Configurazioni supportate per ONTAP Autonomous Ransomware Protection con IA
Suggerisci modifiche
PDF
La protezione autonoma contro i ransomware con intelligenza artificiale (ARP/AI) è disponibile per i carichi di lavoro NAS (a partire da ONTAP 9.16.1) e SAN (a partire da ONTAP 9.17.1). Prima di implementare ARP/AI, controlla le configurazioni e i casi d'uso supportati e assicurati che il tuo ambiente soddisfi i requisiti.
|
Se usi ONTAP 9.15.1 o versioni precedenti, vedi "Configurazioni supportate per ARP". |
Carichi di lavoro adatti
ARP/AI è adatto a questi tipi di carichi di lavoro:
-
Database su storage NFS o SAN
-
Home directory Windows o Linux
-
Immagini e video (ad esempio, cartelle cliniche e dati di Electronic Design Automation (EDA))
-
Carichi di lavoro SAN su volumi contenenti LUN o namespace NVMe (ONTAP 9.17.1 e versioni successive)
-
Carichi di lavoro di macchine virtuali su VMware, Hyper-V, KVM e OpenStack (ONTAP 9.17.1 e versioni successive)
Carichi di lavoro non adatti
ARP/AI non è adatto a questo tipo di carichi di lavoro:
-
Carichi di lavoro con un'elevata frequenza di operazioni di creazione o eliminazione di file (centinaia di migliaia di file in pochi secondi; ad esempio, carichi di lavoro di test/sviluppo).
Il rilevamento delle minacce da parte di ARP/AI si basa sulla sua capacità di riconoscere un picco insolito di operazioni di creazione, ridenominazione o eliminazione di file. Se l'applicazione stessa è la fonte dell'attività sui file, non è possibile distinguerla efficacemente da un'attività ransomware.
-
Carichi di lavoro in cui l'applicazione o l'host crittografano i dati.
ARP/AI si basa sulla capacità di distinguere i dati in entrata come crittografati o non crittografati. Se l'applicazione stessa crittografa i dati, l'efficacia della funzionalità si riduce. Tuttavia, ARP/AI può comunque funzionare in base all'attività sui file (eliminazione, sovrascrittura o creazione, oppure creazione o ridenominazione con una nuova estensione) e al tipo di file.
-
Carichi di lavoro all'interno di macchine virtuali che coinvolgono un gran numero di file altamente compressi o crittografati (come file 7z, ZIP o file PDF o DOC protetti da password).
Configurazioni supportate
ARP/AI supporta carichi di lavoro NAS e SAN su diverse versioni e ambienti ONTAP. Verifica le funzionalità supportate per assicurarti che il tuo ambiente sia supportato prima di implementare ARP/AI.
Supporto di base
Il supporto ARP/AI è disponibile a partire da ONTAP 9.16.1 e include i carichi di lavoro NAS (NFS e SMB) su volumi FlexVol e configurazioni MetroCluster, senza necessità di alcun periodo di apprendimento.
Supporto del protocollo e dell'hypervisor per versione di ONTAP
-
ONTAP 9.17.1 e versioni successive: carichi di lavoro di dispositivi a blocchi SAN (volumi contenenti LUN o namespace NVMe) e volumi NAS contenenti dischi virtuali VMware.
-
ONTAP 9.17.1P5 e versioni successive: volumi NAS contenenti hypervisor Hyper-V, KVM e OpenStack.
Matrice di supporto delle funzionalità e delle configurazioni
Il supporto per configurazioni e tipi di volume aggiuntivi è disponibile nelle seguenti versioni di ONTAP:
| ONTAP 9.19.1 | ONTAP 9.18.1 | ONTAP 9.17.1 | ONTAP 9.16.1 | |
|---|---|---|---|---|
Volumi protetti con SnapMirror asincrono |
✓ |
✓ |
✓ |
✓ |
Volumi protetti con SnapMirror sincrono 1 |
✓ |
|||
Volumi protetti con SnapMirror active sync 1 |
✓ |
|||
SVM protette con SnapMirror asincrono (disaster recovery SVM) |
✓ |
✓ |
✓ |
✓ |
Mobilità dei dati SVM ( |
✓ |
✓ |
✓ |
✓ |
Volumi FlexGroup |
✓ |
✓ |
✓ 2 |
✓ 2 |
Verifica multi-admin |
✓ |
✓ |
✓ |
✓ |
Abilitazione predefinita di ARP/AI |
✓ |
✓ |
1 A partire da ONTAP 9.19.1, ARP/AI supporta i volumi primari nelle relazioni SnapMirror sincrone per NAS e SAN su sistemi FAS, AFF serie A, AFF serie C e AFX, e i volumi primari nelle relazioni SnapMirror active sync SAN su sistemi AFF serie A, AFF serie C e ASA r2. Per ulteriori informazioni, vedi SnapMirror e interoperabilità ARP/AI.
2 ONTAP 9.16.1 e 9.17.1 FlexGroup volumi utilizzano il modello ARP precedente ad ARP/AI; il supporto completo di ARP/AI per FlexGroup volumi inizia in ONTAP 9.18.1.
SnapMirror e interoperabilità ARP/AI
A partire da ONTAP 9.12.1, ARP è supportato sui volumi di destinazione asincroni SnapMirror.
A partire da ONTAP 9.19.1, ARP/AI supporta i volumi primari che partecipano a SnapMirror relazioni SAN sincrone e di sincronizzazione attiva SnapMirror, con il seguente comportamento:
-
ARP/AI è supportato sui volumi primari nelle relazioni SnapMirror sincrone per NAS e SAN su sistemi FAS, AFF serie A, AFF serie C e AFX.
-
ARP/AI è supportato sui volumi primari nelle relazioni SAN di sincronizzazione attiva SnapMirror su sistemi AFF serie A, AFF serie C e ASA r2.
-
Le analisi ARP/AI vengono eseguite solo sul volume primario attivo, in modalità lettura-scrittura, nelle relazioni SAN SnapMirror synchronous e SnapMirror active sync.
-
Gli snapshot ARP/AI non vengono replicati sul volume secondario nelle relazioni di SnapMirror synchronous o SnapMirror active sync. Devi "riattiva ARP/AI" sul volume di ripristino dopo il failover.
|
|
Poiché ogni operazione di scrittura viene registrata su entrambi i volumi in una relazione di mirroring sincrono, è sufficiente abilitare ARP/AI solo sul volume primario per rilevare le anomalie. I metadati interni generati dall'analisi ARP/AI sul volume primario vengono replicati sul secondario. Per questo motivo, se ARP/AI viene abilitato sul volume secondario dopo un failover, i metadati necessari saranno già presenti. |
Se un volume sorgente SnapMirror asincrono è abilitato per ARP/AI, il volume di destinazione SnapMirror acquisisce automaticamente lo stato di configurazione ARP/AI (ad esempio enabled), i dati di sicurezza ARP/AI e gli snapshot creati da ARP/AI del volume sorgente. Non è richiesta alcuna abilitazione esplicita.
Sebbene il volume di destinazione asincrono sia costituito da snapshot di sola lettura (RO), non viene eseguita alcuna elaborazione ARP/AI sui suoi dati. Tuttavia, quando il volume di destinazione asincrono SnapMirror viene convertito in lettura/scrittura (RW), ARP/AI viene automaticamente abilitato sul volume di destinazione convertito in RW.
ARP/AI e macchine virtuali
ARP/AI supporta le macchine virtuali (VM) su VMware, Hyper-V, KVM e OpenStack. Il supporto per VMware è disponibile a partire da ONTAP 9.17.1; il supporto per Hyper-V, KVM e OpenStack è disponibile a partire da ONTAP 9.17.1P5. Il rilevamento ARP/AI si comporta in modo diverso per le modifiche all'interno e all'esterno della VM. ARP/AI non è consigliato per carichi di lavoro che coinvolgono un numero elevato di file altamente compressi (come 7z e ZIP) o file crittografati (come PDF, DOC o ZIP protetti da password) all'interno della VM.
ARP/AI può rilevare le modifiche alle estensioni dei file su un volume NFS al di fuori della VM se una nuova estensione entra nel volume in stato crittografato o se l'estensione di un file cambia.
Se un attacco ransomware modifica i file all'interno della macchina virtuale senza apportare modifiche all'esterno della macchina virtuale, ARP/AI rileva la minaccia se l'entropia predefinita della macchina virtuale è bassa (ad esempio, file .txt, .docx o .mp4). A partire dal supporto SAN in ONTAP 9.17.1, ARP/AI genera un avviso di minaccia anche se rileva un'anomalia di entropia all'interno della macchina virtuale.
Se, per impostazione predefinita, i file presentano un'elevata entropia (ad esempio, file .gzip o protetti da password), le capacità di rilevamento di ARP/AI sono limitate. ARP/AI può comunque acquisire snapshot proattivi in questo caso; tuttavia, non vengono attivati avvisi se le estensioni dei file non sono state modificate esternamente.
|
|
Il rilevamento degli attacchi che si verificano all'interno di una VM è disponibile solo per i volumi FlexVol e non è disponibile se il datastore della VM è configurato su un volume FlexGroup in ONTAP 9.18.1 e versioni successive. |
Configurazioni non supportate
ARP/AI non è supportato negli ambienti ONTAP S3.
ARP/AI non supporta le seguenti configurazioni di volume:
-
FlexGroup volumi con ONTAP 9.16.1 e 9.17.1 (FlexGroup volumi utilizzano il modello ARP precedente in queste versioni; il supporto ARP/AI per FlexGroup volumi inizia in ONTAP 9.18.1)
-
FlexCache volumi (ARP/AI è supportato sui volumi di origine FlexVol ma non sui volumi di cache)
-
Volumi offline
-
Volumi SnapLock
-
SnapMirror active sync in ONTAP 9.18.1 e versioni precedenti
-
SnapMirror synchronous in ONTAP 9.18.1 e versioni precedenti
-
Configura a cascata da un volume di destinazione SnapMirror sincrono
-
Volumi limitati
-
Volumi root di storage VM
-
Volumi di VM storage interrotte
-
Conversione da FlexVol a FlexGroup (ARP/AI deve essere disabilitato prima della conversione)
Considerazioni sulle prestazioni e sulla frequenza di ARP/AI
ARP/AI può avere un impatto minimo sulle prestazioni del sistema, misurato in throughput e IOPS di picco. L'impatto dipende dallo specifico carico di lavoro del volume. Per i carichi di lavoro comuni, sono consigliati i seguenti limiti di configurazione:
| Caratteristiche del carico di lavoro | Limite di volume consigliato per nodo | Degrado delle prestazioni quando viene superato il limite del volume per nodo 1 |
|---|---|---|
Lettura intensiva o i dati possono essere compressi |
150 |
4% degli IOPS massimi |
Scrittura intensiva e i dati non possono essere compressi |
60 |
|
1 Le prestazioni del sistema non subiscono riduzioni oltre queste percentuali, indipendentemente dal numero di volumi aggiunti oltre i limiti consigliati.
|
|
L'attivazione predefinita di ARP/AI su un numero elevato di nuovi volumi potrebbe aumentare l'utilizzo delle risorse di sistema. Considera le esigenze di spazio per processi concorrenti come gli snapshot quando abiliti ARP/AI sui volumi. |
A partire da ONTAP 9.18.1, ARP/AI supporta limiti di volume più elevati in base al tipo di piattaforma e al numero di core:
| Tipo di piattaforma | Numero massimo di volumi abilitati ARP/AI per nodo |
|---|---|
Di fascia bassa (sistemi con fino a 20 CPU core) |
250 |
Medio (sistemi con fino a 64 core CPU) |
750 |
Di fascia alta (sistemi con più di 64 CPU core) |
1000 |
|
|
Il numero di core della CPU si applica a ciascun singolo nodo in una coppia HA. |
Considerazioni sull'aggiornamento dei cluster esistenti
|
|
Se stai implementando un nuovo cluster ONTAP 9.18.1 o versioni successive, ARP/AI è abilitato automaticamente per impostazione predefinita sui nuovi volumi. Vedi "Scopri di più su ARP/AI". |
Quando esegui l'aggiornamento a ONTAP 9.18.1 o versioni successive su sistemi AFF serie A, AFF serie C, ASA o ASA r2, ARP/AI viene abilitato automaticamente per impostazione predefinita per i nuovi volumi dopo un grace period di 12 ore. Durante il grace period, puoi "disattivare l'attivazione automatica". I volumi esistenti non vengono modificati; devi "abilita manualmente ARP/AI" sui volumi esistenti.
Per i volumi FlexGroup aggiornati da ONTAP 9.17.1 o versioni precedenti a ONTAP 9.18.1, ARP/AI diventa disponibile automaticamente e i volumi in modalità di apprendimento passano alla modalità attiva.
Verifica multi-amministratore con volumi protetti da ARP/AI
A partire da ONTAP 9.13.1, puoi abilitare la verifica multi-amministratore (MAV) per una maggiore sicurezza con ARP/AI. La MAV garantisce che siano necessari almeno due o più amministratori autenticati per disattivare ARP/AI, sospendere ARP/AI o contrassegnare un attacco sospetto come falso positivo su un volume protetto. Scopri come "Abilita MAV per i volumi protetti da ARP/AI".
Devi definire gli amministratori per un gruppo MAV e creare regole MAV per i comandi security anti-ransomware volume disable, security anti-ransomware volume pause e security anti-ransomware volume attack clear-suspect che vuoi proteggere.
Ulteriori informazioni su security anti-ransomware volume disable, security anti-ransomware volume pause e security anti-ransomware volume attack clear-suspect nella "Riferimento al comando ONTAP".