Skip to main content
日本語は機械翻訳による参考訳です。内容に矛盾や不一致があった場合には、英語の内容が優先されます。

ONTAP ARP/AIを使用したランサムウェア攻撃後のデータ復旧

共同作成者 netapp-dbagwell
PDF

AIによる自律型ランサムウェア対策（ARP/AI）は、ランサムウェアの脅威から保護するためにスナップショットを作成します。データの復元には、ARP/AIスナップショット、またはボリュームの別のスナップショットを使用できます。

メモ ONTAP 9.15.1 以前を実行している場合は、"ARPを使用してランサムウェア攻撃後のデータを復旧する"を参照してください。
タスク概要

想定される攻撃状況に応じて、以下のいずれかの方法でデータを復元します：

ARP/AI は、以下のいずれかの接頭辞が付いたスナップショットを作成します：

  • Anti_ransomware_periodic_backup：ONTAP 9.17.1以降で使用され、4時間間隔で定期的に作成されるスナップショットに対応しています。例えば、 Anti_ransomware_periodic_backup.2025-06-01_1248。

  • Anti_ransomware_attack_backup：ONTAP 9.17.1以降で、異常発生時に作成されたスナップショットに使用されます。これらのスナップショットのデフォルト保持期間は10日間です。例えば、 Anti_ransomware_attack_backup.2025-08-25_1248。

  • Anti_ransomware_backup：ONTAP 9.16.1以前で、異常発生時に作成されたスナップショットに使用されます。例えば、 Anti_ransomware_backup.2022-12-20_1248。

開始する前に

リカバリ方法を選択してください

データ破損の程度と運用上の要件に応じて、これらの復旧方法のうち1つ、または複数を組み合わせて選択してください。

  • ボリュームスナップショット復元：ボリューム全体を選択したスナップショット（ARP/AI またはスケジュール済み）にロールバックします。これは最も速い方法ですが、復元ポイント以降に作成されたすべてのスナップショットが削除されます。

  • クリーンなスナップショットからFlexClone：選択したスナップショットからクローンボリュームを作成し、元のボリュームとそのすべてのスナップショットをフォレンジック分析または追加のリカバリのために保持します。感染した親ボリュームをクリーンなクローンから分離するために、クローンを親ボリュームから分割することをお勧めします。

    "スナップショットからFlexCloneボリュームを作成する"および"FlexCloneを親から分割する"の詳細を確認してください。

  • シングルファイルSnapRestore：スナップショットから個々のファイルを復元します。各ファイルは、異なるスナップショットから取得できます。これは、影響を受けるファイルの数が比較的少ない場合に実用的です。

    "Snapshot から単一ファイルを復元する"の詳細をご覧ください。

  • * `.snapshot`ディレクトリからのデータコピー*：標準のファイルコピー操作を使用して、スナップショットのマウントポイントから新しいボリュームにデータをコピーします。この方法では、分析用に元のボリュームとスナップショットが保持されます。

  • ハイブリッドアプローチ：ボリュームはまず、SnapRestoreを使用して最も近いクリーンなスナップショットにロールバックされ、その後、残りの破損したファイルは別のスナップショットまたは外部バックアップから個別に復元されます。

リカバリの制約と考慮事項

  • ONTAP 9.16.1 以降の場合：疑わしいイベントを*最初に*クリアし（"異常なアクティビティへの対処"）、その後、復元を実行します。クリア後、ARP/AI スナップショットは、アクティビティの分類方法に基づいて保持されます。ONTAP 9.17.1 以降、デフォルト値は 7 日間（実際の攻撃）または 24 時間（誤検知）です。ONTAP 9.16.1 では、デフォルト値は 5 日間（実際の攻撃）または 48 時間（誤検知）です。ボリューム復元後は「疑わしい項目をクリア」オプションが使用できなくなるため、復元前にクリアする必要があります。

  • ARP/AIスナップショットロックの解除は、 `volume snapshot restore`を使用して以前のスナップショットから復元する場合にのみ必要です。FlexClone、シングルファイルSnapRestore、データコピー操作、または同様の方法では必要ありません。

  • SANボリュームにおいて、エントロピー分析のみによって攻撃が検出された場合、攻撃タイムラインの直前に作成されたスナップショットと攻撃スナップショットのみが長期間（デフォルトでは10日間、設定可能）保持されます。その他の定期的なスナップショットは、通常の保持規則に従い続けます。これはNASボリュームとは異なり、NASボリュームでは、攻撃タイムライン以前に作成されたすべてのスナップショットは、管理者が容疑者排除措置を実行するまで保持されます。

SnapMirrorに関する考慮事項

  • ボリュームが ONTAP 9.19.1 の SnapMirror 同期または SnapMirror アクティブ同期 SAN 関係の一部であり、ボリュームレベルのリストアを計画している場合は、リストア前に静止または "リストア前に関係を解除" を実行し、リストア後に保護を再確立してください。

  • ARP/AI で保護されたボリュームが SnapMirror 関係に参加している状態でスナップショットから復元する場合は、復元後にすべてのミラーコピーを手動で更新してください。そうしないと、ミラーコピーが使用できなくなり、削除して再作成する必要が生じる可能性があります。

完全な SnapMirror および ARP/AI の相互運用性の動作については、"SnapMirrorおよびARP/AIの相互運用性" を参照してください。

システムへの攻撃後のリストア

ボリュームSnapshotのリストアについては、Snapshotのソースと状況に応じて、以下のいずれかのフローを選択してください：

最新のARP/AIスナップショットから復元する

最新のARP/AIスナップショット（復元に利用可能な最新のスナップショット）から確実に復元できる場合は、このフローを選択してください。

System Manager

  1. *ストレージ > ボリューム*を選択し、ボリュームと*Snapshotコピー*を選択します。

  2. ボリューム復元を実行する前に、"疑わしいファイルをクリアする"。

    メモ 疑わしいファイルを削除した後、ARP/AIスナップショットはデフォルトで7日間保持されます。データ復旧にさらに時間が必要な場合は、"ARP/AIスナップショット設定を調整する"保持時間を延長してください。すべてのデータ復旧が完了したら、保持期間を短縮できます。

  3. リストアする最新のARP/AIスナップショット (Anti_ransomware) の横にある メニューオプションアイコン を選択し、次に「リストア」を選択します。

CLI

  1. ボリューム内のスナップショットを一覧表示します：

    volume snapshot show -vserver <svm> -volume <volume>

  2. 実行する前に volume snapshot restore、"疑わしいファイルをクリアする"。

  3. スナップショットからボリュームの内容を復元します：

    volume snapshot restore -vserver <svm> -volume <volume> -snapshot <snapshot>

以前のスナップショットから復元する

以前のスナップショットから復元する場合は、このフローを選択してください。以前のスナップショットから復元する前に、最新の ARP/AI スナップショットのロックを解除してください。

System Manager

  1. 最新のARP/AIスナップショットのロックを解除します。

    1. *ストレージ > ボリューム*を選択します。

    2. *セキュリティ*を選択し、*疑わしいファイルの種類を表示*を選択します。

    3. ファイルを「Potential ransomware attack（潜在的なランサムウェア攻撃）」としてマークします。

    4. Update and Clear Suspected File Types を選択します。

  2. *ストレージ > ボリューム*を選択し、ボリュームと*Snapshotコピー*を選択します。

  3. メニューオプションアイコン復元する以前のSnapshotの横にあるを選択し、*復元*を選択します。

CLI

  1. この攻撃をランサムウェアの可能性ありとしてマークし（(-false-positive false）、疑わしいファイルを削除してロックを解除します：

    security anti-ransomware volume attack clear-suspect -vserver <svm_name> -volume <vol_name> [<extension identifiers>] -false-positive false

  2. ボリューム内のスナップショットを一覧表示します：

    volume snapshot show -vserver <svm> -volume <volume>

    次の例は、 `vol1`のスナップショットを示しています：

    clus1::> volume snapshot show -vserver vs1 -volume vol1

Vserver Volume Snapshot                State    Size  Total% Used%
------- ------ ---------- ----------- ------   -----  ------ -----
vs1	    vol1   hourly.2013-01-25_0005  valid   224KB     0%    0%
               daily.2013-01-25_0010   valid   92KB      0%    0%
               hourly.2013-01-25_0105  valid   228KB     0%    0%
               hourly.2013-01-25_0205  valid   236KB     0%    0%
               hourly.2013-01-25_0305  valid   244KB     0%    0%
               hourly.2013-01-25_0405  valid   244KB     0%    0%
               hourly.2013-01-25_0505  valid   244KB     0%    0%

7 entries were displayed.

  3. スナップショットからボリュームの内容を復元します：

    volume snapshot restore -vserver <svm> -volume <volume> -snapshot <snapshot>

    次の例では、 `vol1`の内容を復元します：

    cluster1::> volume snapshot restore -vserver vs0 -volume vol1 -snapshot daily.2013-01-25_0010

攻撃が確認されなかった場合は復元する

攻撃が確認されなかった場合は、まず最新のARP/AIスナップショットから復元し、次にそれ以前のスナップショットから復元してください。

System Manager

  1. *ストレージ > ボリューム*を選択し、ボリュームと*Snapshotコピー*を選択します。

  2. メニューオプションアイコンを選択し、最新の Anti_ransomware Snapshotを選択します。

  3. *復元*を選択します。

  4. * Snapshot Copies *メニューに戻り、使用する以前のスナップショットを選択します。

  5. *復元*を選択します。

CLI

  1. まず、最新のARP/AIスナップショットから復元します。

    1. ボリューム内のスナップショットを一覧表示します：

      volume snapshot show -vserver <svm> -volume <volume>

    2. スナップショットからボリュームの内容を復元します：

      volume snapshot restore -vserver <svm> -volume <volume> -snapshot <snapshot>

  2. 使用したい以前のスナップショットを選択し、復元手順を繰り返してください。

    `volume snapshot`の詳細については、link:https://docs.netapp.com/us-en/ontap-cli/search.html?q=volume+snapshot["ONTAPコマンド リファレンス"^]をご覧ください。