Il modello di machine learning di ARP/AI viene pre-addestrato su un ampio set di dati di file sia prima che dopo una simulazione di attacco ransomware. Questo addestramento, che richiede molte risorse, viene eseguito al di fuori di ONTAP utilizzando set di dati di ricerca forense open-source. I dati dei clienti non vengono utilizzati nell'intera pipeline di modellazione. Il modello pre-addestrato è incluso on-box con ONTAP e non è accessibile o modificabile tramite la ONTAP CLI o l'ONTAP API.

ARP/AI offre una protezione attiva immediata sui seguenti tipi di volume supportati:

Per mantenere una protezione aggiornata contro le più recenti minacce ransomware, ARP/AI offre frequenti aggiornamenti automatici che avvengono al di fuori dei normali cicli di aggiornamento e rilascio di ONTAP. Se hai "aggiornamenti automatici abilitati", puoi anche ricevere aggiornamenti di sicurezza automatici per ARP/AI dopo aver selezionato gli aggiornamenti automatici per i file di sicurezza. Puoi anche "effettuare manualmente questi aggiornamenti" e controllare quando avvengono.

A partire da ONTAP 9.16,1, gli aggiornamenti per la protezione per ARP/ai sono disponibili tramite Gestione sistema oltre agli aggiornamenti del sistema e del firmware.

"Ulteriori informazioni sugli aggiornamenti ARP/ai"

ARP/AI identifica i dati in entrata come testo crittografato o in chiaro e utilizza un modello di machine learning pre-addestrato che valuta simultaneamente molteplici segnali basati sull'entropia e modelli di comportamento dei file per rilevare attività ransomware in tempo reale.

ARP/AI rileva la diffusione della maggior parte degli attacchi ransomware dopo che solo un piccolo numero di file è stato crittografato, risponde automaticamente per proteggere i dati e ti avvisa che è in corso un sospetto attacco.

ARP/AI offre opzioni di abilitazione flessibili a livello di cluster, SVM e volume.

A partire da ONTAP 9.18.1, ARP/AI è abilitato di default su tutti i nuovi volumi per AFF A-series, AFF C-series, ASA e ASA r2. Questa abilitazione automatica predefinita non si applica a "volumi o configurazioni non supportate". Puoi "abilitare manualmente ARP/AI sui volumi esistenti".

Puoi "attiva o disattiva l'abilitazione predefinita" in qualsiasi momento dopo il deployment.

Se hai disabilitato l'abilitazione automatica predefinita a livello di cluster, puoi anche scegliere di "Abilita manualmente ARP/AI come impostazione predefinita su tutti i nuovi volumi" abilitarla a livello di SVM. Per ONTAP 9.17.1 e versioni precedenti, questo è l'unico modo per configurare ARP/AI in modo che sia abilitato di default sui nuovi volumi.

A partire da ONTAP 9.18.1, puoi abilitare manualmente ARP/AI su tutti i volumi esistenti a livello di cluster (seleziona Cluster > Security e nella sezione Anti-ransomware, poi seleziona Enable on all existing volumes).

Per abilitare ARP/AI su un volume specifico, vedi "Abilita ARP/AI su un volume".

ARP/AI protegge i volumi immediatamente senza un periodo di apprendimento. Le tabelle seguenti descrivono come si comporta la protezione in base al tipo di volume.

ARP/AI valuta continuamente la probabilità di minaccia man mano che i dati vengono scritti nello storage. Quando il modello di machine learning determina che l'attività corrisponde a un profilo ransomware, ONTAP genera una notifica EMS al livello di minaccia moderato, invitandoti a valutare la minaccia. ARP/AI non utilizza un livello di minaccia basso; tutte le rilevazioni vengono segnalate al livello moderato.

Puoi visualizzare informazioni sulle minacce moderate nella sezione Eventi di System Manager o con il comando security anti-ransomware volume show. Scopri di più su security anti-ransomware volume show nella "Riferimento al comando ONTAP".

Per ulteriori informazioni, vedere "Rispondere ad attività anomale".

ARP/AI crea un'istantanea quando vengono rilevati i primi segnali di un attacco. Viene quindi condotta un'analisi per confermare o escludere il potenziale attacco. A partire da ONTAP 9.17.1, ARP/AI genera istantanee anche a intervalli regolari di 4 ore; la presenza di queste istantanee non deve essere considerata un'anomalia. Se un attacco viene confermato, la probabilità di attacco viene impostata su Moderate e viene generata una notifica di attacco.

La tabella seguente riassume il comportamento degli snapshot ARP/AI.

ARP/AI crea snapshot bloccati quando vengono rilevati i primi segnali di un attacco. Dovrai confermare se l'attacco è reale o un falso positivo. Gli snapshot bloccati non possono essere eliminati con i normali metodi. Tuttavia, se in seguito decidi di contrassegnare l'attacco come falso positivo, ONTAP elimina la copia bloccata.

Se confermi l'attacco, il volume può essere ripristinato utilizzando lo snapshot ARP/AI. Puoi recuperare i file interessati da snapshot selezionati invece di ripristinare l'intero volume.

A partire da ONTAP 9.13.1, ti consigliamo di abilitare la verifica multi-amministratore (MAV) così che siano necessari due o più amministratori utente autenticati per la configurazione ARP/AI. Per ulteriori informazioni, vedi "Attiva la verifica multi-admin".