Skip to main content
La versione in lingua italiana fornita proviene da una traduzione automatica. Per eventuali incoerenze, fare riferimento alla versione in lingua inglese.

Recupera i dati dopo un attacco ransomware con ONTAP ARP/AI

Collaboratori netapp-dbagwell
PDF

La protezione autonoma contro i ransomware con intelligenza artificiale (ARP/AI) crea snapshot per proteggere dalle minacce ransomware. Puoi usare gli snapshot ARP/AI o un altro snapshot del tuo volume per ripristinare i dati.

Nota Se usi ONTAP 9.15.1 o versioni precedenti, vedi "Recupera i dati dopo un attacco ransomware con ARP".
A proposito di questa attività

A seconda della potenziale situazione di attacco, ripristinerai i dati in uno dei seguenti modi:

ARP/AI crea snapshot con uno dei seguenti nomi anteposti:

  • Anti_ransomware_periodic_backup: Utilizzato in ONTAP 9.17.1 e versioni successive per gli snapshot creati a intervalli regolari di 4 ore. Ad esempio, Anti_ransomware_periodic_backup.2025-06-01_1248.

  • Anti_ransomware_attack_backup: Utilizzato in ONTAP 9.17.1 e versioni successive per gli snapshot creati in risposta ad anomalie. Questi snapshot hanno un periodo di conservazione predefinito di 10 giorni. Ad esempio, Anti_ransomware_attack_backup.2025-08-25_1248.

  • Anti_ransomware_backup: Utilizzato in ONTAP 9.16.1 e versioni precedenti per gli snapshot creati in risposta ad anomalie. Ad esempio, Anti_ransomware_backup.2022-12-20_1248.

Prima di iniziare

Scegli un metodo di recovery

A seconda dell'entità del danneggiamento dei dati e delle esigenze operative, è possibile scegliere uno o una combinazione di questi metodi di recovery.

  • Ripristino snapshot del volume: Ripristina l'intero volume a uno snapshot selezionato (ARP/AI o pianificato). Questo è il metodo più veloce ma elimina tutti gli snapshot creati dopo il punto di ripristino.

  • FlexClone da uno snapshot pulito: crea un volume clone dallo snapshot selezionato, preservando il volume originale e tutti i suoi snapshot per analisi forensi o recovery aggiuntivo. Si consiglia di separare il clone dal volume d'origine per isolare il volume padre infetto dal clone pulito.

    Scopri di più su "creazione di un FlexClone volume da una Snapshot" e "separazione di un FlexClone dal suo volume d'origine".

  • Single-file SnapRestore: Ripristina singoli file da snapshot. Ogni file può provenire da uno snapshot diverso. Questa soluzione è pratica quando il numero di file interessati è relativamente ridotto.

    Scopri di più su "ripristino di un singolo file da una Snapshot".

  • Copia dei dati dalla .snapshot directory: Copia i dati dal punto di montaggio dello snapshot a un nuovo volume utilizzando le operazioni standard di copia dei file. Questo metodo preserva il volume e gli snapshot originali per l'analisi.

  • Approccio ibrido: Il volume viene prima ripristinato allo snapshot pulito più vicino utilizzando SnapRestore, quindi i file danneggiati rimanenti vengono ripristinati singolarmente da un altro snapshot o da backup esterno.

Vincoli e considerazioni per il recovery

  • Per ONTAP 9.16.1 e versioni successive: cancella prima l'evento sospetto (in "Rispondere ad attività anomale") e poi esegui il ripristino. Dopo la cancellazione, gli snapshot ARP/AI vengono conservati in base a come categorizzi l'attività. A partire da ONTAP 9.17.1, i valori predefiniti sono 7 giorni (attacco reale) o 24 ore (falso positivo). In ONTAP 9.16.1, i valori predefiniti sono 5 giorni (attacco reale) o 48 ore (falso positivo). L'opzione clear-suspect non è più disponibile dopo un ripristino del volume, quindi devi cancellare prima di eseguire il ripristino.

  • Il rilascio del blocco snapshot ARP/AI è necessario solo quando usi volume snapshot restore per ripristinare da uno snapshot precedente. Non è necessario per FlexClone, SnapRestore su singolo file, operazioni di copia dei dati o metodi simili.

  • Per i volumi SAN in cui l'attacco viene rilevato esclusivamente tramite analisi dell'entropia, solo lo snapshot creato immediatamente prima della timeline dell'attacco e lo snapshot dell'attacco stesso vengono conservati per un periodo prolungato (10 giorni per impostazione predefinita, configurabile). Gli altri snapshot periodici continuano a seguire le normali regole di conservazione. Questo differisce dai volumi NAS, dove tutti gli snapshot creati prima della timeline dell'attacco vengono conservati fino a quando l'amministratore non esegue un'azione di clear-suspect.

Considerazioni su SnapMirror

  • Se il volume fa parte di una relazione SAN SnapMirror sincrona o SnapMirror active sync in ONTAP 9.19.1 e prevedi un ripristino a livello di volume, metti in quiescenza o "interrompere la relazione prima di ripristinare" quindi ristabilisci la protezione dopo il ripristino.

  • Se ripristini un volume protetto da ARP/AI da uno snapshot mentre partecipa a una relazione di SnapMirror, aggiorna manualmente tutte le copie mirror dopo il ripristino. Altrimenti, le copie mirror possono diventare inutilizzabili e potrebbe essere necessario eliminarle e ricrearle.

Per informazioni complete sul comportamento di interoperabilità di SnapMirror e ARP/AI, vedi "SnapMirror e interoperabilità ARP/AI".

Ripristino dopo un attacco di sistema

Per il ripristino degli snapshot di volume, scegli uno di questi flussi a seconda dell'origine dello snapshot e della situazione:

Ripristina dall'istantanea ARP/AI più recente

Scegli questo flusso quando puoi ripristinare con sicurezza dallo snapshot ARP/AI più recente, ovvero lo snapshot più aggiornato disponibile per il recovery.

System Manager

  1. Selezionare archiviazione > volumi, quindi selezionare il volume e Snapshot Copies.

  2. Prima di eseguire un ripristino del volume, "eliminare i file sospetti".

    Nota Dopo aver eliminato i file sospetti, lo snapshot ARP/AI viene conservato per 7 giorni (per impostazione predefinita). Se hai bisogno di più tempo per il recovery di dati, "regola le impostazioni dello snapshot ARP/AI" per aumentare il periodo di conservazione. Dopo che il recovery di tutti i dati è stato completato, puoi ridurre il periodo di conservazione.

  3. Seleziona Icona delle opzioni di menu accanto all'istantanea ARP/AI più recente (Anti_ransomware che vuoi ripristinare, poi seleziona Ripristina.

CLI

  1. Elencare gli snapshot in un volume:

    volume snapshot show -vserver <svm> -volume <volume>

  2. Prima di eseguire volume snapshot restore, "eliminare i file sospetti".

  3. Ripristinare il contenuto di un volume da uno snapshot:

    volume snapshot restore -vserver <svm> -volume <volume> -snapshot <snapshot>

Ripristina da un'istantanea precedente

Scegli questo flusso quando desideri ripristinare da uno snapshot precedente. Rilascia il blocco sullo snapshot ARP/AI più recente prima di ripristinare dallo snapshot precedente.

System Manager

  1. Rilascia il blocco sull'istantanea ARP/AI più recente:

    1. Selezionare Storage > Volumes (Storage > volumi).

    2. Selezionare sicurezza, quindi Visualizza tipi di file sospetti.

    3. Contrassegna i file come "potenziale attacco ransomware".

    4. Seleziona Aggiorna e cancella i tipi di file sospetti.

  2. Selezionare archiviazione > volumi, quindi selezionare il volume e Snapshot Copies.

  3. Seleziona Icona delle opzioni di menu accanto all'istantanea precedente che desideri ripristinare, quindi seleziona Ripristina.

CLI

  1. Contrassegna l'attacco come potenziale ransomware (-false-positive false e libera i file sospetti per rimuovere il blocco:

    security anti-ransomware volume attack clear-suspect -vserver <svm_name> -volume <vol_name> [<extension identifiers>] -false-positive false

  2. Elencare gli snapshot in un volume:

    volume snapshot show -vserver <svm> -volume <volume>

    L'esempio seguente mostra l'istantanea in vol1:

    clus1::> volume snapshot show -vserver vs1 -volume vol1

Vserver Volume Snapshot                State    Size  Total% Used%
------- ------ ---------- ----------- ------   -----  ------ -----
vs1	    vol1   hourly.2013-01-25_0005  valid   224KB     0%    0%
               daily.2013-01-25_0010   valid   92KB      0%    0%
               hourly.2013-01-25_0105  valid   228KB     0%    0%
               hourly.2013-01-25_0205  valid   236KB     0%    0%
               hourly.2013-01-25_0305  valid   244KB     0%    0%
               hourly.2013-01-25_0405  valid   244KB     0%    0%
               hourly.2013-01-25_0505  valid   244KB     0%    0%

7 entries were displayed.

  3. Ripristinare il contenuto di un volume da uno snapshot:

    volume snapshot restore -vserver <svm> -volume <volume> -snapshot <snapshot>

    Nell'esempio riportato di seguito viene ripristinato il contenuto di vol1:

    cluster1::> volume snapshot restore -vserver vs0 -volume vol1 -snapshot daily.2013-01-25_0010

Ripristina quando non viene rilevato alcun attacco

Se non viene identificato alcun attacco, prima ripristina dallo snapshot ARP/AI più recente e poi da uno snapshot precedente.

System Manager

  1. Selezionare archiviazione > volumi, quindi selezionare il volume e Snapshot Copies.

  2. Seleziona Icona delle opzioni di menu quindi scegli l' `Anti_ransomware`istantanea più recente.

  3. Selezionare Restore (Ripristina).

  4. Torna al menu Copie Snapshot, quindi scegli lo snapshot precedente che desideri utilizzare.

  5. Selezionare Restore (Ripristina).

CLI

  1. Ripristina prima dall'istantanea ARP/AI più recente:

    1. Elencare gli snapshot in un volume:

      volume snapshot show -vserver <svm> -volume <volume>

    2. Ripristinare il contenuto di un volume da uno snapshot:

      volume snapshot restore -vserver <svm> -volume <volume> -snapshot <snapshot>

  2. Seleziona l'istantanea precedente che desideri utilizzare e ripeti il ripristino.

Ulteriori informazioni su volume snapshot nella "Riferimento al comando ONTAP".