Informationen zu ONTAP ARP (ONTAP 9.10.1 bis 9.15.1)
Änderungen vorschlagen
PDFs
Für ONTAP 9.10.1 bis 9.15.1 überwacht der Autonomous Ransomware Protection (ARP) NAS-Umgebungen mithilfe einer Lernphase, um Verhaltensbaselines zu erstellen, bevor auf die aktive Ransomware-Erkennung umgeschaltet wird. ARP analysiert Datenentropie, Änderungen der Dateierweiterungen und Datei-IOPS-Muster, um potenzielle Ransomware-Angriffe zu erkennen. Für FlexGroup Volumes gilt das ursprüngliche ARP-Modell ebenfalls bis ONTAP 9.17.1.
|
Das ursprüngliche ARP-Modell erhielt nach ONTAP 9.14.1 keine neuen funktionalen Verbesserungen. Bei Verwendung von ONTAP 9.16.1 oder höher auf FlexVol Volumes siehe "Informationen zu ARP/KI". FlexGroup Volumes verwenden das ursprüngliche ARP-Modell bis einschließlich ONTAP 9.17.1 und werden ab ONTAP 9.18.1 von ARP/AI unterstützt. |
Was ARP erkennt
ARP identifiziert eingehende Daten als entweder verschlüsselt oder Klartext und verwendet die folgenden diskreten Signale, um Ransomware-Aktivität zu erkennen:
-
Entropie: Eine Bewertung der Zufälligkeit von Daten in einer Datei (nur NAS)
-
Dateierweiterungstypen: Eine Dateierweiterung, die nicht den erwarteten Erweiterungstypen entspricht (nur NAS)
-
Datei-IOPS: Ein Anstieg der ungewöhnlichen Volumenaktivität mit Datenverschlüsselung (nur NAS; ONTAP 9.11.1 und später)
ARP erkennt die Ausbreitung der meisten Ransomware-Angriffe bereits nach der Verschlüsselung einer geringen Anzahl von Dateien, reagiert automatisch zum Schutz der Daten und benachrichtigt Sie, dass ein vermuteter Angriff stattfindet.
|
|
Kein Ransomware-Erkennungssystem kann vollständige Sicherheit garantieren. ARP bietet eine zusätzliche Schutzebene, falls die Antivirensoftware einen Eindringling nicht erkennt. |
Aktivierungsoptionen für ARP
ARP wird manuell pro Volume aktiviert oder standardmäßig auf SVM-Ebene für neue Volumes konfiguriert.
-
Um ARP standardmäßig auf allen neuen Volumes für eine SVM zu aktivieren, siehe "ARP standardmäßig in neuen Volumes aktivieren".
-
Zur Aktivierung von ARP auf einem bestimmten Volume siehe "ARP auf einem Volume aktivieren".
ARP-Schutzmodi
ARP beginnt im Lernmodus, um eine Verhaltensbasislinie zu etablieren, bevor auf aktive Erkennung umgeschaltet wird.
NAS-Volumes
Die folgende Tabelle fasst die ARP-Modi für NAS-Umgebungen zusammen.
| Modus | Beschreibung | Volume-Typen und Versionen | ||
|---|---|---|---|---|
Lernen |
Wenn ARP aktiviert wird, wird es automatisch in den Lernmodus versetzt. Im Lernmodus entwickelt das ONTAP-System ein Warnprofil basierend auf den Analysebereichen: Entropie, Dateierweiterungstypen und Datei-IOPS. Es wird empfohlen, ARP 30 Tage lang im Lernmodus zu belassen. Ab ONTAP 9.13.1 ermittelt ARP automatisch das optimale Lernintervall und automatisiert die Umstellung, die auch vor Ablauf der 30 Tage erfolgen kann. Bei Versionen vor ONTAP 9.13.1 kann die Umstellung manuell vorgenommen werden.
|
|
||
Aktiv |
Nach der Lernphase überwacht ARP die Arbeitslastaktivität und reagiert automatisch, wenn ungewöhnliches Verhalten erkannt wird. Wird eine Dateierweiterung als ungewöhnlich markiert, sollte die Warnung bewertet werden. Es besteht die Möglichkeit, auf die Warnung zu reagieren, um die Daten zu schützen, oder die Warnung als Fehlalarm zu kennzeichnen. Das Kennzeichnen einer Warnung als Fehlalarm aktualisiert das Warnungsprofil. Wird die Warnung beispielsweise durch eine neue Dateierweiterung ausgelöst und als Fehlalarm markiert, erfolgt beim nächsten Auftreten dieser Dateierweiterung keine Warnung mehr. |
|
Gefährdungsanalyse
ARP bewertet die Bedrohungswahrscheinlichkeit anhand zweier Ebenen:
-
Niedrig: Die früheste Erkennung einer Anomalie im Volume (zum Beispiel wird eine neue Dateierweiterung im Volume festgestellt). Diese Erkennungsstufe ist nur im ursprünglichen ARP-Modell verfügbar.
-
Ab ONTAP 9.11.1 können Sie "die Erkennungsparameter für ARP anpassen".
-
-
Mittel: Es wird eine hohe Entropie erkannt oder es werden mehrere Dateien mit derselben, bisher nie gesehenen Dateiendung beobachtet. Die Bedrohung eskaliert auf mittel, nachdem ONTAP einen Analysebericht ausgeführt hat, um festzustellen, ob die Anomalie einem Ransomware-Profil entspricht. Bei mittlerer Angriffswahrscheinlichkeit generiert ONTAP eine EMS-Benachrichtigung, die Sie zur Bewertung der Bedrohung auffordert.
ONTAP sendet keine Warnungen bei niedrigen Bedrohungen; ab ONTAP 9.14.1 können Sie jedoch "Standard-Benachrichtigungseinstellungen ändern". Weitere Informationen finden Sie unter "Auf abnormale Aktivität reagieren".
Informationen zu Bedrohungen mittlerer Intensität sind im Abschnitt Ereignisse des System Manager oder mit dem security anti-ransomware volume show Befehl verfügbar. Ereignisse mit geringer Bedrohung können ebenfalls mit dem security anti-ransomware volume show Befehl angezeigt werden. Weitere Informationen zu security anti-ransomware volume show finden sich in der "ONTAP-Befehlsreferenz".
ARP Snapshots
ARP erstellt einen Snapshot, sobald erste Anzeichen eines Angriffs erkannt werden. Anschließend erfolgt eine detaillierte Analyse, um den potenziellen Angriff zu bestätigen oder auszuschließen. Da ARP Snapshots proaktiv erstellt werden, noch bevor ein Angriff vollständig bestätigt ist, sollte deren Vorhandensein nicht als Anomalie betrachtet werden. Wenn ein wahrscheinlicher Angriff bestätigt wird, wird die Angriffswahrscheinlichkeit auf Moderate eskaliert und eine Angriffsbenachrichtigung generiert.
Ab ONTAP 9.11.1 können Sie "Aufbewahrungseinstellungen für Snapshots ändern".
Die folgende Tabelle fasst das Verhalten von ARP Snapshots zusammen.
| Funktion | Originales ARP Modell (ONTAP 9.15.1 und früher) |
|---|---|
Auslöser für die Erstellung |
Das Snapshot-Erstellungsintervall basiert auf dem Auslösertyp. |
Konvention für vorangestellte Namen |
"Anti_ransomware_backup" |
Löschverhalten |
Der ARP Snapshot ist gesperrt und kann vom Administrator nicht gelöscht werden. |
Maximale Snapshot-Anzahl |
|
Aufbewahrungsfrist |
|
Clear-suspect-Aktion |
Administratoren können eine „clear-suspect“-Aktion durchführen, um die Warnung zu beseitigen und gesperrte Snapshots freizugeben. |
Ablaufzeit |
Keine |
Auf einen Angriff reagieren und ihn bewerten
ARP erstellt gesperrte Snapshots, sobald erste Anzeichen eines Angriffs erkannt werden. Es muss bestätigt werden, ob es sich um einen tatsächlichen Angriff oder einen Fehlalarm handelt. Gesperrte Snapshots können nicht auf normalem Wege gelöscht werden. Wird der Angriff später als Fehlalarm eingestuft, löscht ONTAP die gesperrte Kopie.
Daten nach einem Angriff wiederherstellen
Wird der Angriff bestätigt, kann das Volume mithilfe des ARP Snapshots wiederhergestellt werden. Sie können betroffene Dateien aus ausgewählten Snapshots wiederherstellen, anstatt das gesamte Volume zurückzusetzen.
Multi-Admin-Verifizierung
Ab ONTAP 9.13.1 wird empfohlen, die Multi-Admin-Verifizierung (MAV) zu aktivieren, sodass für die ARP-Konfiguration zwei oder mehr authentifizierte Benutzeradministratoren erforderlich sind. Weitere Informationen finden sich unter "Multi-Admin-Verifizierung aktivieren".