Skip to main content
본 한국어 번역은 사용자 편의를 위해 제공되는 기계 번역입니다. 영어 버전과 한국어 버전이 서로 어긋나는 경우에는 언제나 영어 버전이 우선합니다.

ONTAP ARP/AI를 사용하여 랜섬웨어 공격 후 데이터 복구

기여자 netapp-dbagwell
PDF

AI 기반 자율 랜섬웨어 보호(ARP/AI)는 랜섬웨어 위협으로부터 보호하기 위해 스냅샷을 생성합니다. ARP/AI 스냅샷 또는 볼륨의 다른 스냅샷을 사용하여 데이터를 복원할 수 있습니다.

참고 ONTAP 9.15.1 이하 버전을 사용 중인 경우 "ARP를 사용하여 랜섬웨어 공격 후 데이터 복구"을 참조하십시오.
이 작업에 대해

잠재적인 공격 상황에 따라 다음 방법 중 하나로 데이터를 복구할 수 있습니다.

ARP/AI는 다음 이름 중 하나가 접두사로 붙은 스냅샷을 생성합니다.

  • Anti_ransomware_periodic_backup: ONTAP 9.17.1 이상 버전에서 4시간 간격으로 생성되는 스냅샷에 사용됩니다. 예를 들어, Anti_ransomware_periodic_backup.2025-06-01_1248.

  • Anti_ransomware_attack_backup: ONTAP 9.17.1 이상 버전에서 이상 발생 시 생성되는 스냅샷에 사용됩니다. 이러한 스냅샷은 기본적으로 10일 동안 보존됩니다. 예를 들어, Anti_ransomware_attack_backup.2025-08-25_1248.

  • Anti_ransomware_backup: ONTAP 9.16.1 및 이전 버전에서 이상 현상에 대응하여 생성된 스냅샷에 사용됩니다. 예를 들어, Anti_ransomware_backup.2022-12-20_1248.

시작하기 전에

복구 방법을 선택하십시오

데이터 손상 정도와 운영 요구 사항에 따라 다음 복구 방법 중 하나 또는 여러 가지를 조합하여 선택하십시오.

  • 볼륨 스냅샷 복원: 선택한 스냅샷(ARP/AI 또는 예약된 스냅샷)으로 전체 볼륨을 복원합니다. 이 방법은 가장 빠르지만 복원 지점 이후에 생성된 모든 스냅샷이 삭제됩니다.

  • 클린 스냅샷에서 FlexClone 생성: 선택한 스냅샷에서 클론 볼륨을 생성하고, 포렌식 분석이나 추가 복구를 위해 원본 볼륨과 모든 스냅샷을 보존합니다. 감염된 상위 볼륨을 클린 클론과 격리하려면 클론을 상위 볼륨에서 분리하는 것이 좋습니다.

    "스냅샷에서 FlexClone 볼륨 생성" 및 "상위 볼륨에서 FlexClone 분할"에 대해 자세히 알아보십시오.

  • 단일 파일 SnapRestore: 스냅샷에서 개별 파일을 복원합니다. 각 파일은 서로 다른 스냅샷에서 가져올 수 있습니다. 영향을 받는 파일 수가 비교적 적을 때 유용합니다.

    "스냅샷에서 단일 파일 복원"에 대해 자세히 알아보십시오.

  • * .snapshot 디렉터리에서 데이터 복사*: 표준 파일 복사 작업을 사용하여 스냅샷 마운트 지점의 데이터를 새 볼륨으로 복사합니다. 이 방법을 사용하면 분석을 위해 원본 볼륨과 스냅샷을 보존할 수 있습니다.

  • 하이브리드 방식: 먼저 SnapRestore를 사용하여 볼륨을 가장 가까운 클린 스냅샷으로 롤백한 다음, 남아 있는 손상된 파일을 다른 스냅샷 또는 외부 백업에서 개별적으로 복원합니다.

복구 제약 조건 및 고려 사항

  • ONTAP 9.16.1 이상 버전의 경우: 먼저 ("비정상적인 활동에 응답합니다"에서) 의심스러운 이벤트를 삭제한 다음 복원을 수행하십시오. 삭제 후 ARP/AI 스냅샷은 활동 분류 방식에 따라 보존됩니다. ONTAP 9.17.1부터 기본값은 실제 공격의 경우 7일, 오탐의 경우 24시간입니다. ONTAP 9.16.1에서는 기본값이 실제 공격의 경우 5일, 오탐의 경우 48시간입니다. 볼륨 복원 후에는 의심스러운 이벤트 삭제 옵션을 사용할 수 없으므로 복원 전에 반드시 삭제해야 합니다.

  • ARP/AI 스냅샷 잠금 해제는 `volume snapshot restore`이전 스냅샷에서 복원할 때만 필요합니다. FlexClone, 단일 파일 SnapRestore, 데이터 복사 작업 또는 이와 유사한 방법에는 필요하지 않습니다.

  • 엔트로피 분석만으로 공격이 감지된 SAN 볼륨의 경우, 공격 발생 직전에 생성된 스냅샷과 공격 스냅샷만 장기간(기본값 10일, 구성 가능) 보존됩니다. 다른 주기적 스냅샷은 일반 보존 규칙을 따릅니다. 이는 NAS 볼륨과 다른 점인데, NAS 볼륨의 경우 공격 발생 이전에 생성된 모든 스냅샷은 관리자가 의심 해제 작업을 수행할 때까지 보존됩니다.

SnapMirror 고려 사항

  • 볼륨이 ONTAP 9.19.1의 SnapMirror 동기식 또는 SnapMirror 활성 동기화 SAN 관계의 일부이고 볼륨 수준 복원을 계획하는 경우, 복원 후 보호를 일시 중지하거나 "복원하기 전에 관계를 끊으십시오" 한 다음 보호를 다시 설정하십시오.

  • ARP/AI 보호 볼륨이 SnapMirror 관계에 있는 동안 스냅샷에서 복원하는 경우, 복원 후 모든 미러 복사본을 수동으로 업데이트해야 합니다. 그렇지 않으면 미러 복사본을 사용할 수 없게 되어 삭제 후 다시 생성해야 할 수 있습니다.

전체 SnapMirror 및 ARP/AI 상호 운용성 동작에 대한 자세한 내용은 "SnapMirror 및 ARP/AI 상호 운용성"을 참조하십시오.

시스템 공격 후 복원

볼륨 스냅샷 복원의 경우 스냅샷 소스 및 상황에 따라 다음 흐름 중 하나를 선택하십시오.

가장 최근의 ARP/AI 스냅샷에서 복원

가장 최근의 ARP/AI 스냅샷(복구에 사용할 수 있는 가장 최신 스냅샷)에서 복원할 수 있다는 확신이 있을 때 이 복원 흐름을 선택하십시오.

시스템 관리자

  1. 스토리지 > 볼륨 * 을 선택한 다음 볼륨 및 * Snapshot 복사본 * 을 선택합니다.

  2. 볼륨 복원을 실행하기 전에 "의심스러운 파일 지우기".

    참고 의심스러운 파일을 삭제한 후 ARP/AI 스냅샷은 기본적으로 7일 동안 보관됩니다. 데이터 복구에 더 많은 시간이 필요한 경우 "ARP/AI 스냅샷 설정 조정" 보관 기간을 늘릴 수 있습니다. 모든 데이터 복구가 완료되면 보관 기간을 줄일 수 있습니다.

  3. 복구하려는 가장 최근의 ARP/AI 스냅샷 (Anti_ransomware) 옆에 있는 메뉴 옵션 아이콘을 선택한 다음 *Restore*를 선택합니다.

CLI를 참조하십시오

  1. 볼륨의 스냅샷을 나열합니다.

    volume snapshot show -vserver <svm> -volume <volume>

  2. `volume snapshot restore`을(를) 실행하기 전에 "의심스러운 파일 지우기".

  3. 스냅숏에서 볼륨의 내용 복원:

    volume snapshot restore -vserver <svm> -volume <volume> -snapshot <snapshot>

이전 스냅샷에서 복원

이전 스냅샷에서 복원하려는 경우 이 절차를 선택하십시오. 이전 스냅샷에서 복원하기 전에 가장 최근의 ARP/AI 스냅샷에 대한 잠금을 해제하십시오.

시스템 관리자

  1. 최신 ARP/AI 스냅샷에 대한 잠금을 해제합니다.

    1. 스토리지 > 볼륨 * 을 선택합니다.

    2. 보안 * 을 선택한 다음 * 의심되는 파일 형식 보기 * 를 선택합니다.

    3. 파일을 "잠재적 랜섬웨어 공격"으로 표시합니다.

    4. *의심스러운 파일 형식 업데이트 및 지우기*를 선택합니다.

  2. 스토리지 > 볼륨 * 을 선택한 다음 볼륨 및 * Snapshot 복사본 * 을 선택합니다.

  3. 복원할 이전 스냅샷 옆의 메뉴 옵션 아이콘를 선택한 다음 *복원*을 선택하세요.

CLI를 참조하십시오

  1. 공격을 잠재적 랜섬웨어로 표시하고((-false-positive false) 의심스러운 파일을 삭제하여 잠금을 해제합니다.

    security anti-ransomware volume attack clear-suspect -vserver <svm_name> -volume <vol_name> [<extension identifiers>] -false-positive false

  2. 볼륨의 스냅샷을 나열합니다.

    volume snapshot show -vserver <svm> -volume <volume>

    다음 예에서는 의 스냅샷을 vol1 보여 줍니다.

    clus1::> volume snapshot show -vserver vs1 -volume vol1

Vserver Volume Snapshot                State    Size  Total% Used%
------- ------ ---------- ----------- ------   -----  ------ -----
vs1	    vol1   hourly.2013-01-25_0005  valid   224KB     0%    0%
               daily.2013-01-25_0010   valid   92KB      0%    0%
               hourly.2013-01-25_0105  valid   228KB     0%    0%
               hourly.2013-01-25_0205  valid   236KB     0%    0%
               hourly.2013-01-25_0305  valid   244KB     0%    0%
               hourly.2013-01-25_0405  valid   244KB     0%    0%
               hourly.2013-01-25_0505  valid   244KB     0%    0%

7 entries were displayed.

  3. 스냅숏에서 볼륨의 내용 복원:

    volume snapshot restore -vserver <svm> -volume <volume> -snapshot <snapshot>

    다음 예에서는 vol1의 내용을 복원합니다.

    cluster1::> volume snapshot restore -vserver vs0 -volume vol1 -snapshot daily.2013-01-25_0010

공격이 감지되지 않으면 복원

공격이 감지되지 않으면 먼저 가장 최근의 ARP/AI 스냅샷으로 복원한 다음 이전 스냅샷으로 복원하십시오.

시스템 관리자

  1. 스토리지 > 볼륨 * 을 선택한 다음 볼륨 및 * Snapshot 복사본 * 을 선택합니다.

  2. 메뉴 옵션 아이콘을 선택한 다음 가장 최근 Anti_ransomware 스냅샷을 선택합니다.

  3. Restore * 를 선택합니다.

  4. 스냅샷 복사본 메뉴로 돌아가서 사용할 이전 스냅샷을 선택합니다.

  5. Restore * 를 선택합니다.

CLI를 참조하십시오

  1. 먼저 가장 최근의 ARP/AI 스냅샷에서 복원하십시오.

    1. 볼륨의 스냅샷을 나열합니다.

      volume snapshot show -vserver <svm> -volume <volume>

    2. 스냅숏에서 볼륨의 내용 복원:

      volume snapshot restore -vserver <svm> -volume <volume> -snapshot <snapshot>

  2. 사용할 이전 스냅샷을 선택하고 복원을 반복하십시오.

에 대한 자세한 내용은 volume snapshot "ONTAP 명령 참조입니다"을 참조하십시오.