Skip to main content
NetApp Ransomware Resilience
Se proporciona el idioma español mediante traducción automática para su comodidad. En caso de alguna inconsistencia, el inglés precede al español.

Entiende el soporte de SIEM en NetApp Ransomware Resilience

Colaboradores netapp-ahibbard
PDF

NetApp Ransomware Resilience admite integraciones nativas con múltiples sistemas de gestión de información y eventos de seguridad (SIEM), así como integraciones personalizadas a través de webhook. Al conectar un sistema SIEM a Ransomware Resilience, puedes enviar automáticamente datos de eventos para el análisis y la detección de amenazas, con el fin de optimizar la protección contra el ransomware y la gestión de eventos.

Ransomware Resilience ofrece compatibilidad nativa con los siguientes sistemas SIEM:

Consejo Ransomware Resilience también proporciona "libros de jugadas de orquestación, automatización y respuesta (SOAR) de seguridad".

Datos de eventos enviados a un SIEM

Ransomware Resilience puede enviar los siguientes datos de eventos a su sistema SIEM:

  • contexto:

    • os: Esta es una constante con el valor de ONTAP.

    • os_version: La versión de ONTAP que se ejecuta en el sistema.

    • connector_id: El ID del agente de consola que administra el sistema.

    • cluster_id: El ID de clúster informado por ONTAP para el sistema.

    • svm_name: El nombre de la SVM donde se encontró la alerta.

    • volume_name: el nombre del volumen en el que se encuentra la alerta.

    • volume_id: El ID del volumen informado por ONTAP para el sistema.

  • incidente:

    • incident_id: El ID del incidente generado por Ransomware Resilience para el volumen atacado en Ransomware Resilience.

    • alert_id: El ID generado por Ransomware Resilience para la carga de trabajo.

    • gravedad: la gravedad de los niveles de alerta: "CRÍTICA", "ALTA", "MEDIA", "BAJA".

    • descripción: Detalles sobre la alerta que se detectó, por ejemplo, "Se detectó un posible ataque de ransomware en la carga de trabajo arp_learning_mode_test_2630"

    • título: El nombre para mostrar de la alerta detectada.

    • criticidad: Evaluación de la criticidad del volumen en tu entorno: "CRÍTICO", "IMPORTANTE", "ESTÁNDAR".

    • estado_incidente: El estado activo del incidente, que puede ser: "NUEVO", "RESUELTO", "DESESTIMADO", "AUTO_RESUELTO".

    • first_detected: Fecha y hora en la que Ransomware Resilience detectó el incidente por primera vez.

    • is_readiness_drill: valor booleano que indica si la alerta es un simulacro o un incidente real.

    • protocolo: El protocolo utilizado por el volumen. Los valores posibles son "iSCSI", "NFS" y "SMB".

    • tipo_alerta: El tipo de amenaza detectada. Los valores posibles son "Cifrado", "Destrucción de datos", "Violación de datos" y "Comportamiento sospechoso del usuario".

    • nombre_usuario: el nombre de usuario del usuario sospechoso asociado a la alerta.

    • user_id: El ID de usuario del usuario sospechoso asociado a la alerta.

    • client_ips: Una lista de direcciones IP de cliente asociadas con la actividad sospechosa, aplicable solo para alertas NFS.

Nota Los campos user_name y user_id solo son pertinentes si has configurado detección del comportamiento del usuario.

Ruta de entrega de eventos

Ransomware Resilience permite enviar eventos SIEM a través de la NetApp Console y del agente de la Console. Puedes elegir la vía de envío que prefieras durante la configuración.

Con la entrega a través de la Console, los eventos se envían directamente desde la Console a tu endpoint SIEM. Tu endpoint SIEM debe ser accesible desde internet pública para recibir eventos.

Para la entrega a través del agente de Console, los eventos se enrutan a través del agente de Console que se encuentra dentro de tu red. Esta opción es la mejor para entornos locales con listas estrictas de direcciones IP permitidas y no requiere conectividad entrante. El agente de Console debe poder acceder al endpoint SIEM a través de la red. Esto significa que puede resolver el nombre de host del endpoint, conectarse al puerto requerido y pasar los controles del firewall o del proxy.

La entrega de eventos a través del agente de la Console es compatible con Google SecOps, Splunk y las configuraciones SIEM basadas en webhooks.

Desactivar un sistema SIEM

Puedes pausar temporalmente el envío de datos de eventos a un sistema SIEM o eliminar el sistema SIEM si ya no lo necesitas. Si pausas el SIEM, puedes reanudarlo en cualquier momento.

Pasos

  1. En NetApp Ransomware Resilience, selecciona Configuración.

  2. En el mosaico de SIEM, selecciona Manage.

  3. Selecciona el menú de acciones (…​ para el sistema SIEM que quieras detener, luego selecciona Pausar o Eliminar.

    Si vas a eliminar, selecciona Eliminar en el cuadro de diálogo de confirmación para completar la acción.

Próximos pasos