ONTAP ARP/AIスナップショット応答ポリシーと設定を構成します
変更を提案
PDF
ONTAP 9.16.1以降では、CLIを使用して、AIによる自律型ランサムウェア対策（ARP/AI）スナップショットの作成および保持設定を制御できます。ONTAP 9.20.1以降では、定期的なスナップショットと攻撃時のスナップショットの応答ポリシーを設定して、異常なアクティビティを検出したときにARP/AIがスナップショットを作成するかどうかを制御することもできます。
|
ONTAP 9.15.1 以前を実行している場合は、"自動生成されたARPスナップショットの設定を調整する"を参照してください。 |
スナップショット応答ポリシーを設定する
ONTAP 9.20.1以降では、ARP/AIが異常なアクティビティを検出したときにスナップショットを作成するかどうかを制御するために、定期的なスナップショットと攻撃スナップショットに対するARP/AIスナップショット応答ポリシーを設定できます。ポリシーはSVMレベルで設定することも（SVM上のすべてのボリュームがその設定を継承します）、ボリュームレベルで上書きすることもできます。
以下のスナップショット応答ポリシーが利用可能です：
| ポリシー | 動作 |
|---|---|
|
（デフォルト）ARP/AIはアラートとイベントログを生成し、定期的にスナップショットを作成し、攻撃が検出されたときに追加のスナップショットを作成します。 |
|
ARP/AIは、攻撃が検出された場合にのみ、アラートとイベントログを生成し、スナップショットを作成します。定期的なスナップショットは作成されません。 |
|
ARP/AIはアラートとイベントログのみを生成します。ARP/AIスナップショットは作成されません。 |
|
ポリシーを `alert-only`に設定すると、ARP/AIはスナップショットを作成しません。ランサムウェア攻撃が確認された場合、攻撃が進行中であっても、データ復旧に利用できるARP/AIスナップショットは存在しません。 `alert-only`を使用する前に、スケジュールされたONTAPスナップショット、SnapCenterバックアップ、またはその他のバックアップソリューションなど、適切な外部データ保護が確保されていることを確認してください。 |
|
|
スナップショット応答ポリシーを変更しても、既存のARP/AIスナップショットはすぐには削除されません。スケジュールされた有効期限に達したときに削除されます。ポリシー変更後、すぐにストレージ容量が解放されるとは想定しないでください。 |
SVMレベルでスナップショット応答ポリシーを設定します：
-
クラスタ > Storage VM を選択し、storage VMを選択します。
-
*設定*タブに移動します。*セキュリティ*の下にある*ランサムウェア対策*タイルを見つけて、
を選択します。 -
*保護レベル*で、SVM上のすべてのARP/AI対応ボリュームに適用する保護タイプを選択します。
-
*保存*を選択します。
ボリュームレベルでスナップショット応答ポリシーを設定します：
-
ストレージ > *ボリューム*を選択し、ボリュームを選択します。
-
「セキュリティ」タブで、「ランサムウェア対策」セクションを見つけ、
を選択します。 -
*保護レベル*で、このボリュームのSVMレベルの設定を上書きするスナップショット応答ポリシーを選択します。
-
*保存*を選択します。
-
現在のARP/AIスナップショット応答ポリシーを表示します：
SVMレベルでは：
security anti-ransomware vserver snapshot-settings show -vserver <svm_name>ボリュームレベルで：
security anti-ransomware volume snapshot-settings show -vserver <svm_name> -volume <volume_name> -
ARP/AIスナップショット応答ポリシーを設定します：
SVMレベルでは：
security anti-ransomware vserver snapshot-settings modify -vserver <svm_name> -anti-ransomware-snapshot-policy <policy>
この設定は、ARP/AIが有効になっているボリュームに適用されます。これは、既存のARP/AI対応ボリュームに遡及的に影響を与えるものではありません。 ボリュームレベルで（SVMレベルの設定を上書きします）：
security anti-ransomware volume snapshot-settings modify -vserver <svm_name> -volume <volume_name> -anti-ransomware-snapshot-policy <policy>
スナップショットの作成と保持設定を調整する
|
|
ONTAP 9.20.1以降では、以下の設定は、スナップショット応答ポリシーが `alert-with-proactive-snapshot`または `alert-with-proactive-and-periodic-snapshot`の場合にのみ適用されます。 |
ARP/AI スナップショットオプションは、"ノード SVM"でのみ変更でき、他の SVM タイプでは変更できません。
-
現在のARP/AIスナップショット設定をすべて表示する：
options -option-name arw* -
選択された現在のARP/AIスナップショット設定を表示します：
options -option-name <arw_setting_name> -
ARP/AIスナップショット設定の変更：
options -option-name <arw_setting_name> -option-value <arw_setting_value>以下の設定を変更できます（ONTAP 9.16.1以降）：
設定 概要 ARP/AI対応バージョン arw.snap.max.countボリューム内に同時に存在できるARP/AIスナップショットの最大数を指定します。古いコピーは削除され、ARP/AIスナップショットの総数がこの制限内に収まるようにします。
ONTAP 9.20.1以降、この設定は、スナップショット応答ポリシーが `alert-with-proactive-and-periodic-snapshot`に設定されている場合にのみ適用されます。ポリシーが `alert-with-proactive-snapshot`または `alert-only`に設定されている場合、ONTAPはこの設定を無視します。 ONTAP 9.16.1以降
arw.snap.create.interval.hoursARP/AIスナップショット間の間隔（時間単位）を指定します。データエントロピーに基づく攻撃が疑われ、かつ直近に作成されたスナップショットが指定された間隔よりも古い場合、新しいARP/AIスナップショットが作成されます。
ONTAP 9.16.1以降
arw.snap.normal.retain.interval.hoursARP/AIスナップショットを保持する期間（時間単位）を指定します。ARP/AIスナップショットが保持期間のしきい値に達すると、削除されます。
ONTAP 9.16.1（9.17.1以降では非推奨）
arw.snap.max.retain.interval.daysARP/AIスナップショットを保持できる最大期間（日数）を指定します。この期間よりも古いARP/AIスナップショットは、ボリュームに対する攻撃が報告されていない場合に削除されます。
ARP/AIが脅威を検出した場合、最大保持期間は無視されます。脅威に対応して作成されたARP/AIスナップショットは、脅威への対応が完了するまで保持されます。脅威を誤検出としてマークすると、 `arw.snap.retain.hours.after.clear.suspect.false.alert`で指定された保持タイマーがARP/AIスナップショットに適用されます。そのタイマーの有効期限が切れると、標準の保持設定に戻ります。 ONTAP 9.16.1（9.17.1以降では非推奨）
arw.snap.create.interval.hours.post.max.countボリュームに既に最大数のARP/AIスナップショットが含まれている場合に、ARP/AIスナップショット間の間隔（時間単位）を指定します。最大数に達すると、新しいコピーのための領域を確保するために、ARP/AIスナップショットが削除されます。このオプションを使用すると、作成速度を落として古いコピーを保持できます。
ONTAP 9.16.1（9.17.1以降では非推奨）
arw.snap.new.extns.interval.hours新しいファイル拡張子が検出された際に作成されるARP/AIスナップショット間の間隔（時間単位）を指定します。新しいファイル拡張子が検出され、かつ前回のARP/AIスナップショットが指定された期間よりも古い場合、新しいARP/AIスナップショットが作成されます。このオプションは `arw.snap.create.interval.hours`とは独立して存在し、エントロピーに基づくスナップショットの間隔を指定します。
ONTAP 9.16.1（9.17.1以降では非推奨）
arw.snap.low.encryption.retain.duration.hours暗号化アクティビティが低い期間に作成された ARP/AI スナップショットの保持期間（時間単位）を指定します。
ONTAP 9.17.1以降
arw.snap.retain.hours.after.clear.suspect.false.alert管理者が攻撃インシデントを誤検知としてマークした後、予防措置としてARP/AIスナップショットを保持する間隔（時間単位）を指定します。
ONTAP 9.16.1以降
arw.snap.retain.hours.after.clear.suspect.real.attack管理者が攻撃インシデントを実際の攻撃としてマークした後、予防措置として ARP/AI スナップショットを保持する間隔（時間単位）を指定します。
ONTAP 9.16.1以降
arw.snap.surge.interval.daysIOサージに対応して作成されるARP/AIスナップショット間の間隔（日数）を指定します。このオプションでは、ARP/AIサージスナップショットの保持期間（日数）も指定します。
ONTAP 9.16.1以降
arw.high.encryption.alert.enabled高レベルの暗号化に関するアラートを有効にします。
on（デフォルト）に設定すると、ONTAPは暗号化率が `arw.high.encryption.percentage.threshold`で指定されたしきい値を超えた場合にアラートを送信します。ONTAP 9.17.1 のみ
arw.high.encryption.percentage.thresholdボリュームの最大暗号化率を指定します。暗号化率がこのしきい値を超えると、ONTAPは増加を攻撃として扱い、ARP/AIスナップショットを作成します。 `arw.high.encryption.alert.enabled`このオプションを有効にするには、 `on`に設定する必要があります。
ONTAP 9.17.1 のみ
arw.snap.high.encryption.retain.duration.hours高い暗号化しきい値イベント中に作成されたスナップショットの保持期間間隔を_時間単位_で指定します。
ONTAP 9.17.1以降
-
SAN環境でARP/AIを使用している場合は、以下の評価期間設定を変更することもできます：
設定 概要 サポート対象のバージョン arw.block_device.auto.learn.threshold.min_valueブロック デバイスの評価の自動学習フェーズ中の最小暗号化しきい値のパーセンテージ値を指定します。
ONTAP 9.17.1以降
arw.block_device.auto.learn.threshold.max_valueブロック デバイスの評価の自動学習フェーズ中の最大暗号化しきい値のパーセンテージ値を指定します。
ONTAP 9.17.1以降
arw.block_device.evaluation.phase.min_hours暗号化しきい値が設定される前に評価フェーズを実行する必要がある最小間隔（時間単位）を指定します。
ONTAP 9.17.1以降
arw.block_device.evaluation.phase.max_hours暗号化しきい値が設定される前に評価フェーズを実行する必要がある最大間隔（時間単位）を指定します。
ONTAP 9.17.1以降
arw.block_device.evaluation.phase.min_data_ingest_size_GB暗号化しきい値が設定される前に、評価フェーズ中に取り込む必要があるデータの最小量（GB 単位）を指定します。
ONTAP 9.17.1以降
arw.block_device.evaluation.phase.alert.enabledブロックデバイスにおけるARP/AIの評価フェーズでアラートを有効にするかどうかを指定します。デフォルト値は `True`です。
ONTAP 9.17.1以降
arw.block_device.evaluation.phase.alert.thresholdブロックデバイスにおけるARP/AIの評価フェーズ中のしきい値パーセンテージを指定します。暗号化率がこのしきい値を超えると、アラートがトリガーされます。
ONTAP 9.17.1以降