Informationen zu ONTAP ARP/AI (ONTAP 9.16.1 und höher)
Änderungen vorschlagen
PDFs
Ab ONTAP 9.16.1 nutzt der autonome Ransomware-Schutz ein vortrainiertes Machine-Learning-Modell (ARP/AI), um sich ständig weiterentwickelnde Formen von Ransomware in NAS- und SAN-Umgebungen zu erkennen. ARP/AI bietet sofortigen aktiven Schutz ohne Lernphase und unterstützt automatische Sicherheitsupdates unabhängig von ONTAP Releases.
ARP/AI ist vom früheren ARP-Modell zu unterscheiden, das in ONTAP 9.10.1 bis 9.15.1 verwendet wurde und vor dem aktiven Schutz eine Lernphase erforderte. Ein Vergleich der Funktionen nebeneinander findet sich unter "Vergleich der Funktionen von ARP/AI und dem herkömmlichen ARP".
Funktionsweise von ARP/KI
Das Machine-Learning-Modell von ARP/AI wurde anhand eines umfangreichen Datensatzes von Dateien vor und nach einem simulierten Ransomware-Angriff vortrainiert. Dieses ressourcenintensive Training erfolgt außerhalb ONTAP mithilfe von Open-Source-Datensätzen aus der forensischen Forschung. Kundendaten werden im gesamten Modellierungsprozess nicht verwendet. Das vortrainierte Modell ist in ONTAP enthalten und kann weder über die ONTAP CLI noch über die ONTAP API aufgerufen oder geändert werden.
ARP/AI bietet sofortigen aktiven Schutz für die folgenden unterstützten Volume-Typen:
-
NAS FlexVol Volumes mit ONTAP 9.16.1 und höher
-
NAS FlexGroup Volumes mit ONTAP 9.18.1 und höher
-
SAN FlexVol Volumes mit ONTAP 9.17.1 und höher (sofort aktiv, auch während der "Bewertungszeitraum")
|
Für upgradespezifisches Verhalten, wie Übergänge von früheren ARP-Funktionen, siehe "Upgrade-Überlegungen für bestehende Cluster". |
Um stets vor den neuesten Ransomware-Bedrohungen geschützt zu sein, bietet ARP/AI regelmäßige automatische Updates, die außerhalb der regulären ONTAP-Upgrade- und Release-Zyklen erfolgen. Wenn Sie "Automatische Updates aktiviert" haben, können Sie nach Auswahl automatischer Updates für Sicherheitsdateien auch automatische Sicherheitsupdates für ARP/AI erhalten. Sie können außerdem "Diese Aktualisierungen manuell durchführen" steuern, wann diese erfolgen.
Ab ONTAP 9.16.1 sind Sicherheitsupdates für ARP/AI über System Manager zusätzlich zu System- und Firmware-Updates verfügbar.
Was ARP/AI erkennt
ARP/AI identifiziert eingehende Daten als entweder verschlüsselt oder Klartext und verwendet ein vortrainiertes Machine-Learning-Modell, das mehrere entropiebasierte Signale und Dateiverhaltensmuster gleichzeitig auswertet, um Ransomware-Aktivitäten in Echtzeit zu erkennen.
ARP/AI erkennt die Ausbreitung der meisten Ransomware-Angriffe bereits nach der Verschlüsselung einer geringen Anzahl von Dateien, reagiert automatisch zum Schutz der Daten und benachrichtigt Sie, dass ein vermuteter Angriff stattfindet.
|
|
Kein Ransomware-Erkennungssystem kann vollständige Sicherheit garantieren. ARP/AI bietet eine zusätzliche Verteidigungsebene, falls Antivirensoftware einen Eindringling nicht erkennt. |
Aktivierungsoptionen für ARP/AI
ARP/AI bietet flexible Aktivierungsoptionen auf Cluster-, SVM- und Volume-Ebene.
Ab ONTAP 9.18.1 ist ARP/AI auf allen neuen Volumes für AFF A-Series, AFF C-Series, ASA und ASA r2 Systeme standardmäßig aktiviert. Diese automatische Standardaktivierung gilt nicht für "Nicht unterstützte Volumes oder Konfigurationen". Es ist möglich, "ARP/AI auf bestehenden Volumes manuell aktivieren".
Sie können "Standardmäßige Aktivierung ein- oder ausschalten" jederzeit nach der Bereitstellung durchführen.
|
|
Für das upgrade-spezifische Aktivierungsverhalten, einschließlich Kulanzfrist und SnapMirror Versionsanforderungen, siehe "Upgrade-Überlegungen für bestehende Cluster". |
Wenn Sie die automatische Standardaktivierung auf Clusterebene deaktiviert haben, besteht auch die Möglichkeit, "ARP/AI ist standardmäßig auf allen neuen Volumes manuell aktiviert" auf SVM-Ebene auszuwählen. Für ONTAP 9.17.1 und frühere Versionen ist dies die einzige Möglichkeit, ARP/AI standardmäßig auf neuen Volumes zu aktivieren.
Ab ONTAP 9.18.1 ist es möglich, ARP/AI manuell auf allen vorhandenen Volumes auf Clusterebene zu aktivieren (unter Cluster > Sicherheit und 
im Abschnitt Anti-ransomware dann Auf allen vorhandenen Volumes aktivieren auswählen).
Zur Aktivierung von ARP/AI auf einem bestimmten Volume siehe "ARP/AI auf einem Volume aktivieren".
ARP/AI-Schutzmodi
ARP/AI schützt Volumes sofort ohne Lernphase. Die folgenden Tabellen beschreiben das Schutzverhalten je nach Volume-Typ.
NAS-Volumes
| Modus | Beschreibung | Volume-Typen und Versionen |
|---|---|---|
Auswertung |
Zur Ermittlung des grundlegenden Verschlüsselungsverhaltens wird eine zwei- bis vierwöchige Evaluierungsphase durchgeführt, während ARP/AI während der Evaluierungsphase sofortigen aktiven Schutz bietet. Erkennungen und Warnmeldungen können auftreten, während die Basisschwellenwerte festgelegt werden. Ob die Evaluierungsphase abgeschlossen ist, lässt sich durch Ausführen des |
NAS FlexVol Volumes mit von ONTAP erkannten Hypervisor-virtuellen Festplatten mit ONTAP 9.17.1P5 und höher |
Aktiv |
ARP/AI überwacht die Arbeitslastaktivität und reagiert automatisch, wenn ungewöhnliches Verhalten erkannt wird, das auf einen Ransomware-Angriff hindeutet. Auf eine Warnung kann reagiert werden, um Daten zu schützen, oder die Warnung kann als Fehlalarm markiert werden. Die Markierung einer Warnung als Fehlalarm aktualisiert das Erkennungsmodell. Wenn die Warnung durch ungewöhnliches Dateiverhalten ausgelöst wird und sie als Fehlalarm markiert wird, erfolgt beim nächsten Auftreten dieses Musters keine Warnung mehr. |
|
SAN-Volumes
| Modus | Beschreibung | Volume-Typen und Versionen |
|---|---|---|
Auswertung |
Zur Ermittlung des Verschlüsselungsverhaltens im Normalbetrieb wird eine zwei- bis vierwöchige Evaluierungsphase durchgeführt, während ARP/AI während der Evaluierungsphase sofortigen aktiven Schutz für SAN-Volumes bietet. Erkennungen und Warnmeldungen können auftreten, während die Schwellenwerte festgelegt werden. Ob die Evaluierungsphase abgeschlossen ist, lässt sich durch Ausführen des |
SAN FlexVol Volumes mit ONTAP 9.17.1 und höher |
Aktiv |
Nach Ablauf der Testphase lässt sich feststellen, ob der ARP/AI SAN-Schutz aktiv ist, indem der |
SAN FlexVol Volumes mit ONTAP 9.17.1 und höher |
Gefährdungsanalyse
ARP/AI bewertet die Bedrohungswahrscheinlichkeit kontinuierlich, während Daten auf den Speicher geschrieben werden. Wenn das Machine-Learning-Modell feststellt, dass eine Aktivität einem Ransomware-Profil entspricht, generiert ONTAP eine EMS-Benachrichtigung mit der mittleren Bedrohungsstufe, die eine Bewertung der Bedrohung nahelegt. ARP/AI verwendet keine niedrige Bedrohungsstufe; alle Erkennungen werden mit der mittleren Stufe gemeldet.
Informationen zu Bedrohungen mittlerer Intensität sind im Abschnitt Ereignisse des System Managers oder mit dem security anti-ransomware volume show Befehl verfügbar. Weitere Informationen zu security anti-ransomware volume show finden sich in der "ONTAP-Befehlsreferenz".
Weitere Informationen finden Sie unter "Auf abnormale Aktivität reagieren".
ARP/AI Snapshots
ARP/AI erstellt einen Snapshot, sobald erste Anzeichen eines Angriffs erkannt werden. Anschließend erfolgt eine Analyse, um den potenziellen Angriff zu bestätigen oder auszuschließen. Da ARP/AI außerdem regelmäßig alle 4 Stunden Snapshots generiert, sollte deren Vorhandensein nicht als Anomalie betrachtet werden. Wird ein Angriff bestätigt, wird die Angriffswahrscheinlichkeit auf Moderate gesetzt und eine Angriffsbenachrichtigung generiert.
Die folgende Tabelle fasst das Verhalten von ARP/AI Snapshots zusammen.
| Funktion | ARP/AI Modell (ONTAP 9.16.1 und höher) |
|---|---|
Auslöser für die Erstellung |
Ein „periodischer“ oder „Angriffs“-Snapshot wird abhängig vom Auslösertyp erstellt. |
Konvention für vorangestellte Namen |
"Anti_ransomware_periodic_backup" "Anti_ransomware_attack_backup" |
Löschverhalten |
Der ARP/AI Snapshot ist gesperrt und kann vom Administrator nicht gelöscht werden. |
Maximale Snapshot-Anzahl |
|
Aufbewahrungsfrist |
Schnappschüsse werden normalerweise 12 Stunden lang aufbewahrt.
|
Clear-suspect-Aktion |
Administratoren können eine „Verdacht klären“-Aktion durchführen, die die Aufbewahrung auf Basis einer Bestätigung festlegt:
|
Ablaufzeit |
Für alle Snapshots ist eine Ablaufzeit festgelegt. |
SnapMirror synchron und aktive Synchronisierung
Ab ONTAP 9.19.1 gelten für ARP/AI-Snapshots, die für Volumes erstellt werden, die an SnapMirror synchronen oder SnapMirror active sync Beziehungen teilnehmen, folgende zusätzliche Regeln:
-
ARP/AI-Snapshots werden auf dem primären Volume erstellt und beibehalten.
-
ARP/AI-Snapshots werden nicht als Teil von SnapMirror synchron oder SnapMirror active sync auf den sekundären Server repliziert. Nach dem Failover ist "ARP/AI wieder aktivieren" auf dem Wiederherstellungsvolume erforderlich.
|
|
Die Wiederherstellung auf Volume-Ebene (volume snapshot restore bei SnapMirror synchron oder SnapMirror active sync SAN-Volumes kann es erforderlich machen, die SnapMirror synchron oder SnapMirror active sync Beziehung vorübergehend zu quiescieren oder zu unterbrechen. In vielen Fällen lässt sich das Unterbrechen von SnapMirror synchron oder SnapMirror active sync vermeiden, indem FlexClone oder Wiederherstellungsvorgänge auf Dateiebene aus ARP/AI- oder anderen Snapshots des primären Volumes verwendet werden.
|
Auf einen Angriff reagieren und ihn bewerten
ARP/AI erstellt gesperrte Snapshots, sobald erste Anzeichen eines Angriffs erkannt werden. Es ist zu bestätigen, ob es sich um einen tatsächlichen Angriff oder einen Fehlalarm handelt. Gesperrte Snapshots können nicht auf normalem Wege gelöscht werden. Wird der Angriff jedoch später als Fehlalarm eingestuft, löscht ONTAP die gesperrte Kopie.
Daten nach einem Angriff wiederherstellen
Wenn der Angriff bestätigt wird, kann das Volume mithilfe des ARP/AI Snapshot wiederhergestellt werden. Betroffene Dateien lassen sich aus ausgewählten Snapshots wiederherstellen, ohne das gesamte Volume zurückzusetzen.
Multi-Admin-Verifizierung
Ab ONTAP 9.13.1 wird empfohlen, die Multi-Admin-Verifizierung (MAV) zu aktivieren, sodass für die ARP/AI-Konfiguration zwei oder mehr authentifizierte Benutzeradministratoren erforderlich sind. Weitere Informationen finden sich unter "Multi-Admin-Verifizierung aktivieren".