Skip to main content
La versione in lingua italiana fornita proviene da una traduzione automatica. Per eventuali incoerenze, fare riferimento alla versione in lingua inglese.

Configurare le policy e le impostazioni di risposta delle snapshot ONTAP ARP/AI

Collaboratori netapp-dbagwell
PDF

A partire da ONTAP 9.16.1, puoi utilizzare la CLI per controllare le impostazioni di creazione e conservazione degli snapshot di Autonomous Ransomware Protection with AI (ARP/AI). A partire da ONTAP 9.20.1, puoi anche configurare il criterio di risposta degli snapshot periodici e di attacco per controllare se ARP/AI crea snapshot quando rileva attività anomale.

Nota Se usi ONTAP 9.15.1 o versioni precedenti, vedi "Regola le impostazioni per gli snapshot ARP generati automaticamente".

Configura una policy di risposta snapshot

A partire da ONTAP 9.20.1, puoi configurare il criterio di risposta agli snapshot ARP/AI per gli snapshot periodici e di attacco, per controllare se ARP/AI crea snapshot quando rileva attività anomale. Puoi impostare il criterio a livello di SVM, dove tutti i volumi sulla SVM ereditano l'impostazione, oppure ignorarlo a livello di volume.

Sono disponibili le seguenti policy di risposta agli snapshot:

Policy Comportamento

alert-with-proactive-and-periodic-snapshot

(Predefinito) ARP/AI genera avvisi e registri degli eventi, crea snapshot a intervalli regolari e crea snapshot aggiuntivi quando rileva un attacco.

alert-with-proactive-snapshot

ARP/AI genera avvisi e registri degli eventi e crea snapshot solo quando rileva un attacco. Non crea snapshot periodici.

alert-only

ARP/AI genera solo avvisi e log degli eventi. ARP/AI non crea snapshot.
Avvertenza Se imposti la policy su alert-only, ARP/AI non crea snapshot. Se viene confermato un attacco ransomware, non sono disponibili snapshot ARP/AI per il recovery di dati, nemmeno durante un attacco attivo. Prima di utilizzare alert-only, assicurati di disporre di un'adeguata protezione dei dati esterna, come snapshot ONTAP pianificati, backup di SnapCenter o un'altra soluzione di backup.
Nota Quando modifichi la policy di risposta agli snapshot, gli snapshot ARP/AI esistenti non vengono eliminati immediatamente. Vengono eliminati quando viene raggiunta l'ora di scadenza pianificata. Non aspettarti un recupero immediato della capacità storage dopo una modifica della policy.
System Manager

Configura il criterio di risposta snapshot a livello di SVM:

  1. Seleziona Cluster > Storage VMs e seleziona la VM di storage.

  2. Vai alla scheda Impostazioni. In Sicurezza, individua il riquadro Anti-ransomware e seleziona Icona Edit (Modifica).

  3. In Livello di protezione, seleziona il tipo di protezione da applicare a tutti i volumi con ARP/AI abilitato sull'SVM.

  4. Selezionare Salva.

Configura i criteri di risposta agli snapshot a livello di volume:

  1. Seleziona Archiviazione > Volumi e seleziona il volume.

  2. Nella scheda Sicurezza, individua la sezione Anti-ransomware e seleziona Icona Edit (Modifica).

  3. In Livello di protezione, seleziona la policy di risposta snapshot per sovrascrivere l'impostazione a livello di SVM per questo volume.

  4. Selezionare Salva.

CLI

  1. Mostra la policy di risposta dello snapshot ARP/AI corrente:

    A livello di SVM:

    security anti-ransomware vserver snapshot-settings show -vserver <svm_name>

    A livello di volume:

    security anti-ransomware volume snapshot-settings show -vserver <svm_name> -volume <volume_name>

  2. Configura il criterio di risposta dello snapshot ARP/AI:

    A livello di SVM:

    security anti-ransomware vserver snapshot-settings modify -vserver <svm_name> -anti-ransomware-snapshot-policy <policy>
    Nota Questa impostazione si applica ai volumi su cui è abilitato ARP/AI. Non ha effetto retroattivo sui volumi su cui ARP/AI è già abilitato.

    A livello del volume (sovrascrive l'impostazione a livello di SVM):

    security anti-ransomware volume snapshot-settings modify -vserver <svm_name> -volume <volume_name> -anti-ransomware-snapshot-policy <policy>

Regola le impostazioni di creazione e conservazione degli snapshot

Nota A partire da ONTAP 9.20.1, le seguenti impostazioni si applicano solo quando la policy di risposta snapshot è alert-with-proactive-snapshot o alert-with-proactive-and-periodic-snapshot.
Prima di iniziare

Puoi modificare le opzioni di snapshot ARP/AI solo su un "nodo SVM" e non sugli altri tipi di SVM.

Fasi

  1. Mostra tutte le impostazioni correnti degli snapshot ARP/AI:

    options -option-name arw*

  2. Mostra le impostazioni correnti selezionate dello snapshot ARP/AI:

    options -option-name <arw_setting_name>

  3. Modifica le impostazioni dello snapshot ARP/AI:

    options -option-name <arw_setting_name> -option-value <arw_setting_value>

    Puoi modificare le seguenti impostazioni (ONTAP 9.16.1 e versioni successive):

    Impostazione Descrizione Versioni supportate con ARP/AI

    arw.snap.max.count

    Specifica il numero massimo di snapshot ARP/AI che possono esistere in un volume in un dato momento. Le copie più vecchie vengono eliminate per garantire che il numero totale di snapshot ARP/AI rimanga entro questo limite.

    Nota A partire da ONTAP 9.20.1, questa impostazione si applica solo quando la policy di risposta snapshot è impostata su alert-with-proactive-and-periodic-snapshot. Quando la policy è impostata su alert-with-proactive-snapshot o alert-only, ONTAP ignora questa impostazione.

    ONTAP 9.16.1 e versioni successive

    arw.snap.create.interval.hours

    Specifica l'intervallo in ore tra gli snapshot ARP/AI. Viene creato un nuovo snapshot ARP/AI quando si sospetta un attacco basato sull'entropia dei dati e lo snapshot creato più di recente è precedente all'intervallo specificato.

    ONTAP 9.16.1 e versioni successive

    arw.snap.normal.retain.interval.hours

    Specifica la durata, in ore, per cui uno snapshot ARP/AI viene conservato. Quando uno snapshot ARP/AI raggiunge la soglia di conservazione, viene eliminato.

    ONTAP 9.16.1 (deprecato in 9.17.1 e versioni successive)

    arw.snap.max.retain.interval.days

    Specifica la durata massima, in giorni, per cui uno snapshot ARP/AI può essere conservato. Qualsiasi snapshot ARP/AI più vecchio di questa durata viene eliminato quando non viene segnalato alcun attacco sul volume.

    Nota L'intervallo massimo di conservazione viene ignorato se ARP/AI rileva una minaccia. Lo snapshot ARP/AI creato in risposta alla minaccia viene conservato fino a quando non rispondi alla minaccia. Quando contrassegni una minaccia come falso positivo, il timer specificato da arw.snap.retain.hours.after.clear.suspect.false.alert viene applicato agli snapshot ARP/AI. Dopo la scadenza di quel timer, vengono ripristinate le impostazioni di conservazione standard.

    ONTAP 9.16.1 (deprecato in 9.17.1 e versioni successive)

    arw.snap.create.interval.hours.post.max.count

    Specifica l'intervallo in ore tra gli snapshot ARP/AI quando il volume contiene già il numero massimo di snapshot ARP/AI. Quando si raggiunge il numero massimo, uno snapshot ARP/AI viene eliminato per fare spazio a una nuova copia. Usa questa opzione per ridurre la velocità di creazione e conservare le copie più vecchie.

    ONTAP 9.16.1 (deprecato in 9.17.1 e versioni successive)

    arw.snap.new.extns.interval.hours

    Specifica l'intervallo in ore tra gli snapshot ARP/AI creati quando viene rilevata una nuova estensione di file. Viene creato un nuovo snapshot ARP/AI quando viene rilevata una nuova estensione di file e il precedente snapshot di questo tipo è più vecchio dell'intervallo specificato. Questa opzione esiste indipendentemente da arw.snap.create.interval.hours, che specifica l'intervallo per gli snapshot basati sull'entropia.

    ONTAP 9.16.1 (deprecato in 9.17.1 e versioni successive)

    arw.snap.low.encryption.retain.duration.hours

    Specifica la durata di conservazione in ore per gli snapshot ARP/AI creati durante periodi di bassa attività di crittografia.

    ONTAP 9.17.1 e versioni successive

    arw.snap.retain.hours.after.clear.suspect.false.alert

    Specifica l'intervallo in ore per cui uno snapshot ARP/AI viene conservato come precauzione dopo che un incidente di attacco è stato contrassegnato come falso positivo dall'amministratore.

    ONTAP 9.16.1 e versioni successive

    arw.snap.retain.hours.after.clear.suspect.real.attack

    Specifica l'intervallo in ore per cui uno snapshot ARP/AI viene conservato come precauzione dopo che un incidente di attacco è stato contrassegnato come un attacco reale dall'amministratore.

    ONTAP 9.16.1 e versioni successive

    arw.snap.surge.interval.days

    Specifica l'intervallo (in giorni) tra gli snapshot ARP/AI creati in risposta a picchi di I/O. Questa opzione specifica anche il periodo di conservazione (in giorni) per uno snapshot di un picco ARP/AI.

    ONTAP 9.16.1 e versioni successive

    arw.high.encryption.alert.enabled

    Abilita gli avvisi per livelli elevati di crittografia. Quando impostato su on (predefinito), ONTAP invia un avviso quando la percentuale di crittografia supera la soglia specificata in arw.high.encryption.percentage.threshold.

    Solo ONTAP 9.17.1

    arw.high.encryption.percentage.threshold

    Specifica la percentuale massima di crittografia per un volume. Se la percentuale di crittografia supera questa soglia, ONTAP considera l'aumento come un attacco e crea uno snapshot ARP/AI. arw.high.encryption.alert.enabled deve essere impostato su on per rendere effettiva questa opzione.

    Solo ONTAP 9.17.1

    arw.snap.high.encryption.retain.duration.hours

    Specifica l'intervallo di durata della conservazione in ore per gli snapshot creati durante un evento con soglia di crittografia elevata.

    ONTAP 9.17.1 e versioni successive

  4. Se usi ARP/AI in un ambiente SAN, puoi anche modificare le seguenti impostazioni del periodo di valutazione:

    Impostazione Descrizione Versioni supportate

    arw.block_device.auto.learn.threshold.min_value

    Specifica il valore percentuale della soglia minima di crittografia durante la fase di apprendimento automatico della valutazione per i dispositivi a blocchi.

    ONTAP 9.17.1 e versioni successive

    arw.block_device.auto.learn.threshold.max_value

    Specifica il valore percentuale della soglia massima di crittografia durante la fase di apprendimento automatico della valutazione per i dispositivi a blocchi.

    ONTAP 9.17.1 e versioni successive

    arw.block_device.evaluation.phase.min_hours

    Specifica l'intervallo minimo in ore entro il quale la fase di valutazione deve essere eseguita prima che venga impostata la soglia di crittografia.

    ONTAP 9.17.1 e versioni successive

    arw.block_device.evaluation.phase.max_hours

    Specifica l'intervallo massimo in ore entro il quale la fase di valutazione deve essere eseguita prima che venga impostata la soglia di crittografia.

    ONTAP 9.17.1 e versioni successive

    arw.block_device.evaluation.phase.min_data_ingest_size_GB

    Specifica la quantità minima di dati in GB che deve essere acquisita durante la fase di valutazione prima che venga impostata la soglia di crittografia.

    ONTAP 9.17.1 e versioni successive

    arw.block_device.evaluation.phase.alert.enabled

    Specifica se gli avvisi sono abilitati per la fase di valutazione di ARP/AI sui dispositivi a blocchi. Il valore predefinito è True.

    ONTAP 9.17.1 e versioni successive

    arw.block_device.evaluation.phase.alert.threshold

    Specifica la percentuale di soglia durante la fase di valutazione di ARP/AI sui dispositivi a blocchi. Se la percentuale di crittografia supera questa soglia, viene attivato un avviso.

    ONTAP 9.17.1 e versioni successive
Informazioni correlate