Unterstützte Konfigurationen für ONTAP Autonomous Ransomware Protection mit KI
Änderungen vorschlagen
PDFs
Autonomous Ransomware Protection mit KI (ARP/AI) ist für NAS (ab ONTAP 9.16.1) und SAN (ab ONTAP 9.17.1) Workloads verfügbar. Vor der Bereitstellung von ARP/AI sollten die unterstützten Konfigurationen und Anwendungsfälle geprüft und bestätigt werden, dass die Umgebung die Anforderungen erfüllt.
|
Wenn Sie ONTAP 9.15.1 oder eine frühere Version verwenden, siehe "Unterstützte Konfigurationen für ARP". |
Geeignete Workloads
ARP/AI eignet sich für folgende Arten von Arbeitslasten:
-
Datenbanken auf NFS oder SAN-Speicher
-
Windows oder Linux Home-Verzeichnisse
-
Bilder und Videos (zum Beispiel Krankenakten und Electronic Design Automation (EDA)-Daten)
-
SAN-Workloads auf Volumes mit LUNs oder NVMe Namespaces (ONTAP 9.17.1 und höher)
-
Workloads virtueller Maschinen auf VMware, Hyper-V, KVM und OpenStack (ONTAP 9.17.1 und höher)
Ungeeignete Workloads
ARP/AI ist für diese Art von Arbeitslasten nicht geeignet:
-
Arbeitslasten mit einer hohen Frequenz von Datei-Erstellungs- oder -Löschvorgängen (Hunderttausende von Dateien in wenigen Sekunden, zum Beispiel Test-/Entwicklungsarbeitslasten).
Die Bedrohungserkennung von ARP/AI hängt von der Fähigkeit ab, einen ungewöhnlichen Anstieg bei Datei-Erstellungs-, Umbenennungs- oder Löschvorgängen zu erkennen. Wenn die Anwendung selbst die Quelle der Dateiaktivität ist, kann sie nicht wirksam von Ransomware-Aktivität unterschieden werden.
-
Workloads, bei denen die Anwendung oder der Host Daten verschlüsselt.
ARP/AI basiert auf der Unterscheidung eingehender Daten als verschlüsselt oder unverschlüsselt. Wenn die Anwendung selbst die Daten verschlüsselt, wird die Effektivität dieser Funktion reduziert. ARP/AI kann jedoch weiterhin auf Grundlage von Dateiaktivitäten (Löschen, Überschreiben oder Erstellen oder ein Erstellen oder Umbenennen mit neuer Dateiendung) und dem Dateityp arbeiten.
-
Workloads innerhalb von VMs, die eine große Anzahl hochkomprimierter oder verschlüsselter Dateien beinhalten (wie 7z, ZIP oder passwortgeschützte PDF oder DOC Dateien).
Unterstützte Konfigurationen
ARP/AI unterstützt NAS- und SAN-Workloads über verschiedene ONTAP Versionen und Umgebungen hinweg. Die unterstützten Funktionen sollten überprüft werden, um zu bestätigen, dass Ihre Umgebung vor der Bereitstellung von ARP/AI unterstützt wird.
Basisunterstützung
Die ARP/AI-Unterstützung beginnt in ONTAP 9.16.1 und umfasst NAS-Workloads (NFS und SMB) auf FlexVol Volumes und MetroCluster Konfigurationen, ohne dass eine Lernphase erforderlich ist.
Protokoll- und Hypervisor-Unterstützung nach ONTAP Version
-
ONTAP 9.17.1 und höher: SAN Block-Device-Workloads (Volumes mit LUNs oder NVMe-Namespaces) und NAS-Volumes mit VMware Virtual Disks.
-
ONTAP 9.17.1P5 und höher: NAS-Volumes mit Hyper-V, KVM und OpenStack Hypervisoren.
Matrix für Funktions- und Konfigurationsunterstützung
Unterstützung für zusätzliche Konfigurationen und Volumentypen ist in den folgenden ONTAP Versionen verfügbar:
| ONTAP 9.19.1 | ONTAP 9.18.1 | ONTAP 9.17.1 | ONTAP 9.16.1 | |
|---|---|---|---|---|
Volumes, die mit SnapMirror asynchron geschützt sind |
✓ |
✓ |
✓ |
✓ |
Mit SnapMirror synchron1 geschützte Volumes |
✓ |
|||
Mit SnapMirror active sync geschützte Volumes 1 |
✓ |
|||
SVMs, die mit SnapMirror asynchron (SVM-Notfallwiederherstellung) geschützt sind |
✓ |
✓ |
✓ |
✓ |
SVM Datenmobilität ( |
✓ |
✓ |
✓ |
✓ |
FlexGroup Volumes |
✓ |
✓ |
✓ 2 |
✓ 2 |
Multi-Admin-Verifizierung |
✓ |
✓ |
✓ |
✓ |
Standardmäßige Aktivierung von ARP/AI |
✓ |
✓ |
1 Ab ONTAP 9.19.1 unterstützt ARP/AI primäre Volumes in SnapMirror synchronen Beziehungen für NAS und SAN auf FAS, AFF A-Series, AFF C-Series und AFX Systemen sowie primäre Volumes in SnapMirror active sync SAN Beziehungen auf AFF A-Series, AFF C-Series und ASA r2 Systemen. Weitere Informationen sind unter [SnapMirror] zu finden.
2 ONTAP 9.16.1 und 9.17.1 FlexGroup Volumes verwenden das ARP-Modell vor ARP/AI, vollständige ARP/AI-Unterstützung für FlexGroup Volumes beginnt in ONTAP 9.18.1.
SnapMirror und ARP/AI Interoperabilität
Ab ONTAP 9.12.1 wird ARP auf SnapMirror asynchronen Ziel-Volumes unterstützt.
Ab ONTAP 9.19.1 unterstützt ARP/AI primäre Volumes, die an SnapMirror synchronen und SnapMirror active sync SAN-Beziehungen teilnehmen, mit folgendem Verhalten:
-
ARP/AI wird auf primären Volumes in SnapMirror synchronen Beziehungen für NAS und SAN auf FAS, AFF A-Series, AFF C-Series und AFX-Systemen unterstützt.
-
ARP/AI wird auf primären Volumes in SnapMirror active sync SAN-Beziehungen auf AFF A-series, AFF C-series und ASA r2-Systemen unterstützt.
-
ARP/AI-Analysen laufen nur auf dem aktiven, schreib- und lesefähigen primären Volume in SnapMirror synchron und SnapMirror active sync SAN-Beziehungen.
-
ARP/AI-Snapshots werden nicht auf das sekundäre Volume in SnapMirror synchronen oder SnapMirror active sync-Beziehungen repliziert. Nach einem Failover ist "ARP/AI wieder aktivieren" auf dem Wiederherstellungsvolume erforderlich.
|
|
Da jeder Schreibvorgang auf beide Volumes in einer synchronen Spiegelbeziehung geschrieben wird, reicht es aus, ARP/AI nur auf dem primären Volume zu aktivieren, um Anomalien zu erkennen. Die von der ARP/AI-Analyse auf dem primären Volume generierten internen Metadaten werden auf das sekundäre Volume repliziert. Aus diesem Grund sind die erforderlichen Metadaten bereits vorhanden, wenn ARP/AI nach einem Failover auf dem sekundären Volume aktiviert wird. |
Wenn ein SnapMirror asynchrones Quellvolume ARP/AI-fähig ist, übernimmt das SnapMirror Zielvolume automatisch den ARP/AI-Konfigurationsstatus (wie enabled), die ARP/AI-Sicherheitsdaten und die von ARP/AI erstellten Snapshots des Quellvolumes. Eine explizite Aktivierung ist nicht erforderlich.
Obwohl das asynchrone Zielvolume aus schreibgeschützten (RO) Snapshots besteht, findet keine ARP/AI-Verarbeitung der Daten statt. Wird das SnapMirror asynchrone Zielvolume jedoch in ein Lese-/Schreibvolume (RW) umgewandelt, ist ARP/AI auf dem RW-konvertierten Zielvolume automatisch aktiviert.
ARP/AI und virtuelle Maschinen
ARP/AI unterstützt virtuelle Maschinen (VMs) auf VMware, Hyper-V, KVM und OpenStack. VMware-Unterstützung beginnt mit ONTAP 9.17.1; Hyper-V-, KVM- und OpenStack-Unterstützung beginnt mit ONTAP 9.17.1P5. Die ARP/AI-Erkennung verhält sich unterschiedlich bei Änderungen innerhalb und außerhalb der VM. ARP/AI wird nicht für Workloads empfohlen, die eine große Anzahl stark komprimierter Dateien (wie 7z und ZIP) oder verschlüsselter Dateien (wie passwortgeschützte PDF-, DOC- oder ZIP-Dateien) innerhalb der VM umfassen.
ARP/AI kann Dateierweiterungsänderungen auf einem NFS-Volume außerhalb der VM erkennen, wenn eine neue Erweiterung im verschlüsselten Zustand auf das Volume gelangt oder wenn sich eine Dateierweiterung ändert.
Wenn ein Ransomware-Angriff Dateien innerhalb der VM verändert, ohne Änderungen außerhalb der VM vorzunehmen, erkennt ARP/AI die Bedrohung, falls die Standardentropie der VM niedrig ist (z. B. .txt, .docx oder .mp4 Dateien). Ab ONTAP 9.17.1 mit SAN-Unterstützung generiert ARP/AI zusätzlich eine Bedrohungswarnung, wenn eine Entropieanomalie innerhalb der VM erkannt wird.
Wenn die Dateien standardmäßig eine hohe Entropie aufweisen (z. B. .gzip-Dateien oder passwortgeschützte Dateien), sind die Erkennungsfähigkeiten von ARP/AI eingeschränkt. ARP/AI kann in diesem Fall weiterhin proaktiv Snapshots erstellen; es werden jedoch keine Warnungen ausgelöst, wenn die Dateierweiterungen nicht extern manipuliert wurden.
|
|
Die Erkennung von Angriffen innerhalb einer VM ist nur für FlexVol Volumes verfügbar und nicht verfügbar, wenn der VM-Datenspeicher auf einem FlexGroup Volume in ONTAP 9.18.1 und später konfiguriert ist. |
Nicht unterstützte Konfigurationen
ARP/AI wird in ONTAP S3 Umgebungen nicht unterstützt.
ARP/AI unterstützt die folgenden Volumenkonfigurationen nicht:
-
FlexGroup Volumes mit ONTAP 9.16.1 und 9.17.1 (FlexGroup Volumes verwenden in diesen Versionen das ältere ARP-Modell; ARP/AI-Unterstützung für FlexGroup Volumes beginnt in ONTAP 9.18.1)
-
FlexCache Volumes (ARP/AI wird auf Ursprungs-FlexVol Volumes, aber nicht auf Cache Volumes unterstützt)
-
Offline Volumes
-
SnapLock Volumes
-
SnapMirror active sync in ONTAP 9.18.1 und früher
-
SnapMirror synchron in ONTAP 9.18.1 und früher
-
Kaskadierte Konfigurationen von einem SnapMirror synchronen Zielvolume
-
Eingeschränkte Volumes
-
Root Volumes von Storage-VMs
-
Volumes gestoppter Storage-VMs
-
FlexVol zu FlexGroup Konvertierung (ARP/AI muss vor der Konvertierung deaktiviert werden)
ARP/AI-Leistung und Frequenzüberlegungen
ARP/AI hat nur minimale Auswirkungen auf die Systemleistung, gemessen an Durchsatz und maximaler IOPS. Die Auswirkungen hängen von der jeweiligen Volume-Arbeitslast ab. Für gängige Arbeitslasten werden die folgenden Konfigurationsgrenzen empfohlen:
| Arbeitsbelastungsmerkmale | Empfohlenes Volumenlimit pro Knoten | Leistungsverschlechterung bei Überschreitung des Volumenlimits pro Knoten 1 |
|---|---|---|
Leseintensive oder die Daten können komprimiert werden |
150 |
4 % der maximalen IOPS |
Schreibintensiv und die Daten können nicht komprimiert werden |
60 |
|
1 Die Systemleistung wird unabhängig von der Anzahl der über die empfohlenen Grenzwerte hinaus hinzugefügten Volumes nicht über diese Prozentsätze hinaus beeinträchtigt.
|
|
Die standardmäßige Aktivierung von ARP/AI auf einer großen Anzahl neuer Volumes kann die Systemressourcennutzung erhöhen. Beim Aktivieren von ARP/AI auf Volumes sind die Speicherplatzanforderungen konkurrierender Prozesse wie Snapshots zu berücksichtigen. |
Ab ONTAP 9.18.1 unterstützt ARP/AI erhöhte Volumenbegrenzungen basierend auf Plattformtyp und CPU-Kernanzahl:
| Plattformtyp | Maximale Anzahl ARP/AI-fähiger Volumes pro Knoten |
|---|---|
Low-end (Systeme mit bis zu 20 CPU-Kernen) |
250 |
Mittel (Systeme mit bis zu 64 CPU-Kernen) |
750 |
High-end (Systeme mit mehr als 64 CPU-Kernen) |
1000 |
|
|
Die Angabe zur Anzahl der CPU-Kerne bezieht sich auf jeden einzelnen Knoten in einem 2-Node-HA-Paar. |
Upgrade-Überlegungen für bestehende Cluster
|
|
Wenn ein neues ONTAP 9.18.1 oder neuer Cluster bereitgestellt wird, ist ARP/AI auf neuen Volumes standardmäßig automatisch aktiviert. Siehe "Informationen zu ARP/KI". |
Beim Upgrade auf ONTAP 9.18.1 oder höher auf AFF A-Series, AFF C-Series, ASA oder ASA r2 Systemen wird ARP/AI nach einer 12-stündigen Übergangsphase standardmäßig automatisch für neue Volumes aktiviert. Während der Übergangsphase ist es möglich, "Automatische Aktivierung ablehnen". Bestehende Volumes bleiben unverändert; "ARP/AI manuell aktivieren" muss für bestehende Volumes durchgeführt werden.
Für FlexGroup Volumes, die von ONTAP 9.17.1 oder früher auf ONTAP 9.18.1 aktualisiert wurden, wird ARP/AI automatisch verfügbar und Volumes im Lernmodus werden in den aktiven Modus überführt.
Multi-Admin-Verifizierung mit ARP/AI-geschützten Volumes
Ab ONTAP 9.13.1 kann die Multi-Admin-Verifizierung (MAV) für zusätzliche Sicherheit mit ARP/AI aktiviert werden. MAV stellt sicher, dass mindestens zwei oder mehr authentifizierte Administratoren erforderlich sind, um ARP/AI zu deaktivieren, ARP/AI anzuhalten oder einen vermuteten Angriff auf einem geschützten Volume als Fehlalarm zu kennzeichnen. Informationen dazu, wie "MAV für ARP/AI-geschützte Volumes aktivieren".
Sie müssen Administratoren für eine MAV-Gruppe definieren und MAV-Regeln für die security anti-ransomware volume disable, security anti-ransomware volume pause und security anti-ransomware volume attack clear-suspect Befehle erstellen, die Sie schützen möchten.
Weitere Informationen zu security anti-ransomware volume disable, security anti-ransomware volume pause und security anti-ransomware volume attack clear-suspect in der "ONTAP-Befehlsreferenz".