Il supporto ARP è incluso nel programma "Licenza ONTAP ONE". Se non si dispone della licenza ONTAP One, sono disponibili altre licenze per l'uso ARP che variano a seconda della versione di ONTAP

"È possibile abilitare la protezione autonoma da ransomware (ARP) su un volume esistente o creare un nuovo volume e abilitare ARP" .

Una strategia efficace di rilevamento ransomware dovrebbe includere più di un singolo livello di protezione.

Un'analogia sarebbe la sicurezza di un veicolo. Non ci si affida a una singola funzione, ad esempio una cintura di sicurezza, per proteggersi completamente in caso di incidente. Gli airbag, i freni antibloccaggio e l'allarme anticollisione anteriore sono tutte funzioni di sicurezza aggiuntive che consentono di ottenere risultati migliori. La protezione ransomware deve essere visualizzata nello stesso modo.

Sebbene ONTAP includa funzionalità come FPolicy, snapshot, SnapLock e Active IQ Digital Advisor (noto anche come Digital Advisor) per contribuire alla protezione dal ransomware, le seguenti informazioni si concentrano sulla funzionalità ARP con capacità di apprendimento automatico.

Per saperne di più sulle altre funzionalità del portfolio NetApp che proteggono dal ransomware, vedere "Ransomware e il portfolio di protezione di NetApp" .

ONTAP ARP è progettato per proteggere dagli attacchi denial-of-service, in cui l'aggressore trattiene i dati fino al pagamento di un riscatto. ARP offre il rilevamento del ransomware in tempo reale basato sui seguenti fattori:

ARP rileva la diffusione della maggior parte degli attacchi ransomware dopo che è stato crittografato solo un numero limitato di file, risponde automaticamente per proteggere i dati e avvisa l'utente che si sta verificando un sospetto attacco.

Una volta attivato ARP per un volume, il sistema passa attraverso due modalità distinte. ARP utilizza un periodo di apprendimento o valutazione per stabilire una base di riferimento per il normale comportamento del carico di lavoro. Durante tale periodo, ARP analizza le metriche di sistema per sviluppare un profilo di allerta prima di abilitare la protezione attiva. Dopo il passaggio a una modalità di rilevamento attivo, ARP inizia a monitorare le attività anomale in tempo reale, intraprendendo automaticamente azioni di protezione e generando avvisi in caso di rilevamento di comportamenti anomali.

Per ARP, i comportamenti della modalità di apprendimento e della modalità attiva variano in base alla versione ONTAP , al tipo di volume e al protocollo (NAS o SAN).

ARP valuta la probabilità di minaccia in base ai dati in ingresso, confrontandoli con l'analisi appresa. Quando ARP rileva un'anomalia, viene assegnata una misurazione. Un'istantanea può essere assegnata al momento del rilevamento o a intervalli regolari.

ARP si basa sulla comprovata tecnologia ONTAP di protezione dei dati e disaster recovery per rispondere agli attacchi ransomware. ARP crea snapshot bloccati quando vengono rilevati i primi segnali di un attacco in ONTAP 9.16.1 e versioni precedenti, oppure a intervalli regolari nella versione 9.17.1 e versioni successive. È necessario innanzitutto verificare se l'attacco è reale o un falso positivo. Se l'attacco viene confermato, il volume può essere ripristinato utilizzando lo snapshot ARP.

Gli snapshot bloccati non possono essere eliminati con metodi normali. Tuttavia, se in seguito decidi di contrassegnare l'attacco come falso positivo, la copia bloccata verrà eliminata.

Conoscendo i file interessati e il momento dell'attacco, è possibile recuperare in modo selettivo i file interessati da vari snapshot, anziché semplicemente riportare l'intero volume in uno degli snapshot.

Per ulteriori informazioni su come rispondere a un attacco e recuperare i dati, consultare i seguenti argomenti:

A partire da ONTAP 9.13.1, si consiglia di abilitare la verifica multi-admin (MAV) in modo che siano necessari due o più amministratori utente autenticati per la configurazione della protezione autonoma dal ransomware (ARP). Per ulteriori informazioni, vedere "Attiva la verifica multi-admin".

A partire da ONTAP 9.16.1, ARP migliora la resilienza informatica adottando un modello di apprendimento automatico per l'analisi anti-ransomware che rileva forme di ransomware in continua evoluzione con una precisione del 99% negli ambienti NAS. Il modello di apprendimento automatico di ARP è pre-addestrato su un ampio set di dati di file sia prima che dopo un attacco ransomware simulato. Questa formazione, che richiede molte risorse, viene eseguita esternamente a ONTAP utilizzando set di dati di ricerca forense open source per addestrare il modello. I dati dei clienti non vengono utilizzati durante l'intera pipeline di modellazione e non sussistono problemi di privacy. Il modello pre-addestrato risultante da questa formazione è incluso nella confezione di ONTAP. Questo modello non è accessibile né modificabile tramite l'interfaccia a riga ONTAP comando o l'API ONTAP .

Con i volumi ARP/AI e FlexVol, non vi sono periodo di apprendimento. ARP/AI è abilitato e attivo immediatamente dopo l'installazione o l'aggiornamento alla versione 9.16. Dopo l'aggiornamento del cluster a ONTAP 9.16.1, ARP/AI verrà abilitato automaticamente per i volumi FlexVol esistenti e nuovi, se ARP è già abilitato per tali volumi

"Ulteriori informazioni sull'attivazione di ARP/ai"

Per mantenere una protezione aggiornata contro le ultime minacce ransomware, ARP/AI offre frequenti aggiornamenti automatici che si verificano al di fuori delle normali cadenze di aggiornamento e rilascio ONTAP . Se hai "aggiornamenti automatici abilitati" Potrai quindi iniziare a ricevere aggiornamenti di sicurezza automatici per ARP/AI dopo aver selezionato gli aggiornamenti automatici per i file di sicurezza. Puoi anche scegliere di "effettuare manualmente questi aggiornamenti" e controllare quando vengono effettuati gli aggiornamenti.

A partire da ONTAP 9.16,1, gli aggiornamenti per la protezione per ARP/ai sono disponibili tramite Gestione sistema oltre agli aggiornamenti del sistema e del firmware.

"Ulteriori informazioni sugli aggiornamenti ARP/ai"