Die deutsche Sprachversion wurde als Serviceleistung für Sie durch maschinelle Übersetzung erstellt. Bei eventuellen Unstimmigkeiten hat die englische Sprachversion Vorrang.

ONTAP ARP-Angriffserkennungsparameter verwalten

08/07/2026 Beitragende

PDFs

Ab ONTAP 9.11.1 können die Parameter für die Ransomware-Erkennung auf einem bestimmten ARP-fähigen NAS-Volume angepasst und ein bekannter Anstieg als normale Dateiaktivität gemeldet werden. Die Anpassung der Erkennungsparameter trägt dazu bei, die Genauigkeit der Berichterstattung basierend auf der spezifischen Volume-Auslastung zu verbessern.

Wenn Sie ONTAP 9.16.1 oder höher verwenden, siehe "ARP/AI-Angriffserkennungsparameter verwalten".

Wie die Erkennung von ARP-Angriffen funktioniert

Im Lernmodus entwickelt der autonome Ransomware-Schutz (ARP) Basiswerte für das Volume-Verhalten. Dazu gehören Entropie, Dateierweiterungen und ab ONTAP 9.11.1 IOPS. Diese Basiswerte werden zur Bewertung von Ransomware-Bedrohungen verwendet. Weitere Informationen zu diesen Kriterien sind unter "was ARP erkennt" zu finden.

In ONTAP 9.10.1 gibt ARP eine Warnung aus, wenn beide der folgenden Bedingungen erfüllt sind:

Mehr als 20 Dateien mit Dateierweiterungen, die zuvor im Volume nicht beobachtet wurden
Daten mit hoher Entropie

In ONTAP 9.10.1 wird eine Warnung vor geringer Bedrohung zu einer Warnung vor mittlerer Bedrohung hochgestuft, wenn 100 oder mehr Dateien betroffen sind.

Ab ONTAP 9.11.1 gibt ARP eine Bedrohungswarnung aus, wenn eine der beiden Bedingungen erfüllt ist. Wenn beispielsweise innerhalb eines Zeitraums von 24 Stunden mehr als 20 Dateien mit zuvor im Volume nicht beobachteten Dateierweiterungen erkannt werden, kategorisiert ARP dies als Bedrohung, unabhängig von der beobachteten Entropie. Die Werte von 24 Stunden und 20 Dateien sind Standardwerte, die geändert werden können.

Zur Reduzierung einer hohen Anzahl falsch positiver Warnmeldungen zu Storage > Volumes > Security > Configure workload characteristics wechseln und Monitor new file types deaktivieren. Diese Einstellung ist in ONTAP 9.14.1 P7 und 9.15.1 P1 standardmäßig deaktiviert.

ARP wertet SAN-Volumes in ONTAP 9.10.1 bis 9.15.1 nicht aus. Ab ONTAP 9.17.1 werden SAN-Volumes ausschließlich von ARP/AI unterstützt.

Ab ONTAP 9.14.1 ist es möglich, Benachrichtigungen zu konfigurieren, wenn ARP eine neue Dateierweiterung erkennt oder wenn ARP einen Snapshot erstellt. Weitere Informationen finden sich unter ARP-Warnmeldungen konfigurieren.

Parameter zur Erkennung von ARP-Angriffen anpassen

Je nach dem zu erwartenden Verhalten des ARP-fähigen NAS-Volumes kann es sinnvoll sein, die Parameter für die Angriffserkennung zu ändern.

Schritte

Vorhandene Parameter zur Angriffserkennung werden angezeigt:

security anti-ransomware volume attack-detection-parameters show -vserver <svm_name> -volume <volume_name>

security anti-ransomware volume attack-detection-parameters show -vserver vs1 -volume vol1
                                             Vserver Name : vs1
                                              Volume Name : vol1
            Is Detection Based on High Entropy Data Rate? : true
  Is Detection Based on Never Seen before File Extension? : true
                  Is Detection Based on File Create Rate? : true
                  Is Detection Based on File Rename Rate? : true
                  Is Detection Based on File Delete Rate? : true
           Is Detection Relaxing Popular File Extensions? : true
                High Entropy Data Surge Notify Percentage : 100
                 File Create Rate Surge Notify Percentage : 100
                 File Rename Rate Surge Notify Percentage : 100
                 File Delete Rate Surge Notify Percentage : 100
 Never Seen before File Extensions Count Notify Threshold : 20
       Never Seen before File Extensions Duration in Hour : 24

Alle angezeigten Felder sind mit booleschen oder ganzzahligen Werten änderbar. Zum Ändern eines Feldes wird der security anti-ransomware volume attack-detection-parameters modify Befehl verwendet.

Weitere Informationen zu security anti-ransomware volume attack-detection-parameters modify finden sich in der "ONTAP-Befehlsreferenz".

Bekannte Anstiege melden

ARP passt die Basiswerte für die Erkennungsparameter auch im aktiven Zustand kontinuierlich an. Wenn Anstiege in Ihrer Volumenaktivität bekannt sind, entweder einmalige Anstiege oder ein Anstieg, der für eine neue Normalität charakteristisch ist, sollten diese als unbedenklich gemeldet werden. Das manuelle Melden dieser Anstiege als unbedenklich trägt zur Verbesserung der Genauigkeit der Bedrohungsbewertungen von ARP bei.

Ein einmaliger Anstieg kann gemeldet werden

Wenn unter bekannten Umständen eine einmalige Lastspitze auftritt und Sie möchten, dass ARP eine ähnliche Lastspitze auch in Zukunft meldet, entfernen Sie die Lastspitze aus dem Workload-Verhalten:
```
security anti-ransomware volume workload-behavior clear-surge -vserver <svm_name> -volume <volume_name>
```
Weitere Informationen zu security anti-ransomware volume workload-behavior clear-surge finden sich in der "ONTAP-Befehlsreferenz".

Basislinienanstieg ändern

Wenn ein gemeldeter Anstieg als normales Anwendungsverhalten betrachtet werden sollte, ist der Anstieg entsprechend zu melden, um den Basiswert für den Anstieg zu ändern:
```
security anti-ransomware volume workload-behavior update-baseline-from-surge -vserver <svm_name> -volume <volume_name>
```
Weitere Informationen zu security anti-ransomware volume workload-behavior update-baseline-from-surge finden sich in der "ONTAP-Befehlsreferenz".

ARP-Warnmeldungen konfigurieren

Ab ONTAP 9.14.1 ermöglicht ARP die Angabe von Warnmeldungen für zwei Ereignisse:

Beobachtung einer neuen Dateierweiterung auf einem Volume
Erstellung eines ARP Snapshots

Warnungen für diese beiden Ereignisse können für einzelne Volumes oder für die gesamte SVM eingerichtet werden. Wenn Warnungen für die SVM aktiviert werden, werden die Warnungseinstellungen nur von Volumes übernommen, die nach der Aktivierung der Warnung erstellt werden. Standardmäßig sind Warnungen für kein Volume aktiviert.

Ereignisbenachrichtigungen können mit Multi-Admin-Verifizierung gesteuert werden. Weitere Informationen finden Sie unter "Multi-Admin-Verifizierung mit ARP-geschützten Volumes".

Schritte

Sie können den System Manager oder die ONTAP CLI verwenden, um Warnmeldungen für ARP-Ereignisse festzulegen.

System Manager

Alarme für ein Volume festlegen

Navigieren Sie zu Volumes. Wählen Sie das einzelne Volume aus, für das Sie die Einstellungen ändern möchten.
Die Registerkarte Sicherheit und dann Ereignis-Schweregrad-Einstellungen auswählen.
Um Benachrichtigungen für Neue Dateierweiterung erkannt und Ransomware-Snapshot erstellt zu erhalten, das Dropdown-Menü unter der Überschrift Schweregrad auswählen. Die Einstellung von Kein Ereignis generieren auf Benachrichtigung ändern.
Speichern auswählen.

Alarme für eine SVM festlegen

Zu Storage VM navigieren und dann die SVM auswählen, für die Einstellungen aktiviert werden sollen.
Unter der Überschrift Sicherheit die Karte Anti-ransomware suchen. dann Schweregrad von Ransomware-Ereignissen bearbeiten auswählen.
Um Benachrichtigungen für Neue Dateierweiterung erkannt und Ransomware-Snapshot erstellt zu erhalten, das Dropdown-Menü unter der Überschrift Schweregrad auswählen. Die Einstellung von Kein Ereignis generieren auf Benachrichtigung ändern.
Speichern auswählen.

CLI

Alarme für ein Volume festlegen

Benachrichtigungen für eine neue Dateierweiterung einrichten:

security anti-ransomware volume event-log modify -vserver <svm_name> -volume <volume_name> -is-enabled-on-new-file-extension-seen true

Zum Einrichten von Benachrichtigungen für die Erstellung eines ARP Snapshot:

security anti-ransomware volume event-log modify -vserver <svm_name> -volume <volume_name> -is-enabled-on-snapshot-copy-creation true

Bestätigen Sie Ihre Einstellungen mit dem anti-ransomware volume event-log show Befehl.