur noch den aktiven Modus, und der Lernmodus wird bei jedem FlexVol Volume, das auf diese Version oder höher aktualisiert wird, automatisch in den aktiven Modus überführt. Bei ONTAP 9.16.1 bis 9.17.1 werden FlexGroup Volumes noch nicht von ARP/AI unterstützt und verwenden weiterhin das ältere ARP-Modell. Aus diesem Grund wird für diese Versionen mit FlexGroup -Volumes weiterhin eine Einarbeitungszeit empfohlen. Ab ONTAP 9.18.1 gibt es für FlexVol und FlexGroup -Volumes nur noch den aktiven Modus. Alle aktualisierten Volumes werden automatisch in den aktiven Modus geschaltet.
|
|
||
Aktiv |
Wenn im aktiven Modus eine Dateierweiterung als ungewöhnlich gekennzeichnet wird, sollten Sie die Warnung auswerten. Sie können auf die Warnung reagieren, um Ihre Daten zu schützen, oder sie als falsch positiv markieren. Durch die Markierung einer Warnung als falsch positiv wird das Warnungsprofil aktualisiert. Wenn die Warnung beispielsweise durch eine neue Dateierweiterung ausgelöst wird und Sie sie als falsch positiv markieren, erhalten Sie beim nächsten Auftreten der Dateierweiterung keine Warnung mehr. |
Alle unterstützten ONTAP -Versionen und FlexVol und FlexGroup -Volumes |
SAN-Umgebungen und Modustypen
SAN-Umgebungen nutzen Evaluierungsphasen (ähnlich den Lernmodi in NAS-Umgebungen), bevor sie automatisch zur aktiven Erkennung wechseln. Die folgende Tabelle fasst die Evaluierungs- und aktiven Modi zusammen.
| Modus | Beschreibung | Datenträgertypen und -versionen |
|---|---|---|
Auswertung |
Zur Ermittlung des grundlegenden Verschlüsselungsverhaltens wird eine zwei- bis vierwöchige Evaluierungsphase durchgeführt, während ARP/AI während der Evaluierungsphase einen sofortigen aktiven Schutz für SAN-Volumes gewährleistet. Erkennungen und Warnmeldungen können bereits während der Festlegung von Basisschwellenwerten erfolgen. Sie können feststellen, ob der Evaluierungszeitraum abgeschlossen ist, indem Sie den folgenden Befehl ausführen: |
|
Aktiv |
Nach dem Testzeitraum können Sie feststellen, ob der ARP-SAN-Schutz aktiv ist, indem Sie den Befehl |
|
Bedrohungsbewertung und ARP-Snapshots
ARP bewertet die Bedrohungswahrscheinlichkeit anhand eingehender Daten, die mit erlernten Analysen verglichen werden. Wenn ARP eine Anomalie erkennt, wird ein Messwert zugewiesen. ARP kann zum Zeitpunkt der Erkennung oder in regelmäßigen Abständen einen Snapshot zuweisen.
ARP-Schwellenwerte
-
Low: Früheste Erkennung einer Anomalie im Volume (z.B. wird eine neue Dateierweiterung im Volume beobachtet). Diese Erkennungsstufe ist nur in Versionen vor ONTAP 9.16.1 verfügbar, die nicht über ARP/AI verfügen.
-
Ab ONTAP 9.11.1 können Sie "Passen Sie die Erkennungsparameter für ARP an" .
-
In ONTAP 9.10.1 liegt der Schwellenwert für die Eskalation auf moderat bei 100 oder mehr Dateien.
-
-
Moderat: Es wird eine hohe Entropie erkannt oder es werden mehrere Dateien mit derselben noch nie dagewesenen Dateierweiterung beobachtet. Dies ist die Basiserkennungsstufe in ONTAP 9.16.1 und höher mit ARP/AI.
Die Bedrohung wird auf mittel eingestuft, nachdem ONTAP einen Analysebericht erstellt hat, der feststellt, ob die Anomalie mit einem Ransomware-Profil übereinstimmt. Bei mittlerer Angriffswahrscheinlichkeit generiert ONTAP eine EMS-Benachrichtigung mit der Aufforderung, die Bedrohung zu bewerten. ONTAP sendet keine Warnungen über geringe Bedrohungen; ab ONTAP 9.14.1 können Sie jedoch "Standard-Alarmeinstellungen ändern". Weitere Informationen finden Sie unter "Reagieren Sie auf ungewöhnliche Aktivitäten" .
Sie können Informationen über moderate Bedrohungen im Abschnitt Ereignisse des System Managers oder mit dem Befehl anzeigen security anti-ransomware volume show. Ereignisse mit geringen Bedrohungen können auch mit dem Befehl in Versionen vor ONTAP 9.16.1 angezeigt werden security anti-ransomware volume show, die nicht über ARP/AI verfügen. Erfahren Sie mehr über security anti-ransomware volume show in der "ONTAP-Befehlsreferenz".
ARP-Schnappschüsse
ARP erstellt einen Snapshot, wenn erste Anzeichen eines Angriffs erkannt werden. Anschließend wird eine detaillierte Analyse durchgeführt, um den potenziellen Angriff zu bestätigen oder auszuschließen. Da ARP-Snapshots proaktiv erstellt werden, noch bevor ein Angriff vollständig bestätigt ist, können sie für bestimmte legitime Anwendungen auch in regelmäßigen Abständen generiert werden. Das Vorhandensein dieser Snapshots sollte nicht als Anomalie betrachtet werden. Wenn ein Angriff bestätigt wird, wird die Angriffswahrscheinlichkeit auf Moderate und eine Angriffsbenachrichtigung wird generiert.
Ab ONTAP 9.17.1 werden ARP-Snapshots in regelmäßigen Abständen sowohl für NAS- als auch für SAN-Volumes sowie als Reaktion auf erkannte Anomalien generiert. ONTAP stellt dem ARP-Snapshot einen Namen voran, um ihn leicht identifizierbar zu machen.
Ab ONTAP 9.11.1 können Sie die Aufbewahrungseinstellungen ändern. Weitere Informationen finden Sie unter "Ändern Sie die Optionen für Snapshots" .
Die folgende Tabelle fasst die Unterschiede der ARP-Snapshots nach Version zusammen.
| Funktion | ONTAP 9.17.1 und höher | ONTAP 9.16.1 und früher |
|---|---|---|
Erstellungstrigger |
Je nach Triggertyp wird ein „periodischer“ oder „Angriffs“-Snapshot erstellt. |
Das Intervall zur Snapshot-Erstellung basiert auf dem Triggertyp. |
Konvention für vorangestellte Namen |
"Anti_ransomware_periodic_backup" "Anti_ransomware_attack_backup" |
"Anti_ransomware_backup" |
Löschverhalten |
Der ARP-Snapshot ist gesperrt und kann vom Administrator nicht gelöscht werden |
Der ARP-Snapshot ist gesperrt und kann vom Administrator nicht gelöscht werden |
Maximale Snapshot-Anzahl |
||
Aufbewahrungsfrist |
Snapshots werden normalerweise 12 Stunden lang aufbewahrt.
|
|
Eindeutig verdächtige Aktion |
Administratoren können eine Clear-Suspect-Aktion ausführen, die die Aufbewahrung basierend auf einer Bestätigung festlegt:
|
Administratoren können eine Clear-Suspect-Aktion ausführen, die die Aufbewahrung basierend auf einer Bestätigung festlegt:
Dieses vorsorgliche Aufbewahrungsverhalten gibt es vor ONTAP 9.16.1 nicht. |
Ablaufzeit |
Für alle Snapshots ist eine Ablaufzeit festgelegt |
Keine |
Wiederherstellung von Daten im ONTAP nach einem Ransomware-Angriff
ARP basiert auf der bewährten ONTAP Datenschutz- und Disaster-Recovery-Technologie, um auf Ransomware-Angriffe zu reagieren. ARP erstellt gesperrte Snapshots, wenn erste Anzeichen eines Angriffs erkannt werden. Sie müssen zunächst bestätigen, ob es sich um einen echten Angriff oder einen Fehlalarm handelt. Sobald der Angriff bestätigt ist, kann das Volume mithilfe des ARP-Snapshots wiederhergestellt werden.
Gesperrte Snapshots können nicht auf herkömmliche Weise gelöscht werden. Wenn Sie sich jedoch später dazu entschließen, den Angriff als falsch positiv zu markieren, löscht ONTAP die gesperrte Kopie.
Sie können betroffene Dateien aus ausgewählten Snapshots wiederherstellen, anstatt das gesamte Volume zurückzusetzen.
Weitere Informationen zum Reagieren auf einen Angriff und zur Wiederherstellung von Daten finden Sie in den folgenden Themen:
Schutz zur Verifizierung durch mehrere Administratoren für ARP
Ab ONTAP 9.13.1 wird empfohlen, die Multi-Admin-Verifizierung (MAV) zu aktivieren, sodass für die ARP-Konfiguration (Autonomous Ransomware Protection) mindestens zwei authentifizierte Benutzeradministratoren erforderlich sind. Weitere Informationen finden Sie unter "Aktivieren Sie die Verifizierung durch mehrere Administratoren".
Autonomer Ransomware-Schutz mit künstlicher Intelligenz (ARP/AI)
Ab ONTAP 9.16.1 verbessert ARP die Cyber-Resilienz durch die Einführung eines Machine-Learning-Modells für Anti-Ransomware-Analysen, das sich ständig weiterentwickelnde Formen von Ransomware mit einer Genauigkeit von 99 % in NAS-Umgebungen erkennt. Machine-Learning-Modell von ARP wird vor und nach einem simulierten Ransomware-Angriff anhand eines großen Datensatzes vortrainiert. Dieses ressourcenintensive Training erfolgt außerhalb von ONTAP mithilfe von Open-Source-Datensätzen aus der forensischen Forschung. Kundendaten werden während der gesamten Modellierungspipeline nicht verwendet, und Datenschutzprobleme bestehen nicht. Das aus diesem Training resultierende vortrainierte Modell ist im Lieferumfang von ONTAP enthalten. Dieses Modell ist weder über die ONTAP CLI noch über die ONTAP API zugänglich oder veränderbar.
Mit ARP/AI gibt es keineLernzeitraum Die ARP/AI ist unmittelbar nach der Installation oder dem Upgrade für die folgenden unterstützten Datenträgertypen aktiv:
-
NAS FlexVol Volumes mit ONTAP 9.16.1 und höher
-
NAS FlexGroup Volumes mit ONTAP 9.18.1 und höher
-
SAN-Volumes mit ONTAP 9.17.1 und höher (sofort aktiv, auch während der"Evaluierungszeitraum" )
Bei bestehenden und neuen Volumes, bei denen die ARP-Funktionalität bereits aktiviert ist, wird der ARP/AI-Schutz automatisch aktiviert, nachdem Sie Ihren Cluster auf eine ARP/AI-fähige ONTAP Version aktualisiert haben.
Um den Schutz vor den neuesten Ransomware-Bedrohungen auf dem neuesten Stand zu halten, bietet ARP/AI regelmäßige automatische Updates, die außerhalb der regulären ONTAP -Upgrade- und Release-Kalender erfolgen. Wenn Sie "Automatische Updates aktiviert" Dann können Sie auch automatische Sicherheitsupdates für ARP/AI erhalten, nachdem Sie automatische Updates für Sicherheitsdateien ausgewählt haben. Sie können auch wählen, "Nehmen Sie diese Aktualisierungen manuell vor" und steuern Sie, wann die Aktualisierungen erfolgen.
Ab ONTAP 9.16.1 stehen über System Manager zusätzlich zu System- und Firmware-Updates Sicherheitsupdates für ARP/AI zur Verfügung.
Unterschiede zwischen ARP/AI und ARP-Modellen auf einen Blick
| Funktion | ARP | ARP/AI |
|---|---|---|
ONTAP Versionen |
ONTAP 9.10.1-9.15.1 |
ONTAP 9.16.1 und höher; 9.15.1 (tech preview) |
Nachweismethode |
Analysiert Dateiaktivität, Datenentropie und Dateierweiterungstypen |
KI-/Maschinelles-Lernmodell, das auf großen forensischen Datensätzen trainiert wurde; analysiert Entropie und Dateiverhalten |
Lernperiode |
Erfordert einen 30-tägigen Lernmodus für NAS FlexVol volumes (Auto-Switch verfügbar in 9.13.1 und später) |
Keine Einarbeitungszeit; sofort nach Aktivierung einsatzbereit |
Unterstützung des Volume-Typs |
|
|
Snapshot-Erstellung |
Ausgelöst durch hohe Entropie, neue Dateierweiterungen oder Dateivorgangsanstiege |
Erstellt in festen 4-Stunden-Intervallen und bei Angriffsbestätigung |
Snapshot-Aufbewahrung |
Wird aufbewahrt, bis der Administrator verdächtige Aktivitäten freigibt |
Standardmäßig 12 Stunden; Verlängerung je nach Bestätigung des Angriffs (24 Stunden bei Fehlalarm, 7 Tage bei bestätigtem Angriff) |
Aktualisierungen |
Logik zur statischen Erkennung (wird nur mit ONTAP-Upgrades aktualisiert) |
Automatische Sicherheitsupdates unabhängig von ONTAP-Releases |
Bereitstellung |
Manuelle Aktivierung pro Volume oder SVM-Level-Standardeinstellung |
Manuelle Aktivierung pro Volume oder Standardeinstellung auf SVM-Ebene; standardmäßige Aktivierung auf allen neuen Volumes auf Clusterebene für unterstützte Systeme in 9.18.1 und später |
Bewertungszeitraum |
Keine Angabe |
Erforderlich für SAN-Volumes (2-4 Wochen), um Basisverschlüsselungsschwellenwerte festzulegen |