Anwendungsfälle und Überlegungen zum autonomen Ransomware-Schutz in ONTAP
Änderungen vorschlagen
PDFs
Der autonome Ransomware-Schutz (ARP) ist für NAS-Workloads ab ONTAP 9.10.1 und für SAN-Workloads ab ONTAP 9.17.1 verfügbar. Vor der Implementierung von ARP sollten Sie sich über die empfohlenen Anwendungsfälle, die unterstützten Konfigurationen sowie die Auswirkungen auf die Systemleistung informieren. Stellen Sie außerdem sicher, dass die Workload Ihres Volumes für ARP geeignet ist und die erforderlichen Systemkonfigurationen erfüllt.
Geeignete Workloads
ARP eignet sich für folgende Arten von Arbeitslasten:
-
Datenbanken auf NFS oder SAN-Speicher
-
Windows oder Linux Home-Verzeichnisse
In Umgebungen ohne ARP/AI können Benutzer Dateien mit Erweiterungen erstellen, die während der Lernphase nicht erkannt werden. Daher besteht bei dieser Arbeitslast eine höhere Wahrscheinlichkeit für Fehlalarme.
-
Bilder und Videos
Zum Beispiel Gesundheitsdatensätze und Electronic Design Automation (EDA)-Daten
Ungeeignete Workloads
ARP ist für diese Arten von Arbeitslasten nicht geeignet:
-
Arbeitslasten mit einer hohen Frequenz von Datei-Erstellungs- oder -Löschvorgängen (Hunderttausende von Dateien in wenigen Sekunden; zum Beispiel Test-/Entwicklungsarbeitslasten).
-
Die Bedrohungserkennung von ARP beruht auf der Fähigkeit, einen ungewöhnlichen Anstieg von Datei-Erstellungs-, Umbenennungs- oder Löschvorgängen zu erkennen. Wenn die Anwendung selbst die Quelle der Dateiaktivität ist, kann sie nicht effektiv von Ransomware-Aktivität unterschieden werden.
-
Ab ONTAP 9.10.1 bis 9.15.1 NAS-Workloads auf Volumes mit mehr als 4.000 verschiedenen Dateierweiterungen.
Das ursprüngliche ARP-Modell kann bis zu 4.000 Dateierweiterungen pro Volume analysieren. Überschreitet die Anzahl der eindeutigen Dateierweiterungen auf einem Volume diese Grenze, kann ARP Ransomware-Aktivitäten nicht effizient erkennen und die Arbeitslast gilt als ungeeignet für ARP. Diese Beschränkung gilt nicht für ARP/AI ab ONTAP 9.16.1.
-
Workloads, bei denen die Anwendung oder der Host Daten verschlüsselt.
ARP basiert auf der Unterscheidung eingehender Daten als verschlüsselt oder unverschlüsselt. Wenn die Anwendung die Daten selbst verschlüsselt, ist die Effektivität der Funktion reduziert. ARP kann jedoch weiterhin anhand von Dateiaktivitäten (Löschen, Überschreiben oder Erstellen oder Erstellen oder Umbenennen mit neuer Dateiendung) und Dateityp arbeiten.
Unterstützte Konfigurationen
ARP unterstützt NAS- und SAN-Workloads über verschiedene ONTAP Versionen und Umgebungen hinweg. Überprüfen Sie die unterstützten Funktionen, um sicherzustellen, dass Ihre Umgebung und Konfiguration vor der Bereitstellung von ARP unterstützt werden.
Basisunterstützung
Die grundlegende ARP-Unterstützung beginnt in ONTAP 9.10.1 und umfasst NAS-Workloads (NFS und SMB) auf FlexVol Volumes und MetroCluster Konfigurationen.
Protokoll- und Hypervisor-Unterstützung nach ONTAP Version
Zusätzlich zur grundlegenden NAS-Unterstützung bieten spätere ONTAP-Versionen Unterstützung für die folgenden Protokolle und Umgebungen:
-
ONTAP 9.17.1 und höher: SAN-Blockgeräte-Workloads (Volumes mit LUNs oder NVMe-Namespaces) und NAS-Volumes mit virtuellen Festplatten von VMware
-
ONTAP 9.17.1P5 und höher: NAS-Volumes mit Hyper-V, KVM und OpenStack Hypervisoren
Matrix für Funktions- und Konfigurationsunterstützung
Unterstützung für andere Konfigurationen und Volumentypen ist in den folgenden ONTAP Versionen verfügbar:
| ONTAP 9.19.1 | ONTAP 9.18.1 | ONTAP 9.17.1 | ONTAP 9.16.1 | ONTAP 9.15.1 | ONTAP 9.14.1 | ONTAP 9.13.1 | ONTAP 9.12.1 | ONTAP 9.11.1 | ONTAP 9.10.1 | |
|---|---|---|---|---|---|---|---|---|---|---|
Volumes, die mit SnapMirror asynchron geschützt sind |
✓ |
✓ |
✓ |
✓ |
✓ |
✓ |
✓ |
✓ |
||
Mit SnapMirror synchron3 geschützte Volumes |
✓ |
|||||||||
Volumes geschützt mit SnapMirror active sync 3 |
✓ |
|||||||||
SVMs, die mit SnapMirror asynchron (SVM-Notfallwiederherstellung) geschützt sind |
✓ |
✓ |
✓ |
✓ |
✓ |
✓ |
✓ |
✓ |
||
SVM Datenmobilität ( |
✓ |
✓ |
✓ |
✓ |
✓ |
✓ |
✓ |
✓ |
||
FlexGroup Volumes1 |
✓ |
✓ |
✓ |
✓ |
✓ |
✓ |
✓ |
|||
Multi-Admin-Verifizierung |
✓ |
✓ |
✓ |
✓ |
✓ |
✓ |
✓ |
|||
ARP/AI mit automatischen Updates |
✓ |
✓ |
✓ |
✓ |
||||||
ARP/AI-Standardaktivierung2 |
✓ |
✓ |
1 ONTAP 9.16.1 und 9.17.1 bieten keine ARP/AI-Unterstützung für FlexGroup Volumes; ab ONTAP 9.18.1 verwenden FlexGroup Volumes das ARP/AI-Modell. Informationen zum Verhalten beim Upgrade auf diese Versionen finden Sie unter ARP-versionsspezifische Upgrade-Überlegungen.
2 Weitere Informationen zum Standardverhalten der ARP-Aktivierung nach dem Upgrade auf ONTAP 9.18.1 finden Sie unter ARP-versionsspezifische Upgrade-Überlegungen.
3 Ab ONTAP 9.19.1 unterstützt ARP/AI primäre Volumes in SnapMirror synchronen Beziehungen für NAS und SAN auf FAS, AFF A-Series, AFF C-Series und AFX Systemen sowie primäre Volumes in SnapMirror active sync SAN Beziehungen auf AFF A-Series, AFF C-Series und ASA r2 Systemen. Weitere Informationen finden sich unter [SnapMirror].
Interoperabilität und VM-Überlegungen
ARP arbeitet zusammen mit SnapMirror Datenschutzbeziehungen und virtuellen Maschinenumgebungen, mit einigen versionsspezifischen Verhaltensweisen und Einschränkungen, die Sie vor der Bereitstellung beachten sollten.
SnapMirror und ARP Interoperabilität
Ab ONTAP 9.12.1 wird ARP auf SnapMirror asynchronen Ziel-Volumes unterstützt.
Ab ONTAP 9.19.1 unterstützt ARP/AI primäre Volumes, die an SnapMirror synchronen und SnapMirror active sync SAN-Beziehungen teilnehmen, mit folgendem Verhalten:
-
ARP/AI wird auf primären Volumes in SnapMirror synchronen Beziehungen für NAS und SAN auf FAS, AFF A-Series, AFF C-Series und AFX-Systemen unterstützt.
-
ARP/AI wird auf primären Volumes in SnapMirror active sync SAN-Beziehungen auf AFF A-series, AFF C-series und ASA r2-Systemen unterstützt.
-
ARP/AI-Analysen laufen auf dem aktiven Lese-/Schreib-Volume in SnapMirror synchron und SnapMirror active sync SAN-Beziehungen. ARP erstellt Snapshots auf dem primären Volume und führt eine auf maschinellem Lernen basierende Ransomware-Erkennung durch.
-
ARP-Snapshots werden nicht auf das sekundäre Volume in SnapMirror synchronen oder SnapMirror active sync-Beziehungen repliziert. Es ist erforderlich, "ARP erneut aktivieren" nach einem Failover auf dem Wiederherstellungsvolume durchzuführen.
Wenn ein SnapMirror asynchrones Quellvolume ARP-fähig ist, übernimmt das SnapMirror Zielvolume automatisch den ARP-Konfigurationsstatus (wie dry-run oder enabled), ARP-Trainingsdaten und den von ARP erstellten Snapshot des Quellvolumes. Eine explizite Aktivierung ist nicht erforderlich.
Obwohl das asynchrone Zielvolume aus schreibgeschützten (RO) Snapshots besteht, findet keine ARP-Verarbeitung der Daten statt. Wenn das SnapMirror asynchrone Zielvolume jedoch in ein Lese-/Schreibvolume (RW) umgewandelt wird, wird ARP automatisch auf dem RW-konvertierten Zielvolume aktiviert. Das Zielvolume benötigt keine zusätzlichen Lernverfahren, abgesehen von dem, was bereits auf dem Quellvolume aufgezeichnet ist.
In ONTAP 9.10.1 und 9.11.1 werden bei SnapMirror der ARP-Konfigurationsstatus, die Trainingsdaten und die Snapshots nicht von Quell- auf Zielvolumes übertragen. Wenn das SnapMirror Zielvolume in den Lese-/Schreib-Modus umgewandelt wird, muss ARP auf dem Zielvolume nach der Umwandlung explizit im Lernmodus aktiviert werden.
ARP und virtuelle Maschinen
ARP wird für virtuelle Maschinen (VMs) auf VMware, Hyper-V, KVM und OpenStack unterstützt. VMware wird ab ONTAP 9.17.1 unterstützt, und Hyper-V, KVM und OpenStack werden ab ONTAP 9.17.1P5 unterstützt. Die ARP-Erkennung verhält sich unterschiedlich bei Änderungen innerhalb und außerhalb der VM. ARP wird nicht für Workloads empfohlen, die eine große Anzahl stark komprimierter Dateien (wie 7z und ZIP) oder verschlüsselter Dateien (wie passwortgeschützte PDF-, DOC- oder ZIP-Dateien) innerhalb der VM umfassen.
ARP kann Dateierweiterungsänderungen auf einem NFS-Volume außerhalb der VM erkennen, wenn eine neue Erweiterung im verschlüsselten Zustand auf das Volume gelangt oder wenn sich eine Dateierweiterung ändert.
Wenn ein Ransomware-Angriff Dateien innerhalb der VM verändert, ohne Änderungen außerhalb der VM vorzunehmen, erkennt ARP die Bedrohung, falls die Standardentropie der VM niedrig ist (zum Beispiel .txt, .docx oder .mp4 Dateien). Für ONTAP 9.16.1 und frühere Versionen erstellt ARP in diesem Szenario einen Schutz-Snapshot, generiert jedoch keine Bedrohungswarnung, da die Dateierweiterungen außerhalb der VM nicht manipuliert wurden. Ab ONTAP 9.17.1 mit SAN-Unterstützung generiert ARP zusätzlich eine Bedrohungswarnung, wenn eine Entropieanomalie innerhalb der VM erkannt wird.
Wenn die Dateien standardmäßig eine hohe Entropie aufweisen (z. B. .gzip-Dateien oder passwortgeschützte Dateien), sind die Erkennungsmöglichkeiten von ARP eingeschränkt. ARP kann in diesem Fall weiterhin proaktiv Snapshots erstellen; es werden jedoch keine Warnungen ausgelöst, solange die Dateierweiterungen nicht extern manipuliert wurden.
Für SAN analysiert ARP Entropie-Statistiken auf Volumenebene und löst Erkennungen aus, wenn eine Entropieanomalie festgestellt wird.
|
Die Erkennung von Angriffen innerhalb einer VM ist nur für FlexVol Volumes verfügbar und nicht verfügbar, wenn der VM-Datenspeicher auf einem FlexGroup Volume in ONTAP 9.18.1 und später konfiguriert ist. |
Nicht unterstützte Konfigurationen
ARP wird in ONTAP S3 Umgebungen nicht unterstützt.
ARP unterstützt die folgenden Volumenkonfigurationen nicht:
-
FlexGroup Volumes (in ONTAP 9.10.1 bis 9.12.1).
Von ONTAP 9.13.1 bis ONTAP 9.17.1 werden FlexGroup Volumes unterstützt, jedoch beschränkt auf das vor ARP/AI verwendete ARP-Modell. FlexGroup Volumes werden ab ONTAP 9.18.1 auch mit ARP/AI unterstützt. -
FlexCache Volumes (ARP wird auf Ursprungs FlexVol Volumes, aber nicht auf Cache Volumes unterstützt)
-
Offline Volumes
-
SnapLock Volumes
-
SnapMirror active sync in ONTAP 9.18.1 und früher
-
SnapMirror synchron in ONTAP 9.18.1 und früher
-
SnapMirror asynchron (in ONTAP 9.10.1 und 9.11.1). SnapMirror asynchron wird ab ONTAP 9.12.1 unterstützt. Weitere Informationen finden sich unter [SnapMirror].
-
Kaskadierte Konfigurationen von einem SnapMirror synchronen Zielvolume
-
Eingeschränkte Volumes
-
Root Volumes von Storage-VMs
-
Volumes gestoppter Storage-VMs
-
FlexVol zu FlexGroup Konvertierung (ARP muss vor der Konvertierung deaktiviert werden)
ARP-Leistung und Frequenzüberlegungen
ARP hat nur minimale Auswirkungen auf die Systemleistung, gemessen an Durchsatz und maximalen IOPS. Die Auswirkungen der ARP-Funktion hängen von der jeweiligen Volume-Arbeitslast ab. Für gängige Arbeitslasten werden die folgenden Konfigurationsgrenzen empfohlen:
| Arbeitsbelastungsmerkmale | Empfohlenes Volumenlimit pro Knoten | Leistungsverschlechterung bei Überschreitung des Volumenlimits pro Knoten 1 |
|---|---|---|
Leseintensive oder die Daten können komprimiert werden |
150 |
4 % der maximalen IOPS |
Schreibintensiv und die Daten können nicht komprimiert werden |
60 |
|
1 Die Systemleistung wird unabhängig von der Anzahl der über die empfohlenen Grenzwerte hinaus hinzugefügten Volumes nicht über diese Prozentsätze hinaus beeinträchtigt.
Da die ARP-Analysen in einer priorisierten Reihenfolge ausgeführt werden, werden die Analysen auf jedem Volume seltener ausgeführt, je mehr geschützte Volumes vorhanden sind.
|
|
Die standardmäßige Aktivierung von ARP auf einer großen Anzahl neuer Volumes kann die Systemressourcennutzung erhöhen. Berücksichtigen Sie den Speicherplatzbedarf konkurrierender Prozesse wie Snapshots, wenn Sie ARP auf Volumes aktivieren. |
Volumenbeschränkungen für ARP nach Plattform
Ab ONTAP 9.18.1 unterstützt ARP erhöhte Volume-Limits basierend auf Plattformtyp und CPU-Kernanzahl.
| Plattformtyp | Maximale Anzahl ARP-fähiger Volumes pro Knoten |
|---|---|
Low-end (Systeme mit bis zu 20 CPU-Kernen) |
250 |
Mittel (Systeme mit bis zu 64 CPU-Kernen) |
500 |
High-end (Systeme mit mehr als 64 CPU-Kernen) |
1000 |
|
|
Die Angabe zur Anzahl der CPU-Kerne bezieht sich auf jeden einzelnen Knoten in einem 2-Node-HA-Paar. |
Multi-Admin-Verifizierung mit durch ARP geschützten Volumes
Ab ONTAP 9.13.1 kann die Multi-Admin-Verifizierung (MAV) für zusätzliche Sicherheit mit ARP aktiviert werden. MAV stellt sicher, dass mindestens zwei oder mehr authentifizierte Administratoren erforderlich sind, um ARP zu deaktivieren, ARP anzuhalten oder einen vermuteten Angriff auf einem geschützten Volume als Fehlalarm zu kennzeichnen. Informationen dazu, wie "MAV für ARP-geschützte Volumes aktivieren".
Sie müssen Administratoren für eine MAV-Gruppe definieren und MAV-Regeln für die security anti-ransomware volume disable, security anti-ransomware volume pause und security anti-ransomware volume attack clear-suspect ARP-Befehle erstellen, die Sie schützen möchten. Jeder Administrator in der MAV-Gruppe muss jede neue Regelanfrage und "Die MAV-Regel erneut hinzufügen" innerhalb der MAV-Einstellungen genehmigen.
Weitere Informationen zu security anti-ransomware volume disable, security anti-ransomware volume pause und security anti-ransomware volume attack clear-suspect in der "ONTAP-Befehlsreferenz".
Ab ONTAP 9.14.1 bietet ARP Warnmeldungen für die Erstellung eines ARP-Snapshots und für das Erkennen einer neuen Dateierweiterung. Warnmeldungen für diese Ereignisse sind standardmäßig deaktiviert. Warnmeldungen können auf Volume- oder SVM-Ebene festgelegt werden. Die Warnmeldungen lassen sich mit security anti-ransomware vserver event-log modify oder auf Volume-Ebene mit security anti-ransomware volume event-log modify aktivieren.
Weitere Informationen zu security anti-ransomware vserver event-log modify und security anti-ransomware volume event-log modify finden sich in der "ONTAP-Befehlsreferenz".
ARP-versionsspezifische Upgrade-Überlegungen
Beim Upgrade von ONTAP Clustern, die bereits ARP verwenden, sollten Sie sich neben "ONTAP Besondere Überlegungen, die Sie klären müssen" auch der ARP-spezifischen Verhaltensänderungen bewusst sein, die sich aus einem Upgrade ergeben.
Standardmäßige ARP-Aktivierung nach dem Upgrade auf ONTAP 9.18.1
Ab ONTAP 9.18.1 ist das standardmäßige Aktivierungsverhalten von ARP/AI für AFF A-Series und AFF C-Series, ASA und ASA r2-Systeme verfügbar. Nach einem Upgrade wird ARP/AI nach einer 12-stündigen Übergangsfrist automatisch auf allen neuen Volumes aktiviert. Sie müssen "ARP manuell aktivieren" auf bestehenden Volumes durchführen.
FlexGroup volumes nach dem Upgrade
ONTAP 9.16.1 und 9.17.1 bieten keine ARP/AI-Unterstützung für FlexGroup Volumes. Nach einem Upgrade auf diese Versionen arbeiten FlexGroup Volumes, für die ARP aktiviert ist, weiterhin mit demselben ARP-Modell wie vor ARP/AI. Ab ONTAP 9.18.1 verwenden FlexGroup Volumes das ARP/AI-Modell.