Skip to main content
Die deutsche Sprachversion wurde als Serviceleistung für Sie durch maschinelle Übersetzung erstellt. Bei eventuellen Unstimmigkeiten hat die englische Sprachversion Vorrang.

Auf von ONTAP ARP/AI erkannte abnormale Aktivitäten reagieren

Beitragende netapp-dbagwell
Änderungen vorschlagen
PDFs

Wenn der autonome Ransomware-Schutz mit KI (ARP/AI) ungewöhnliche Aktivitäten in einem geschützten Volume erkennt (ONTAP 9.16.1 und höher), wird eine Warnung ausgegeben. Die Benachrichtigung sollte bewertet und entweder als Fehlalarm oder als potenzieller Ransomware-Angriff eingestuft werden. Nachdem die Aktivität kategorisiert wurde, speichert ARP/AI die Bewertung, passt das Bedrohungsprofil an und setzt die normale Überwachung fort.

Hinweis Wenn Sie ONTAP 9.15.1 oder eine frühere Version verwenden, siehe "Auf von ARP erkannte abnormale Aktivität reagieren".

Wenn ein Angriff kategorisiert wird, werden ARP/AI Snapshots für einen durch den Kategorisierungsvorgang initiierten verkürzten Zeitraum aufbewahrt:

  • ONTAP 9.17.1 und höher: 7 Tage bei bestätigten Angriffen, 24 Stunden bei Fehlalarmen.

  • ONTAP 9.16.1 und früher: 5 Tage für bestätigte Angriffe, 48 Stunden für Fehlalarme.

Hinweis Sie können diese "Aufbewahrungseinstellungen" für ARP/AI Snapshots anpassen.
Über diese Aufgabe

Bei NAS-Volumes zeigt ARP/AI eine Liste verdächtiger Dateien an, wenn eine Kombination aus hoher Datenentropie, ungewöhnlicher Volume-Aktivität mit Datenverschlüsselung und ungewöhnlichen Dateierweiterungen erkannt wird.

Ab ONTAP 9.17.1:

  • Für NAS-Volumes: ARP/AI stellt weiterhin verdächtige Dateien und Dateitypen bereit.

  • Für SAN Volumes (Volumes, die LUNs oder NVMe Namespaces enthalten): ARP/AI bewertet die Entropie nur auf Volume-Ebene. ONTAP sieht keine einzelnen Dateien innerhalb der LUN oder des Namespace, daher sind Listen verdächtiger Dateien und Dateitypen nicht verfügbar. Stattdessen meldet ARP/AI Volumenebene-Spitzen im Verschlüsselungsprozentsatz (Entropiespitzen).

Einzelheiten zu Entropiespitzen sowohl für NAS- als auch für SAN-Volumes werden auf der Anti-Ransomware-Seite im System Manager angezeigt.

Obwohl der autonome Ransomware-Schutz die Erkennung und Erstellung von Snapshots automatisiert, erfordert die endgültige Feststellung, ob eine Datei oder ein Ereignis tatsächlich schädlich ist, eine manuelle Untersuchung. Der autonome Ransomware-Schutz kann nicht mit Sicherheit feststellen, ob es sich bei einem Ereignis um einen echten Ransomware-Angriff handelt. Verdächtige Aktivitäten werden gekennzeichnet, jedoch ist eine Untersuchung und Bestätigung erforderlich, ob es sich tatsächlich um Ransomware oder einen Fehlalarm (harmlose Aktivität) handelt.

"Es wird festgestellt, ob eine Datei oder ein Ereignis tatsächlich schädlich ist.".

Wenn eine ARP/AI-Warnmeldung ausgegeben wird, kann die Aktivität auf eine von zwei Arten gekennzeichnet werden:

  • Falsch positiv: Der identifizierte Dateityp oder der Entropieanstieg ist in Ihrer Arbeitslast zu erwarten und kann ignoriert werden.

  • Potenzieller Ransomware-Angriff: Der identifizierte Dateityp oder der Entropieanstieg ist in Ihrer Arbeitslast unerwartet und sollte als potenzieller Angriff behandelt werden.

Die normale Überwachung wird wieder aufgenommen, nachdem Sie Ihre Entscheidung aktualisiert und die ARP/AI-Benachrichtigungen gelöscht haben. ARP/AI speichert Ihre Bewertung im Bedrohungsanalyseprofil und verwendet Ihre Auswahl zur Überwachung nachfolgender Dateiaktivitäten.

Im Falle eines vermuteten Angriffs ist festzustellen, ob es sich tatsächlich um einen Angriff handelt, gegebenenfalls darauf zu reagieren und anschließend Benachrichtigungen zu löschen sowie Daten wiederherzustellen. "Weitere Informationen zur Wiederherstellung nach einem Ransomware-Angriff".

Bevor Sie beginnen

ARP/AI muss ein Volume aktiv schützen und darf sich bei SAN-Volumes nicht im Auswertungsmodus befinden.

Schritte

Gehen Sie wie folgt vor, wenn Sie abnormale Aktivitäten klassifizieren müssen:

  1. Details zu abnormalen Aktivitäten prüfen

  2. Snapshot-Verhalten beim Löschen eines vermuteten Ereignisses

  3. Führen Sie einen der folgenden Schritte aus:

Falls eine Wiederherstellung von Daten erforderlich ist, sind die Schritte in "Daten nach einem Ransomware-Angriff wiederherstellen" zu beachten.

Details zu abnormalen Aktivitäten prüfen

Sie können den System Manager oder die ONTAP CLI verwenden, um die ARP/AI-Warnungsdetails zu überprüfen, bevor ein Antwortablauf ausgewählt wird.

System Manager

  1. Wenn Sie eine Benachrichtigung über „ungewöhnliche Aktivitäten“ erhalten, folgen Sie dem Link. Alternativ navigieren Sie zu Speicher > Volumes, suchen ein betroffenes Volume und wählen die Registerkarte Sicherheit aus.

    Warnungen werden im System Manager-Dashboard im Bereich Übersicht des Menüs Ereignisse angezeigt.

  2. Überprüfen Sie im Tab Sicherheit die Details zu den ungewöhnlichen Aktivitäten:

    • Für NAS-Volumes steht der Bericht Verdächtige Dateitypen zur Verfügung. Ein Dialogfeld Verdächtige Dateitypen zeigt die von ARP/AI identifizierten Dateierweiterungen und Dateianzahlen an.

    • Prüfen Sie für NAS- und SAN-Volumes den Entropiespitzenbericht, der das Zeitfenster, die Dauer, die Menge der geschriebenen Daten und die Entropiewerte anzeigt.

CLI

  1. Wenn eine Benachrichtigung über einen vermuteten Ransomware-Angriff eingeht, sollten Zeitpunkt und Schweregrad des Angriffs überprüft werden:

    security anti-ransomware volume show -vserver <svm_name> -volume <vol_name>

    Beispielausgabe:

    Vserver Name: vs0
Volume Name: vol1
State: enabled
Attack Probability: moderate
Attack Timeline: 5/12/2025 01:03:23
Number of Attacks: 1
Attack Detected By: encryption_percentage_analysis

    Sie können auch EMS-Nachrichten überprüfen:

    event log show -message-name callhome.arw.activity.seen

  2. (Optional, NAS und SAN) Kürzlich erkannte Entropiespitzen auf dem Volume anzeigen:

    security anti-ransomware volume entropy-stat show-recent-high-encryption-stat -vserver <svm_name> -volume <vol_name>

  3. (Optional) Histogramm des Verschlüsselungsprozentsatzes im Zeitverlauf anzeigen:

    security anti-ransomware volume entropy-stat show-encryption-percentage-histogram -vserver <svm_name> -volume <vol_name>

Snapshot-Verhalten beim Löschen eines vermuteten Ereignisses

  • Für volume snapshot restore ONTAP 9.16.1 und höher sollte zuerst das verdächtige Ereignis gelöscht und anschließend die Wiederherstellung durchgeführt werden. Nach dem Löschen verdächtiger Dateien bleiben ARP/AI-Snapshots entsprechend der Kategorisierung der Aktivität erhalten: 7 Tage (standardmäßig), wenn die Aktivität als potenzieller Ransomware-Angriff markiert wird, oder 24 Stunden, wenn sie als Fehlalarm markiert wird. Das vorherige Löschen entfernt das Wiederherstellungsziel nicht. Zudem ist die Option clear-suspect nach einer Volume-Wiederherstellung nicht mehr verfügbar, daher muss das Löschen vor der Wiederherstellung erfolgen.

  • Bei Wiederherstellungsmethoden außer volume snapshot restore (zum Beispiel FlexClone oder Einzeldatei SnapRestore), führen Sie zuerst die Datenwiederherstellung durch und löschen Sie anschließend das verdächtige Ereignis. Diese Methoden beeinträchtigen die Verfügbarkeit der Option „Verdächtiges Ereignis löschen“ nicht.

  • Ab ONTAP 9.13.1 kann bei Verwendung von MAV zum Schutz der ARP/AI-Einstellungen der clear-suspect-Vorgang zusätzliche Genehmigungen erfordern. "Die Zustimmung aller Administratoren muss eingeholt werden." müssen der MAV-Genehmigungsgruppe zugeordnet sein, sonst schlägt der Vorgang fehl.

Als falsch positiv einstufen und Überwachung fortsetzen

Verwenden Sie diesen Ablauf, wenn der identifizierte Dateityp oder der Entropieanstieg für die Arbeitslast erwartet wird.

System Manager

  1. Notieren Sie Ihre Antwort:

    • Bei NAS-Dateitypwarnungen wählen Sie die betroffenen Dateien aus, wählen Sie Als falsch positiv markieren und dann Verdächtige Dateitypen aktualisieren und löschen.

    • Bei Entropiespitzen (NAS und SAN) wählen Sie Als falsch positiv markieren und dann Speichern und verwerfen.

Diese Maßnahmen beseitigen Warnmeldungen zu verdächtigen Dateien (NAS) oder ungewöhnlicher Aktivität (NAS und SAN). Anschließend setzt ARP/AI die normale Überwachung des Volumes fort.

CLI

  1. Führen Sie einen der folgenden Befehle aus, um Ihre Entscheidung zu protokollieren und die normale ARP/AI-Überwachung fortzusetzen:

    • Für NAS-Dateierweiterungen:

      security anti-ransomware volume attack clear-suspect -vserver <svm_name> -volume <vol_name> [<extension_identifiers>] -false-positive true

      Verwenden Sie den folgenden optionalen Parameter, um nur bestimmte Erweiterungen als falsch positive Ergebnisse zu kennzeichnen: [-extension <text>, …​ ]

    • Bei Entropiespitzen (NAS und SAN):

      security anti-ransomware volume attack clear-suspect -vserver <svm_name> -volume <vol_name> -start-time <MM/DD/YYYY HH:MM:SS> -end-time <MM/DD/YYYY HH:MM:SS> -false-positive true

      Für SAN-Volumes ist dies die einzige unterstützte Methode zur Kategorisierung abnormaler Aktivitäten; es gibt keine Listen verdächtiger Dateien oder Dateierweiterungen.

  2. Ab ONTAP 9.18.1 können Sie den Status des clear-suspect Vorgangs ermitteln:

    security anti-ransomware volume show -clear-suspect-status -volume <vol_name> -vserver <svm_name>

Als potenziellen Ransomware-Angriff einstufen und Daten wiederherstellen

Verwenden Sie diesen Ablauf, wenn der ermittelte Dateityp oder der Entropieanstieg für die Arbeitslast unerwartet ist.

System Manager

  1. Klassifizieren Sie die Aktivität:

    • Bei Warnungen zu NAS-Dateitypen markiere ausgewählte Dateien als Potenzieller Ransomware-Angriff.

    • Bei Entropiespitzen (NAS und SAN) wählen Sie Als potenziellen Ransomware-Angriff markieren.

  2. Bevor Sie Daten wiederherstellen, sollten Sie Ihre "Optionen für Wiederherstellungsmethoden" Sicherheitsvorkehrungen beachten. Anschließend ist eine der folgenden Optionen möglich:

    • Zum Wiederherstellen eines Volumes: Zuerst die Benachrichtigungen löschen, dann das Volume wiederherstellen:

      1. Klare Hinweise auf den potenziellen Angriff:

        • Bei NAS-Dateitypwarnungen wählen Sie Aktualisieren und Verdächtige Dateitypen löschen.

        • Bei Entropiespitzen (NAS und SAN) wählen Sie Speichern und schließen.

          Hinweis Nachdem Sie verdächtige Dateien gelöscht haben, wird der ARP/AI Snapshot standardmäßig 7 Tage lang aufbewahrt. Wenn mehr Zeit für die Datenwiederherstellung benötigt wird, "ARP/AI Snapshot-Einstellungen anpassen" kann die Aufbewahrungsdauer des Snapshots verlängert werden. Nachdem die Datenwiederherstellung abgeschlossen ist, kann die Aufbewahrungsdauer wieder verkürzt werden.

      2. Daten mit "der aktuellste ARP/AI Snapshot oder ein früherer Snapshot" wiederherstellen.

    • Falls Sie eine andere Wiederherstellungsmethode verwenden möchten: Stellen Sie zuerst die Daten wieder her und löschen Sie dann die Benachrichtigungen:

      1. "Stellen Sie Daten mithilfe von FlexClone oder Einzeldatei-SnapRestore wieder her".

      2. Die Kategorisierung nach der Datenwiederherstellung abschließen, damit die normale ARP/AI-Überwachung fortgesetzt werden kann:

        • Bei NAS-Dateitypwarnungen wählen Sie Aktualisieren und Verdächtige Dateitypen löschen.

        • Bei Entropiespitzen (NAS und SAN) wählen Sie Speichern und schließen.

          Hinweis Durch das Protokollieren Ihrer Entscheidung wird der Angriffsbericht gelöscht.
CLI

  1. (Nur NAS-Volumes) Erstellen Sie einen Angriffsbericht:

    1. Generieren Sie einen Angriffsbericht und geben Sie an, wo dieser gespeichert werden soll.

      security anti-ransomware volume attack generate-report -vserver <svm_name> -volume <vol_name> -dest-path <[svm_name]:[junction_path/sub_dir_name]>

  2. Das verdächtige Ereignis vor der Wiederherstellung (für volume snapshot restore) beseitigen. Den Angriff als potenzielle Ransomware (-false-positive false markieren und verdächtige Dateien löschen, um die Sperre aufzuheben:

    • Für NAS-Dateierweiterungen:

      security anti-ransomware volume attack clear-suspect -vserver <svm_name> -volume <vol_name> [<extension_identifiers>] -false-positive false

    • Bei Entropiespitzen (NAS und SAN):

      security anti-ransomware volume attack clear-suspect -vserver <svm_name> -volume <vol_name> -start-time <MM/DD/YYYY HH:MM:SS> -end-time <MM/DD/YYYY HH:MM:SS> -false-positive false

  3. Weiter zu "Daten wiederherstellen".