O modelo de aprendizado de máquina da ARP/AI é pré-treinado em um grande conjunto de dados de arquivos, tanto antes quanto depois de um ataque de ransomware simulado. Esse treinamento, que exige muitos recursos, é realizado fora do ONTAP, utilizando conjuntos de dados de pesquisa forense de código aberto. Os dados do cliente não são utilizados em nenhum momento do pipeline de modelagem. O modelo pré-treinado é incluído on-box com o ONTAP e não é acessível ou modificável por meio da CLI do ONTAP ou da API do ONTAP.

O ARP/AI fornece proteção ativa imediata nos seguintes tipos de volume suportados:

Para manter a proteção atualizada contra as ameaças de ransomware mais recentes, o ARP/AI oferece atualizações automáticas frequentes que ocorrem fora dos ciclos regulares de atualização e lançamento do ONTAP. Se você tiver "atualizações automáticas ativadas", também poderá receber atualizações de segurança automáticas para o ARP/AI após selecionar atualizações automáticas para arquivos de segurança. Você também pode "faça essas atualizações manualmente"configurar e controlar quando elas ocorrem.

A partir do ONTAP 9.16,1, as atualizações de segurança para ARP/AI estão disponíveis usando o Gerenciador do sistema, além das atualizações de sistema e firmware.

"Saiba mais sobre as atualizações ARP/AI"

O ARP/AI identifica os dados recebidos como criptografados ou em texto simples e utiliza um modelo de aprendizado de máquina pré-treinado que avalia simultaneamente múltiplos sinais baseados em entropia e padrões de comportamento de arquivos para detectar atividades de ransomware em tempo real.

O ARP/AI detecta a propagação da maioria dos ataques de ransomware após apenas um pequeno número de arquivos serem criptografados, responde automaticamente para proteger os dados e alerta você que um ataque suspeito está acontecendo.

O ARP/AI oferece opções flexíveis de capacitação nos níveis de cluster, SVM e volume.

A partir do ONTAP 9.18.1, o ARP/AI é habilitado por padrão em todos os novos volumes para os sistemas AFF série A, AFF série C, ASA e ASA r2. Essa capacitação automática padrão não se aplica a "volumes ou configurações não suportadas". Você pode "Habilitar manualmente ARP/AI em volumes existentes".

Você pode "Ativar ou desativar a capacitação padrão" a qualquer momento após a implantação.

Se você desativou a capacitação automática padrão no nível do cluster, também pode optar por "Ative manualmente o ARP/AI por padrão em todos os novos volumes" no nível do SVM. Para o ONTAP 9.17.1 e versões anteriores, esta é a única maneira de configurar o ARP/AI para ser ativado por padrão em novos volumes.

A partir do ONTAP 9.18.1, você pode habilitar manualmente o ARP/AI em todos os volumes existentes no nível do cluster (selecione Cluster > Segurança e na seção Anti-ransomware, depois selecione Habilitar em todos os volumes existentes).

Para ativar o ARP/AI em um volume específico, consulte "Ativar ARP/AI em um volume".

O ARP/AI protege os volumes imediatamente, sem período de aprendizagem. As tabelas a seguir descrevem como a proteção se comporta por tipo de volume.

O ARP/AI avalia continuamente a probabilidade de ameaças à medida que os dados são gravados no armazenamento. Quando o modelo de aprendizado de máquina determina que a atividade corresponde a um perfil de ransomware, o ONTAP gera uma notificação do EMS no nível de ameaça moderado, solicitando que você avalie a ameaça. O ARP/AI não utiliza um nível de ameaça baixo; todas as detecções são relatadas no nível moderado.

Você pode visualizar informações sobre ameaças moderadas na seção Eventos do System Manager ou com o comando security anti-ransomware volume show. Saiba mais sobre security anti-ransomware volume show no "Referência do comando ONTAP".

Para obter mais informações, consulte "Responder a atividades anormais".

O ARP/AI cria um instantâneo quando detecta os primeiros sinais de um ataque. Em seguida, realiza-se uma análise para confirmar ou descartar o possível ataque. Como o ARP/AI também gera instantâneos em intervalos regulares de 4 horas, a presença desses instantâneos não deve ser considerada uma anomalia. Se um ataque for confirmado, a probabilidade do ataque é definida como Moderate e uma notificação de ataque é gerada.

A tabela a seguir resume o comportamento do snapshot ARP/AI.

O ARP/AI cria snapshots bloqueados quando detecta os primeiros sinais de um ataque. Você precisará confirmar se o ataque é real ou um falso positivo. Snapshots bloqueados não podem ser excluídos por meios normais. No entanto, se você decidir posteriormente marcar o ataque como um falso positivo, o ONTAP exclui a cópia bloqueada.

Se você confirmar o ataque, o volume pode ser restaurado usando o snapshot ARP/AI. Você pode recuperar arquivos afetados a partir de snapshots selecionados, em vez de reverter o volume inteiro.

A partir do ONTAP 9.13.1, recomenda-se habilitar a verificação multi-administradora (MAV) para que dois ou mais administradores de usuário autenticados sejam necessários para a configuração ARP/AI. Para obter mais informações, consulte "Ative a verificação de vários administradores".