Le modèle d'apprentissage automatique d'ARP/AI est pré-entraîné sur un vaste ensemble de données de fichiers, avant et après une simulation d'attaque par ransomware. Cet entraînement, gourmand en ressources, est réalisé en dehors d'ONTAP à l'aide de jeux de données de recherche forensique open source. Les données client ne sont pas utilisées tout au long du processus de modélisation. Le modèle pré-entraîné est inclus sur l'appliance avec ONTAP et n'est ni accessible ni modifiable via l'ONTAP CLI ou l'ONTAP API.

ARP/AI assure une protection active immédiate sur les types de volumes pris en charge suivants :

Pour maintenir une protection à jour contre les dernières menaces de ransomware, ARP/AI propose des mises à jour automatiques fréquentes qui ont lieu en dehors des cycles réguliers de mise à niveau et de publication d'ONTAP. Si vous avez "mises à jour automatiques activées", vous pouvez également recevoir des mises à jour de sécurité automatiques pour ARP/AI après avoir sélectionné les mises à jour automatiques pour les fichiers de sécurité. Vous pouvez également "effectuer ces mises à jour manuellement"et contrôler le moment où elles se produisent.

Depuis ONTAP 9.16.1, les mises à jour de sécurité pour ARP/ai sont disponibles via System Manager en plus des mises à jour du système et du micrologiciel.

"En savoir plus sur les mises à jour ARP/ai"

ARP/AI identifie les données entrantes comme étant soit chiffrées, soit en texte clair et utilise un modèle d'apprentissage automatique pré-entraîné qui évalue simultanément plusieurs signaux basés sur l'entropie et les modèles comportementaux des fichiers pour détecter l'activité des ransomwares en temps réel.

ARP/AI détecte la propagation de la plupart des attaques de ransomware après le chiffrement d'un petit nombre de fichiers seulement, réagit automatiquement pour protéger les données et vous alerte qu'une attaque suspecte est en cours.

ARP/AI offre des options d'activation flexibles au niveau du cluster, du SVM et du volume.

À partir de ONTAP 9.18.1, ARP/AI est activé par défaut sur tous les nouveaux volumes pour les systèmes AFF série A, AFF série C, ASA et ASA r2. Cette activation automatique par défaut ne s'applique pas à "volumes ou configurations non pris en charge". Vous pouvez "Activer manuellement ARP/AI sur les volumes existants".

Vous pouvez "activer ou désactiver l’activation par défaut" à tout moment après le déploiement.

Si vous avez désactivé l'activation automatique par défaut au niveau du cluster, vous pouvez également choisir de "Activer manuellement ARP/AI par défaut sur tous les nouveaux volumes" au niveau de la SVM. Pour ONTAP 9.17.1 et versions antérieures, il s'agit de la seule façon de configurer ARP/AI pour qu'il soit activé par défaut sur les nouveaux volumes.

À partir d'ONTAP 9.18.1, vous pouvez activer manuellement ARP/AI sur tous les volumes existants au niveau du cluster (sélectionnez Cluster > Sécurité et dans la section Anti-ransomware, puis sélectionnez Activer sur tous les volumes existants).

Pour activer ARP/AI sur un volume spécifique, consultez "Activer ARP/AI sur un volume".

ARP/AI protège les volumes immédiatement, sans période d'apprentissage. Les tableaux suivants décrivent le comportement de la protection selon le type de volume.

ARP/AI évalue en continu la probabilité de menace lors de l'écriture des données. Lorsque le modèle d'apprentissage automatique détermine qu'une activité correspond à un profil de ransomware, ONTAP génère une notification EMS au niveau de menace modéré, vous invitant à évaluer la menace. ARP/AI n'utilise pas de niveau de menace faible ; toutes les détections sont signalées au niveau modéré.

Vous pouvez consulter les informations relatives aux menaces modérées dans la section Événements du Gestionnaire système ou avec la commande security anti-ransomware volume show. En savoir plus sur security anti-ransomware volume show dans la "Référence de commande ONTAP".

Pour plus d'informations, consultez "Réagir à une activité anormale".

ARP/AI crée un instantané dès la détection des premiers signes d'une attaque. Une analyse est ensuite menée pour confirmer ou infirmer l'attaque potentielle. Comme ARP/AI génère également des instantanés toutes les 4 heures, la présence de ces instantanés ne doit pas être considérée comme une anomalie. Si une attaque est confirmée, la probabilité d'attaque est définie sur Moderate et une notification d'attaque est générée.

Le tableau suivant récapitule le comportement des instantanés ARP/AI.

ARP/AI crée des instantanés verrouillés dès la détection des premiers signes d'une attaque. Vous devrez confirmer s'il s'agit d'une attaque réelle ou d'un faux positif. Les instantanés verrouillés ne peuvent pas être supprimés par les moyens habituels. Cependant, si vous décidez ultérieurement de qualifier l'attaque de faux positif, ONTAP supprime la copie verrouillée.

Si vous confirmez l'attaque, le volume peut être restauré à l'aide de l'instantané ARP/AI. Vous pouvez récupérer les fichiers affectés à partir d'instantanés sélectionnés au lieu de rétablir l'ensemble du volume.

À partir d'ONTAP 9.13.1, il est recommandé d'activer la vérification multi-administrateurs (MAV) afin que la configuration ARP/AI nécessite au moins deux administrateurs utilisateurs authentifiés. Pour plus d'informations, consultez "Activez la vérification multiadministrateur".