Skip to main content
日本語は機械翻訳による参考訳です。内容に矛盾や不一致があった場合には、英語の内容が優先されます。

AIを搭載したNetAppの自律型ランサムウェア保護でデータを保護

共同作成者 netapp-rlithman netapp-sineadd
PDF

NetApp Autonomous Ransomware Protection with AI（ARP/AI）でデータを保護します。NAS（NFS/SMB）およびSAN環境におけるアクティビティを監視し、ランサムウェア攻撃の兆候である可能性のある異常な動作を検出します。脅威が検出されると、ARP/AIが不変のスナップショットを自動的に作成するため、データを復元できます。

タスクの内容

ARP/AI を使用して、身代金が支払われるまで攻撃者がデータを保持するサービス拒否攻撃から保護します。 ARP/AI は、以下に基づいてリアルタイムのランサムウェア検出を提供します。

  • 受信データを暗号化またはプレーンテキストとして識別します。

  • 以下を検出する分析：

    • エントロピー：ファイル内のデータのランダム性を評価する指標（NASおよびSAN環境の両方で使用）

    • ファイル拡張子タイプ：通常の拡張子タイプに準拠しない拡張子（NAS環境でのみ使用）

    • ファイルIOPS：データ暗号化時に異常なボリュームアクティビティが急増する現象（NAS環境でのみ使用）

ARP/AI は、少数のファイルが暗号化されただけでほとんどのランサムウェア攻撃の拡散を検出し、データを保護するためのアクションを自動的に実行し、疑わしい攻撃が発生していることを警告します。

ARP/AI 機能は、Amazon FSx for NetApp ONTAPが実行するONTAPバージョンに応じて自動的に更新されるため、手動で更新する必要はありません。

学習モードとアクティブモード

ARP/AIの動作は、プロトコルとボリュームの種類によって異なります。

  • NASボリューム（NFS/SMB）：ARP/AIは有効化するとすぐに動作を開始します。事前学習済みのAIモデルを使用して、ランサムウェアの脅威を即座に検出します。

  • SANボリューム（ONTAP 9.17.1以降）：ARP/AIは、最初の評価期間中であっても、即座に保護を提供します。この2～4週間の期間中に、システムは通常の暗号化アクティビティを学習し、アラートのしきい値を設定します。同時に、継続的にデータを監視し、脅威を検出し、アラートを送信します。

  • アクティブモード：アクティブモードがオンの場合、FSx for ONTAPは潜在的な脅威を検知した際に、データ保護に役立つARP/AIスナップショットを作成します。

システムがファイル拡張子を異常と判断した場合は、アラートを確認してください。データ保護のためにアラートに対応することも、想定内のアクティビティであれば誤検知としてマークすることもできます。

アラートを誤検知としてマークすると、システムはアラート設定を更新します。例えば、新しいファイル拡張子によってアラートが発生し、それを誤検知としてマークした場合、システムが次にそのファイル拡張子を検出した際にはアラートは発生しません。

サポートされない構成

次の構成では、ARP/AI の使用はサポートされません。

  • NVMeボリューム

  • ONTAP バージョン 9.17.1 より前の iSCSI ボリューム

ファイルシステムまたはボリュームのARP/AIを有効にする

ファイルシステムでARP/AIを有効にすると、既存のNASボリュームと新規のNASボリューム（NFS/SMB）すべてが自動的に保護されます。ONTAP 9.17.1以降では、SANボリューム（iSCSI）もサポートしています。特定のボリュームに対してARP/AIを有効にすることもできます。

ARP/AIが有効化された後に実際の攻撃が検出された場合、Workload Factoryは自動的にスナップショットポリシーを作成します。このポリシーでは、4時間ごとに最大6つのスナップショットを作成できます。各スナップショットは2～5日間ロックされます。

開始する前に

ファイル システムまたはボリュームに対して ARP/AI を有効にするには、リンクを関連付ける必要があります。"既存のリンクを関連付ける方法、または新しいリンクを作成して関連付ける方法を学びます" 。リンクが関連付けられたら、この操作に戻ります。

ファイルシステムのARP/AIを有効にする
手順

  1. いずれかを使用してログインし"コンソールエクスペリエンス"ます。

  2. メニューを選択 ハンバーガー メニュー アイコンは、ストレージ、eda、ai、データベース、vmware、管理などのワークロードに移動するために使用されます。 次に*ストレージ*を選択します。

  3. [ストレージ] メニューから、FSx for ONTAP を選択します。

  4. *FSx for ONTAP*から、ファイルシステムのアクションメニューを選択してARP/AIを有効にし、*管理*を選択します。

  5. [情報] の下で、[Autonomous Ransomware Protection] の横にある鉛筆アイコンを選択します。 Autonomous Ransomware Protection 行の上にマウスを置くと、矢印の横に鉛筆アイコンが表示されます。

  6. NetApp Autonomous Ransomware Protection with AI (ARP/AI) ページから、次の操作を行います。

    1. 機能を有効または無効にします。

    2. 自動スナップショット作成: 保持するスナップショットの最大数と、スナップショットを取得する間隔を選択します。デフォルトでは、4 時間ごとに 6 回のスナップショットが作成されます。

    3. 不変スナップショット: 不変スナップショットを保持するデフォルトの保持期間（時間単位）と最大日数を選択します。このオプションを有効にすると、指定された保持期間が終了するまでスナップショットを削除または変更できなくなります。

    4. 検出: オプションで、次のいずれかのパラメータを選択して、自動的にスキャンし、異常を検出します。

  7. 続行するには、ステートメントを受け入れます。

  8. [適用]*を選択して変更を保存します。

ボリュームのARP/AIを有効にする
手順

  1. いずれかを使用してログインし"コンソールエクスペリエンス"ます。

  2. メニューを選択 ハンバーガー メニュー アイコンは、ストレージ、eda、ai、データベース、vmware、管理などのワークロードに移動するために使用されます。 次に*ストレージ*を選択します。

  3. [ストレージ] メニューから、FSx for ONTAP を選択します。

  4. *FSx for ONTAP*から、ファイルシステムのアクションメニューを選択してARP/AIを有効にし、*管理*を選択します。

  5. [ボリューム] タブから、ARP/AI を有効にするボリュームのアクション メニューを選択し、次に データ保護アクション、ARP/AI の管理 を選択します。

  6. ARP/AI の管理ダイアログで、次の操作を行います。

    1. 機能を有効または無効にします。

    2. 検出: オプションで、次のいずれかのパラメータを選択して、自動的にスキャンし、異常を検出します。

  7. 続行するには、ステートメントを受け入れます。

  8. [適用]*を選択して変更を保存します。

ランサムウェア攻撃を検証

攻撃が誤ったアラームであるか、本物のランサムウェアインシデントであるかを特定

手順

  1. いずれかを使用してログインし"コンソールエクスペリエンス"ます。

  2. メニューを選択 ハンバーガー メニュー アイコンは、ストレージ、eda、ai、データベース、vmware、管理などのワークロードに移動するために使用されます。 次に*ストレージ*を選択します。

  3. [ストレージ] メニューから、FSx for ONTAP を選択します。

  4. *FSx for ONTAP*から、ランサムウェア攻撃を検証するファイル システムを選択します。

  5. ファイルシステムの概要で、*[ボリューム]*タブを選択します。

  6. [Autonomous Ransomware Protection]タイルで[Analyze Attacks]*を選択します。

  7. 攻撃イベントレポートをダウンロードして、ファイルやフォルダが侵害されていないかどうかを確認し、攻撃が発生したかどうかを判断します。

  8. 攻撃が発生していない場合は、テーブル内のボリュームに対して* False alarm を選択し、 Close *を選択します。

  9. 攻撃が発生した場合は、表のボリュームに対して* Real Attack を選択します。[Restore compromised volume data]ダイアログが開きます。すぐにに進むか、[閉じる]*を選択して後でリカバリプロセスを完了することができますデータをリカバリ。

ランサムウェア攻撃のあとにデータをリカバリ

システムが攻撃の可能性を検出すると、その時点のボリュームのスナップショットを作成し、ロックします。

攻撃が後日確認された場合、スナップショットから影響を受けたファイルまたはボリューム全体を復元できます。

ロックされたスナップショットは、保持期間が経過するまで削除できません。攻撃が後に誤報であったと判明した場合、ロックされたスナップショットは削除されます。

システムが影響を受けたファイルと攻撃の発生時刻を特定するため、ボリューム全体を復元する代わりに、利用可能なスナップショットから影響を受けたファイルのみを復元できます。

手順

  1. いずれかを使用してログインし"コンソールエクスペリエンス"ます。

  2. メニューを選択 ハンバーガー メニュー アイコンは、ストレージ、eda、ai、データベース、vmware、管理などのワークロードに移動するために使用されます。 次に*ストレージ*を選択します。

  3. [ストレージ] メニューから、FSx for ONTAP を選択します。

  4. *FSx for ONTAP*から、データを回復するファイルシステムを選択します。

  5. ファイルシステムの概要で、*[ボリューム]*タブを選択します。

  6. [Autonomous Ransomware Protection]タイルで[Analyze Attacks]*を選択します。

  7. 攻撃が発生した場合は、表のボリュームに対して* Real Attack *を選択します。

  8. [Restore compromised volume data]ダイアログで、指示に従って、ファイルレベルまたはボリュームレベルでリストアします。ほとんどの場合、ボリューム全体ではなくファイルをリストアします。

  9. リストアが完了したら、*[閉じる]*を選択します。

結果

侵害されたデータが復元されました。