Skip to main content
日本語は機械翻訳による参考訳です。内容に矛盾や不一致があった場合には、英語の内容が優先されます。

自動生成された ONTAP ARP/AI スナップショットの設定を調整する

共同作成者 netapp-dbagwell
PDF

ONTAP 9.16.1 以降では、CLIを使用して、疑わしいランサムウェア攻撃に対応して自動的に生成される自律型ランサムウェア保護（ARP/AI）スナップショットの保持設定を制御できます。

メモ ONTAP 9.15.1 以前を実行している場合は、"自動生成されたARPスナップショットの設定を調整する"を参照してください。
開始する前に

ARP/AI スナップショットオプションは、"ノード SVM"でのみ変更でき、他の SVM タイプでは変更できません。

手順

  1. 現在のARP/AIスナップショット設定をすべて表示する：

    options -option-name arw*

  2. 選択された現在のARP/AIスナップショット設定を表示します：

    options -option-name <arw_setting_name>

  3. ARP/AIスナップショット設定の変更：

    options -option-name <arw_setting_name> -option-value <arw_setting_value>

    以下の設定を変更できます（ONTAP 9.16.1以降）：

    設定 概要 ARP/AI対応バージョン

    arw.snap.max.count

    ボリューム内に同時に存在できるARP/AIスナップショットの最大数を指定します。古いコピーは削除され、ARP/AIスナップショットの総数がこの制限内に収まるようにします。

    ONTAP 9.16.1以降

    arw.snap.create.interval.hours

    ARP/AIスナップショット間の間隔（時間単位）を指定します。データエントロピーに基づく攻撃が疑われ、かつ直近に作成されたスナップショットが指定された間隔よりも古い場合、新しいARP/AIスナップショットが作成されます。

    ONTAP 9.16.1以降

    arw.snap.normal.retain.interval.hours

    ARP/AIスナップショットを保持する期間（時間単位）を指定します。ARP/AIスナップショットが保持期間のしきい値に達すると、削除されます。

    ONTAP 9.16.1（9.17.1以降では非推奨）

    arw.snap.max.retain.interval.days

    ARP/AIスナップショットを保持できる最大期間（日数）を指定します。この期間よりも古いARP/AIスナップショットは、ボリュームに対する攻撃が報告されていない場合に削除されます。

    メモ ARP/AIが脅威を検出した場合、最大保持期間は無視されます。脅威に対応して作成されたARP/AIスナップショットは、脅威への対応が完了するまで保持されます。脅威を誤検出としてマークすると、 `arw.snap.retain.hours.after.clear.suspect.false.alert`で指定された保持タイマーがARP/AIスナップショットに適用されます。そのタイマーの有効期限が切れると、標準の保持設定に戻ります。

    ONTAP 9.16.1（9.17.1以降では非推奨）

    arw.snap.create.interval.hours.post.max.count

    ボリュームに既に最大数のARP/AIスナップショットが含まれている場合に、ARP/AIスナップショット間の間隔（時間単位）を指定します。最大数に達すると、新しいコピーのための領域を確保するために、ARP/AIスナップショットが削除されます。このオプションを使用すると、作成速度を落として古いコピーを保持できます。

    ONTAP 9.16.1（9.17.1以降では非推奨）

    arw.snap.new.extns.interval.hours

    新しいファイル拡張子が検出された際に作成されるARP/AIスナップショット間の間隔（時間単位）を指定します。新しいファイル拡張子が検出され、かつ前回のARP/AIスナップショットが指定された期間よりも古い場合、新しいARP/AIスナップショットが作成されます。このオプションは `arw.snap.create.interval.hours`とは独立して存在し、エントロピーに基づくスナップショットの間隔を指定します。

    ONTAP 9.16.1（9.17.1以降では非推奨）

    arw.snap.low.encryption.retain.duration.hours

    暗号化アクティビティが低い期間に作成された ARP/AI スナップショットの保持期間（時間単位）を指定します。

    ONTAP 9.17.1以降

    arw.snap.retain.hours.after.clear.suspect.false.alert

    管理者が攻撃インシデントを誤検知としてマークした後、予防措置としてARP/AIスナップショットを保持する間隔（時間単位）を指定します。

    ONTAP 9.16.1以降

    arw.snap.retain.hours.after.clear.suspect.real.attack

    管理者が攻撃インシデントを実際の攻撃としてマークした後、予防措置として ARP/AI スナップショットを保持する間隔（時間単位）を指定します。

    ONTAP 9.16.1以降

    arw.snap.surge.interval.days

    IOサージに対応して作成されるARP/AIスナップショット間の間隔（日数）を指定します。このオプションでは、ARP/AIサージスナップショットの保持期間（日数）も指定します。

    ONTAP 9.16.1以降

    arw.high.encryption.alert.enabled

    高レベルの暗号化に関するアラートを有効にします。 on（デフォルト）に設定すると、ONTAPは暗号化率が `arw.high.encryption.percentage.threshold`で指定されたしきい値を超えた場合にアラートを送信します。

    ONTAP 9.17.1以降

    arw.high.encryption.percentage.threshold

    ボリュームの最大暗号化率を指定します。暗号化率がこのしきい値を超えると、ONTAPは増加を攻撃として扱い、ARP/AIスナップショットを作成します。 `arw.high.encryption.alert.enabled`このオプションを有効にするには、 `on`に設定する必要があります。

    ONTAP 9.17.1以降

    arw.snap.high.encryption.retain.duration.hours

    高い暗号化しきい値イベント中に作成されたスナップショットの保持期間間隔を_時間単位_で指定します。

    ONTAP 9.17.1以降

  4. SAN環境でARP/AIを使用している場合は、以下の評価期間設定を変更することもできます：

    設定 概要 サポート対象のバージョン

    arw.block_device.auto.learn.threshold.min_value

    ブロック デバイスの評価の自動学習フェーズ中の最小暗号化しきい値のパーセンテージ値を指定します。

    ONTAP 9.17.1以降

    arw.block_device.auto.learn.threshold.max_value

    ブロック デバイスの評価の自動学習フェーズ中の最大暗号化しきい値のパーセンテージ値を指定します。

    ONTAP 9.17.1以降

    arw.block_device.evaluation.phase.min_hours

    暗号化しきい値が設定される前に評価フェーズを実行する必要がある最小間隔（時間単位）を指定します。

    ONTAP 9.17.1以降

    arw.block_device.evaluation.phase.max_hours

    暗号化しきい値が設定される前に評価フェーズを実行する必要がある最大間隔（時間単位）を指定します。

    ONTAP 9.17.1以降

    arw.block_device.evaluation.phase.min_data_ingest_size_GB

    暗号化しきい値が設定される前に、評価フェーズ中に取り込む必要があるデータの最小量（GB 単位）を指定します。

    ONTAP 9.17.1以降

    arw.block_device.evaluation.phase.alert.enabled

    ブロックデバイスにおけるARP/AIの評価フェーズでアラートを有効にするかどうかを指定します。デフォルト値は `True`です。

    ONTAP 9.17.1以降

    arw.block_device.evaluation.phase.alert.threshold

    ブロックデバイスにおけるARP/AIの評価フェーズ中のしきい値パーセンテージを指定します。暗号化率がこのしきい値を超えると、アラートがトリガーされます。

    ONTAP 9.17.1以降
関連情報