Skip to main content
Die deutsche Sprachversion wurde als Serviceleistung für Sie durch maschinelle Übersetzung erstellt. Bei eventuellen Unstimmigkeiten hat die englische Sprachversion Vorrang.

Reagieren Sie auf ungewöhnliche Aktivität, die durch ONTAP ARP erkannt wurde

Beitragende
PDFs

Wenn Autonomous Ransomware Protection (ARP) abnormale Aktivitäten in einem geschützten Volume erkennt, wird eine Warnung ausgegeben. Sie sollten die Benachrichtigung bewerten, um festzustellen, ob die Aktivität akzeptabel ist (falsch positiv) oder ob ein Angriff schädlich erscheint. Nachdem Sie den Angriff kategorisiert haben, können Sie die Warnungen und Hinweise zu verdächtigen Dateien löschen.

Wenn ONTAP eine Auffälligkeit feststellt, wird zudem ein Volume erstellt"Ein ARP-Snapshot", um den besten Recovery-Punkt zu erstellen. ARP-Snapshots werden standardmäßig zwei bis fünf Tage aufbewahrt.

Wenn Sie einen Angriff kategorisieren, werden diese ARP-Snapshots entweder sofort gelöscht (ONTAP 9.15.1 und früher) oder für einen verkürzten Zeitraum aufbewahrt, der durch den Kategorisierungsvorgang eingeleitet wurde (ONTAP 9.16.1 und höher).

Hinweis Ab ONTAP 9.11.1 können Sie die für ARP-Snapshots ändernAufbewahrungseinstellungen.
Über diese Aufgabe

ARP zeigt eine Liste der verdächtigen Dateien an, wenn sie eine beliebige Kombination von hoher Datenentropie, abnormaler Volume-Aktivität mit Datenverschlüsselung und ungewöhnlichen Dateierweiterungen erkennt.

Wenn die ARP-Warnung ausgegeben wird, antworten Sie, indem Sie die Dateiaktivität auf zwei Arten festlegen:

  • Falsch positiv

    Der identifizierte Dateityp wird für Ihren Workload erwartet und kann ignoriert werden.

  • Potenzieller Ransomware-Angriff

    Der identifizierte Dateityp ist bei Ihrer Workload unerwartet und sollte als potenzieller Angriff behandelt werden.

In beiden Fällen wird die normale Überwachung nach der Aktualisierung und dem Löschen der Benachrichtigungen fortgesetzt. ARP zeichnet Ihre Bewertung im Bedrohungsprofil auf und verwendet Ihre Wahl zur Überwachung der nachfolgenden Dateiaktivitäten.

Im Falle eines vermuteten Angriffs müssen Sie feststellen, ob es sich um einen Angriff handelt, darauf reagieren, wenn er der Fall ist, und geschützte Daten wiederherstellen, bevor Sie die Benachrichtigungen löschen. "Erfahren Sie mehr darüber, wie Sie nach einem Ransomware-Angriff wiederherstellen können".

Hinweis Wenn Sie ein gesamtes Volume wiederherstellen, müssen keine Hinweise gelöscht werden.
Bevor Sie beginnen

ARP muss aktiv sein und sich nicht im Lernmodus befinden.

Schritte

Sie können System Manager oder die ONTAP CLI verwenden, um auf anormale Aktivitäten zu reagieren.

System Manager

  1. Wenn Sie eine Benachrichtigung über „abnormale Aktivität“ erhalten, folgen Sie dem Link. Wechseln Sie alternativ zur Registerkarte Sicherheit in der Übersicht Volumes.

    Warnungen werden im Fenster Übersicht des Menüs Ereignisse angezeigt.

  2. Wenn eine Meldung über die Erkennung von anormalen Volume-Aktivitäten angezeigt wird, zeigen Sie die vermuteten Dateitypen an.

    Wählen Sie auf der Registerkarte Sicherheit die Option aus, um die vermuteten Dateitypen zu überprüfen.

  3. Prüfen Sie im Dialogfeld vermutete Dateitypen jeden Dateityp und markieren Sie ihn entweder als „falsch positiv“ oder „potentieller Ransomware-Angriff“.

    Wenn Sie diesen Wert ausgewählt haben…​

    Führen Sie diese Aktion durch…​

    Falsch Positiv

    1. Wählen Sie Update und Suspect File Types löschen, um Ihre Entscheidung aufzuzeichnen.

      Hinweis Wenn Sie ab ONTAP 9.13.1 MAV zum Schutz Ihrer ARP-Einstellungen verwenden, werden Sie durch den Clear-Suspect-Vorgang aufgefordert, die Genehmigung eines oder mehrerer zusätzlicher Administratoren einzuholen. "Die Genehmigung muss von allen Administratoren eingeholt werden" Der MAV-Genehmigungsgruppe zugeordnet oder der Vorgang schlägt fehl.

      Mit dieser Aktion werden Warnmeldungen zu verdächtigen Dateien gelöscht. ARP setzt dann die normale Überwachung des Volume fort. Bei ONTAP 9.15.1 und früheren Versionen werden die ARP-Snapshots automatisch gelöscht, nachdem Sie vermutete Dateitypen gelöscht haben. Bei ARP/AI in ONTAP 9.16.1 und höher werden ARP-Snapshots nach einer durch den Kategorisierungsvorgang ausgelösten verkürzten Aufbewahrungsfrist automatisch gelöscht.

    Möglicher Angriff Durch Ransomware

    1. Reagieren Sie auf den Angriff und "Stellen Sie geschützte Daten wieder her".

    2. Wählen Sie Update und Suspect File Types löschen, um Ihre Entscheidung zu erfassen und die normale ARP-Überwachung fortzusetzen.

    Durch diese Aktion wird der Angriffsbericht gelöscht. Es gibt keine vermuteten Dateitypbenachrichtigungen, die gelöscht werden müssen, wenn Sie ein ganzes Volume wiederhergestellt haben. Bei ONTAP 9.15.1 und älteren Versionen werden die ARP-Snapshots nach der Wiederherstellung eines Volumes automatisch gelöscht. Bei ARP/AI in ONTAP 9.16.1 und höher werden ARP-Snapshots nach einer durch den Kategorisierungsvorgang ausgelösten verkürzten Aufbewahrungsfrist automatisch gelöscht.
Verwandte Informationen