El modelo de aprendizaje automático de ARP/AI se ha entrenado previamente con un amplio conjunto de datos de archivos, tanto antes como después de un ataque simulado de ransomware. Este entrenamiento, que requiere un gran consumo de recursos, se realiza fuera de ONTAP usando conjuntos de datos de investigación forense de código abierto. Los datos de los clientes no se usan en ningún momento a lo largo de toda la canalización de modelado. El modelo preentrenado se incluye en la caja con ONTAP y no es accesible ni modificable a través de la CLI de ONTAP ni de la API de REST de ONTAP.

ARP/AI ofrece protección activa inmediata en los siguientes tipos de volúmenes compatibles:

Para mantener una protección actualizada frente a las últimas amenazas de ransomware, ARP/AI ofrece actualizaciones automáticas frecuentes que se realizan al margen de los ciclos habituales de actualización y lanzamiento de ONTAP. Si tienes "actualizaciones automáticas activadas", también puedes recibir actualizaciones de seguridad automáticas para ARP/AI después de seleccionar actualizaciones automáticas para los archivos de seguridad. También puedes "realizar estas actualizaciones manualmente" y controlar cuándo ocurren.

A partir de ONTAP 9.16,1, las actualizaciones de seguridad para ARP/AI están disponibles con System Manager, además de las actualizaciones del sistema y del firmware.

"Obtenga más información sobre las actualizaciones ARP/AI"

ARP/AI identifica los datos entrantes como cifrados o en texto sin cifrar y utiliza un modelo de aprendizaje automático preentrenado que evalúa simultáneamente múltiples señales basadas en la entropía y patrones de comportamiento de archivos para detectar actividad de ransomware en tiempo real.

ARP/AI detecta la propagación de la mayoría de los ataques de ransomware después de que solo se cifre un pequeño número de archivos, responde automáticamente para proteger los datos y te avisa de que se está produciendo un posible ataque.

ARP/AI ofrece opciones flexibles de activación a nivel de clúster, SVM y volumen.

A partir de ONTAP 9.18.1, ARP/AI está habilitado de forma predeterminada en todos los volúmenes nuevos de los sistemas AFF serie A, AFF serie C, ASA y ASA r2. Esta habilitación automática predeterminada no se aplica a "volúmenes o configuraciones no compatibles". Puedes "activar manualmente ARP/AI en los volúmenes existentes".

Puedes "activar o desactivar la habilitación predeterminada" en cualquier momento después de la implementación.

Si desactivaste la activación automática por defecto a nivel de clúster, también puedes elegir "activar manualmente ARP/AI de forma predeterminada en todos los volúmenes nuevos" a nivel de SVM. Para ONTAP 9.17.1 y versiones anteriores, esta es la única manera de configurar ARP/AI para que se habilite por defecto en los nuevos volúmenes.

A partir de ONTAP 9.18.1, puedes habilitar manualmente ARP/AI en todos los volúmenes existentes desde el nivel del clúster (selecciona Cluster > Security y en la sección Anti-ransomware, luego selecciona Enable on all existing volumes).

Para habilitar ARP/AI en un volumen concreto, consulta "Habilita ARP/AI en un volumen".

ARP/AI protege los volúmenes de forma inmediata sin un periodo de aprendizaje. Las siguientes tablas describen cómo funciona la protección según el tipo de volumen.

ARP/AI evalúa la probabilidad de amenaza de forma continua a medida que los datos se escriben en el almacenamiento. Cuando el modelo de aprendizaje automático determina que una actividad se ajusta al perfil de un ransomware, ONTAP genera una notificación EMS con un nivel de amenaza moderado, invitándote a evaluar la amenaza. ARP/AI no utiliza un nivel de amenaza bajo; todas las detecciones se notifican con un nivel moderado.

Puedes ver información sobre amenazas moderadas en la sección Eventos de System Manager o con el comando security anti-ransomware volume show. Obtén más información sobre security anti-ransomware volume show en el "Referencia de comandos del ONTAP".

Para obtener más información, consulta "Responda a actividades anormales".

ARP/AI crea una instantánea cuando se detectan los primeros indicios de un ataque. A continuación, se lleva a cabo un análisis para confirmar o descartar el posible ataque. Porque ARP/AI también genera instantáneas a intervalos regulares de 4 horas, la presencia de estas instantáneas no debe considerarse una anomalía. Si se confirma un ataque, la probabilidad de ataque se establece en Moderate y se genera una notificación de ataque.

La siguiente tabla resume el comportamiento de las instantáneas ARP/AI.

ARP/AI crea instantáneas bloqueadas cuando se detectan los primeros indicios de un ataque. Deberás confirmar si el ataque es real o se trata de un falso positivo. Las instantáneas bloqueadas no se pueden eliminar por los medios habituales. Sin embargo, si más adelante decides marcar el ataque como falso positivo, ONTAP elimina la copia bloqueada.

Si confirmas el ataque, el volumen se puede restaurar utilizando la instantánea ARP/AI. Puedes recuperar los archivos afectados de instantáneas seleccionadas en lugar de revertir todo el volumen.

A partir de ONTAP 9.13.1, se recomienda habilitar la verificación de múltiples administradores (MAV) para que se requieran dos o más usuarios administradores autenticados para la configuración de ARP/AI. Para más información, consulta "Habilite la verificación multiadministradora".