ARP-Unterstützung ist im Lieferumfang der "ONTAP ONE Lizenz". Wenn Sie nicht über die ONTAP One-Lizenz verfügen, stehen Ihnen für die ARP-Nutzung andere Lizenzen zur Verfügung, die sich je nach Ihrer ONTAP-Version unterscheiden

"Sie können Autonomous Ransomware Protection (ARP) auf einem vorhandenen Volume aktivieren oder ein neues Volume erstellen und ARP aktivieren" .

Eine wirksame Strategie zur Erkennung von Ransomware sollte mehr als nur eine Schutzebene umfassen. Betrachten Sie als Analogie die Sicherheitsmerkmale eines Fahrzeugs. Sie sind bei einem Unfall nicht auf eine einzelne Funktion wie etwa einen Sicherheitsgurt angewiesen, um vollständig geschützt zu sein. Airbags, Antiblockiersystem und Auffahrwarnsystem sind Sicherheitsfunktionen, die zusammen zu einem besseren Ergebnis führen. Der Schutz vor Ransomware sollte auf die gleiche Weise betrachtet werden.

Während ONTAP Funktionen wie FPolicy, Snapshots, SnapLock und Active IQ Digital Advisor (auch bekannt als Digital Advisor) zum Schutz vor Ransomware enthält, konzentrieren sich die folgenden Informationen auf die ARP-Funktion mit Machine-Learning-Funktionen.

Weitere Informationen zu weiteren Funktionen im NetApp -Portfolio zum Schutz vor Ransomware finden Sie unter "Ransomware und das Datensicherungsportfolio von NetApp" .

ONTAP ARP schützt vor Denial-of-Service-Angriffen, bei denen der Angreifer Daten zurückhält, bis ein Lösegeld gezahlt wird. ARP bietet Ransomware-Erkennung in Echtzeit basierend auf folgenden Kriterien:

ARP erkennt die Ausbreitung der meisten Ransomware-Angriffe, nachdem nur eine kleine Anzahl von Dateien verschlüsselt wurde, reagiert automatisch, um die Daten zu schützen, und warnt Sie, wenn ein mutmaßlicher Angriff stattfindet.

Nachdem ARP für ein Volume aktiviert wurde, beginnt eine Lernphase, um eine Basislinie festzulegen. ARP analysiert Systemmetriken, um ein Alarmprofil zu entwickeln, bevor in den aktiven Erkennungsmodus gewechselt wird. Im aktiven Modus überwacht ARP abnormale Aktivitäten, ergreift Schutzmaßnahmen und generiert Warnungen, wenn es abnormales Verhalten erkennt.

Bei ARP unterscheiden sich das Verhalten im Lernmodus und im aktiven Modus je nach ONTAP Version, Volume-Typ und Protokoll (NAS oder SAN).

ARP bewertet die Bedrohungswahrscheinlichkeit anhand eingehender Daten und vergleicht diese mit erlernten Analysen. Wenn ARP eine Anomalie erkennt, wird eine Messung zugewiesen. Ein Snapshot kann zum Zeitpunkt der Erkennung oder in regelmäßigen Abständen zugewiesen werden.

ARP basiert auf der bewährten ONTAP Datenschutz- und Disaster-Recovery-Technologie, um auf Ransomware-Angriffe zu reagieren. ARP erstellt gesperrte Snapshots, wenn erste Anzeichen eines Angriffs erkannt werden. Sie müssen zunächst bestätigen, ob es sich um einen echten Angriff oder einen Fehlalarm handelt. Sobald der Angriff bestätigt ist, kann das Volume mithilfe des ARP-Snapshots wiederhergestellt werden.

Gesperrte Snapshots können nicht auf herkömmliche Weise gelöscht werden. Wenn Sie sich jedoch später dazu entschließen, den Angriff als falsch positiv zu markieren, löscht ONTAP die gesperrte Kopie.

Sie können betroffene Dateien aus ausgewählten Snapshots wiederherstellen, anstatt das gesamte Volume zurückzusetzen.

Weitere Informationen zum Reagieren auf einen Angriff und zur Wiederherstellung von Daten finden Sie in den folgenden Themen:

Ab ONTAP 9.13.1 wird empfohlen, die Multi-Admin-Verifizierung (MAV) zu aktivieren, sodass für die ARP-Konfiguration (Autonomous Ransomware Protection) mindestens zwei authentifizierte Benutzeradministratoren erforderlich sind. Weitere Informationen finden Sie unter "Aktivieren Sie die Verifizierung durch mehrere Administratoren".

Ab ONTAP 9.16.1 verbessert ARP die Cyber-Resilienz durch die Einführung eines Machine-Learning-Modells für Anti-Ransomware-Analysen, das sich ständig weiterentwickelnde Formen von Ransomware mit einer Genauigkeit von 99 % in NAS-Umgebungen erkennt. Machine-Learning-Modell von ARP wird vor und nach einem simulierten Ransomware-Angriff anhand eines großen Datensatzes vortrainiert. Dieses ressourcenintensive Training erfolgt außerhalb von ONTAP mithilfe von Open-Source-Datensätzen aus der forensischen Forschung. Kundendaten werden während der gesamten Modellierungspipeline nicht verwendet, und Datenschutzprobleme bestehen nicht. Das aus diesem Training resultierende vortrainierte Modell ist im Lieferumfang von ONTAP enthalten. Dieses Modell ist weder über die ONTAP CLI noch über die ONTAP API zugänglich oder veränderbar.

Bei ARP/AI- und FlexVol gibt es keine Lernzeitraum. ARP/AI ist sofort nach der Installation oder dem Upgrade auf Version 9.16 aktiviert. dem Upgrade Ihres Clusters auf ONTAP 9.16.1 wird ARP/AI automatisch für bestehende und neue FlexVol -Volumes aktiviert, sofern ARP für diese Volumes bereits aktiviert ist.

"Erfahren Sie mehr über die Aktivierung von ARP/AI"

Um den Schutz vor den neuesten Ransomware-Bedrohungen auf dem neuesten Stand zu halten, bietet ARP/AI regelmäßige automatische Updates, die außerhalb der regulären ONTAP -Upgrade- und Release-Kalender erfolgen. Wenn Sie "Automatische Updates aktiviert" Dann können Sie auch automatische Sicherheitsupdates für ARP/AI erhalten, nachdem Sie automatische Updates für Sicherheitsdateien ausgewählt haben. Sie können auch wählen, "Nehmen Sie diese Aktualisierungen manuell vor" und steuern Sie, wann die Aktualisierungen erfolgen.

Ab ONTAP 9.16.1 stehen über System Manager zusätzlich zu System- und Firmware-Updates Sicherheitsupdates für ARP/AI zur Verfügung.

"Weitere Informationen zu ARP/AI-Updates"