ARPは受信データを暗号化されたデータか平文データかを識別し、ランサムウェアの活動を検出するために以下の個別のシグナルを使用します：

ARPは、少数のファイルが暗号化されただけでほとんどのランサムウェア攻撃の拡散を検出し、自動的に応答してデータを保護し、疑わしい攻撃が発生していることを警告します。

ARPはボリュームごとに手動で有効化するか、SVMレベルで新規ボリュームにデフォルトで設定されます。

ARPは、アクティブ検出に切り替える前に、まず学習モードで動作の基準値を確立します。

ARPは、脅威の確率を2つのレベルで評価します。

ONTAPは低レベルの脅威についてはアラートを送信しませんが、ONTAP 9.14.1以降では"デフォルトのアラート設定を変更する"できます。詳細については、"異常なアクティビティへの対処"を参照してください。

中程度の脅威に関する情報は、System Manager の イベント セクション、または `security anti-ransomware volume show`コマンドを使用して確認できます。低脅威イベントは、 `security anti-ransomware volume show`コマンドを使用して確認することもできます。 `security anti-ransomware volume show`の詳細については、"ONTAPコマンド リファレンス"を参照してください。

ARPは、攻撃の初期兆候が検出された時点でスナップショットを作成します。その後、詳細な分析が行われ、潜在的な攻撃の可能性を確認するか否定します。ARPスナップショットは攻撃が完全に確認される前から事前に作成されるため、その存在は異常とみなすべきではありません。攻撃の可能性が確認された場合、攻撃の確率は `Moderate`に引き上げられ、攻撃通知が生成されます。

ONTAP 9.11.1 以降では、"Snapshotのデータ保持設定を変更する" できます。

以下の表は、ARPスナップショットの動作をまとめたものです。

ARPは、攻撃の初期兆候が検出された時点で、ロックされたスナップショットを作成します。その攻撃が本物か、誤検知かを確認する必要があります。ロックされたスナップショットは、通常の手段では削除できません。しかし、後でその攻撃を誤検出としてマークすることにした場合、ONTAPはロックされたコピーを削除します。

攻撃が確認されれば、ARPスナップショットを使用してボリュームを復元できます。ボリューム全体をリバートする代わりに、選択したSnapshotから影響を受けたファイルをリカバリできます。

ONTAP 9.13.1以降では、ARP構成に2人以上の認証済みユーザー管理者が必要となるように、マルチ管理者検証（MAV）を有効にすることをお勧めします。詳細については、"複数管理者による検証を有効にする"を参照してください。