Skip to main content
日本語は機械翻訳による参考訳です。内容に矛盾や不一致があった場合には、英語の内容が優先されます。

ブロックデバイスワークロードにおける ONTAP ARP/AI エントロピー評価期間について

共同作成者 netapp-dbagwell
PDF

ONTAP 9.17.1 以降、ARP/AI は、ブロックデバイスのワークロードのエントロピーレベルがランサムウェア対策に適しているかどうかを判断するための評価期間を必要とします。これらのワークロードには、SAN LUN およびハイパーバイザー仮想ディスク（たとえば、NFS データストア内の VMware 仮想ディスク、および ONTAP 9.17.1P5 以降の Hyper-V、KVM、およびOpenStack仮想ディスク）が含まれ、ONTAP ボリュームに格納されています。ARP/AI が対象ボリュームで有効化されると、評価期間中はボリュームを積極的に監視および保護すると同時に、最適な暗号化しきい値を決定します。

メモ このページはARP/AIに適用されます（ONTAP 9.17.1以降）。ARPは以前のバージョンのONTAPではSANボリュームをサポートしていません。

サポートされているワークロードと評価の適用性

ブロックデバイスの評価期間は、以下のシナリオに適用されます：

  • SANボリューム：ホストまたはハイパーバイザーに対してブロックデバイスとして提示されるLUNベースのワークロード。

  • ONTAPによって自動的に検出されるハイパーバイザー仮想ディスクを含むNASボリューム：サポートされているハイパーバイザーには、VMware、Hyper-V、KVM、およびOpenStackのNFSまたはSMBデータストアに保存された仮想ディスクが含まれます。

これらのボリューム内：

  • 評価期間_は_、仮想ディスクのゲストファイルシステム内のエントロピー変化に基づいて検出された攻撃（例えば、LUNまたは仮想ディスクにマッピングされたゲストOS内のファイルに対して動作するランサムウェア）に適用されます。

  • 評価期間は、ハイパーバイザーホストから仮想ディスクファイルに直接加えられたエントロピーおよびファイル拡張子の変更に基づいて検出された攻撃には適用されません（例：ESXi NFSデータストアのマウントポイントから .vmdk ファイルに直接作用するランサムウェアなど）。これらのディスクへの直接攻撃は、異なる検出パスを使用します。

エントロピー評価を理解する

評価期間は最短2週間、最長4週間です。最初の2週間で10 GBを超えるデータが書き込まれた場合、評価はその2週間の期間の終了時に完了します。2週間以内に10 GBのしきい値に達しない場合、10 GBのデータが書き込まれるまで評価は継続され、最大4週間まで継続されます。

評価期間中、システムはサポートされているブロックデバイスおよびハイパーバイザーワークロードから、10分間隔で継続的な暗号化統計を収集します。ARP/AIの定期的なスナップショットも、4時間ごとに継続的に作成されます。一定期間内の暗号化率がこのボリューム用に特定された最適な暗号化しきい値を超えると、アラートがトリガーされ、 `Anti_ransomware_attack_backup`スナップショットが作成され、定期的なARP/AIスナップショットの保持時間が延長されます。

評価期間がアクティブであることを確認する

以下のコマンドを実行してステータスを確認することで、評価が有効になっていることを確認できます evaluation_period。評価対象外のボリュームの場合、評価ステータスは表示されません。

security anti-ransomware volume show -vserver <svm_name> -volume <volume_name>

応答例：

Vserver Name                                : vs1
Volume Name                                 : v1
State                                       : enabled
Attack Probability                          : none
Attack Timeline                             : -
Number of Attacks                           : -
Attack Detected By                          : -
Block device detection status               : Evaluation_period
評価期間のデータ収集を監視する

暗号化検出をリアルタイムで監視できます。このコマンドは、暗号化率の各範囲におけるデータ量を示すヒストグラムを返します。ヒストグラムは10分ごとに更新されます。

security anti-ransomware volume entropy-stat show-encryption-percentage-histogram -vserver <svm_name> -volume <vol_name> -duration real_time

適切なワークロードと適応しきい値

評価は次のいずれかの結果で終了します：

  • このワークロードはARP/AIに適しています。ARP/AIは、評価期間中に観測された最大暗号化率の10%を超える値に、適応型しきい値を自動的に設定します。ARP/AIは統計情報の収集を継続し、定期的にARP/AIのスナップショットを作成します。

  • このワークロードはARP/AIには適していません。ARP/AIは、評価期間中に確認された最大暗号化率に基づいて、適応型しきい値を自動的に設定します。ARP/AIは統計情報の収集を継続し、定期的にARP/AIスナップショットを作成しますが、最終的にはボリューム上でARP/AIを無効にすることを推奨します。

評価結果を決定する

評価期間終了後、ARP/AIは評価結果に基づいて適応閾値を自動的に設定します。以下のコマンドを実行することで、評価結果を確認できます。ボリュームの適合性は `Block device detection status`フィールドに示されます：

security anti-ransomware volume show -vserver <svm_name> -volume <volume_name>

応答例：

Vserver Name                               : vs1
Volume Name                                : v1
State                                      : enabled
Attack Probability                         : none
Attack Timeline                            : -
Number of Attacks                          : -
Attack Detected By                         : -
Block device detection status              : Active_suitable_workload

Block device evaluation start time :  5/16/2025 01:49:01

評価の結果として採用された値のしきい値を表示することもできます：

security anti-ransomware volume attack-detection-parameters show -vserver <svm_name> -volume <volume_name>
関連情報