Skip to main content
O português é fornecido por meio de tradução automática para sua conveniência. O inglês precede o português em caso de inconsistências.

Recupere dados após um ataque de ransomware com o ONTAP ARP

Colaboradores netapp-dbagwell
PDFs

A Proteção Autônoma contra Ransomware (ARP) cria snapshots para proteger contra ameaças de ransomware em volumes NAS. Você pode usar snapshots do ARP ou outro snapshot do seu volume para restaurar dados.

Observação Se você estiver executando o ONTAP 9.16.1 ou posterior, consulte "Recupere dados após um ataque de ransomware com ARP/AI".
Sobre esta tarefa

Dependendo da situação potencial do ataque, você restaurará os dados de uma das seguintes maneiras:

O ARP cria snapshots com o nome prefixado Anti_ransomware_backup. Por exemplo, Anti_ransomware_backup.2022-12-20_1248.

Antes de começar

Escolha um método de recuperação

Dependendo da extensão da corrupção de dados e das suas necessidades operacionais, escolha um ou uma combinação destes métodos de recuperação.

  • Restauração de snapshot de volume: Reverte todo o volume para um snapshot selecionado (ARP ou agendado). Este é o método mais rápido, mas remove todos os snapshots criados após o ponto de restauração.

    Importante Para o ONTAP 9.15.1 e versões anteriores: os snapshots ARP são excluídos imediatamente quando você executa clear-suspect. Você deve concluir a restauração do snapshot do volume antes de limpar. Consulte "Entenda o comportamento do snapshot ao limpar um evento suspeito".

  • FlexClone de um snapshot limpo: Cria um volume clone a partir do snapshot selecionado, preservando o volume original e todos os seus snapshots para análise forense ou recuperação adicional. Recomenda-se separar o clone do volume pai para isolar o volume pai infectado do clone limpo.

    Saiba mais sobre "Criando um volume FlexClone a partir de um Snapshot" e "dividir um FlexClone de seu volume pai".

  • Arquivo único SnapRestore: restaura arquivos individuais a partir de snapshots. Cada arquivo pode ser proveniente de um snapshot diferente. Isso é prático quando o número de arquivos afetados é relativamente pequeno.

    Saiba mais sobre "Restaurar um único arquivo a partir de um Snapshot".

  • Cópia de dados do `.snapshot`diretório: Copia os dados do ponto de montagem do snapshot para um novo volume usando operações padrão de cópia de arquivos. Este método preserva o volume original e os snapshots para análise.

  • Abordagem híbrida: O volume é primeiro revertido para o Snapshot limpo mais próximo usando SnapRestore, depois quaisquer arquivos corrompidos restantes são restaurados individualmente a partir de outro Snapshot ou backup externo.

Restrições e considerações para a recuperação

  • No ONTAP 9.15.1 e versões anteriores, os snapshots ARP são excluídos imediatamente quando você executa clear-suspect. Isso se aplica independentemente de você marcar a atividade como um falso positivo ou um ataque real. Se você planeja usar volume snapshot restore, deve concluir a restauração antes de limpar os eventos suspeitos.

  • A liberação do bloqueio de snapshot ARP só é necessária quando você usa volume snapshot restore para restaurar a partir de um snapshot anterior. Não é necessária para FlexClone, SnapRestore de arquivo único, operações de cópia de dados ou métodos similares.

  • Se você restaurar um volume protegido por ARP a partir de um snapshot enquanto ele participa de um relacionamento assíncrono do SnapMirror, atualize manualmente todas as cópias espelhadas após a restauração. Caso contrário, as cópias espelhadas podem se tornar inutilizáveis e talvez precisem ser excluídas e recriadas.

  • O ARP (9.10.1 a 9.15.1) não suporta SnapMirror síncrono nem SnapMirror active sync. Esses são recursos exclusivos do ARP/AI (ONTAP 9.19.1 e posteriores).

Restaurar após um ataque ao sistema

Para restaurações de snapshots de volume, escolha um destes fluxos dependendo da origem do snapshot e da situação:

Restaurar a partir do snapshot ARP mais recente

Escolha este fluxo quando puder restaurar com segurança a partir do snapshot ARP mais recente, que é o snapshot mais atualizado disponível para recuperação.

System Manager

  1. Selecione armazenamento > volumes e, em seguida, selecione o volume e cópias Snapshot.

  2. Selecione Ícone de opções do menu ao lado do snapshot ARP mais recente (Anti_ransomware_backup que deseja restaurar e, em seguida, selecione Restaurar.

  3. Após a conclusão da restauração, "retornar ao fluxo de resposta" apague os arquivos suspeitos.

CLI

  1. Listar os instantâneos em um volume:

    volume snapshot show -vserver <svm> -volume <volume>

  2. Restaure o conteúdo de um volume a partir de um instantâneo:

    volume snapshot restore -vserver <svm> -volume <volume> -snapshot <snapshot>

  3. Após a conclusão da restauração, "retornar ao fluxo de resposta" apague os arquivos suspeitos.

Restaurar a partir de um snapshot anterior

Escolha este fluxo quando desejar restaurar a partir de um snapshot anterior. Libere o bloqueio no snapshot ARP mais recente antes de restaurar a partir do snapshot anterior.

Importante

No ONTAP 9.15.1 e versões anteriores, limpar o evento suspeito exclui os snapshots ARP imediatamente. Neste fluxo, você está restaurando intencionalmente a partir de um snapshot anterior (não o snapshot ARP), portanto, limpar primeiro é necessário para liberar o bloqueio. Se você precisar de dados do snapshot ARP, use o fluxo Restaurar a partir do snapshot ARP mais recente em vez disso.
System Manager

  1. Libere o bloqueio no snapshot ARP mais recente:

    1. Selecione armazenamento > volumes.

    2. Selecione Segurança e depois Exibir tipos de arquivos suspeitos.

    3. Marque os arquivos como "possível ataque de ransomware".

    4. Selecione Atualizar e limpar tipos de arquivo suspeitos.

  2. Selecione armazenamento > volumes e, em seguida, selecione o volume e cópias Snapshot.

  3. Selecione Ícone de opções do menu ao lado do Snapshot anterior que deseja restaurar e, em seguida, selecione Restaurar.

CLI

  1. Marque o ataque como potencial ransomware (-false-positive false e limpe os arquivos suspeitos para liberar o bloqueio:

    Importante Isso exclui imediatamente os snapshots ARP no ONTAP 9.15.1 e anteriores. Execute este comando somente quando você pretende restaurar a partir de um snapshot anterior (não ARP) e não precisa do snapshot ARP. 
    security anti-ransomware volume attack clear-suspect -vserver <svm_name> -volume <vol_name> [<extension identifiers>] -false-positive false

  2. Listar os instantâneos em um volume:

    volume snapshot show -vserver <svm> -volume <volume>

    O exemplo a seguir mostra o instantâneo no vol1:

    clus1::> volume snapshot show -vserver vs1 -volume vol1

Vserver Volume Snapshot                State    Size  Total% Used%
------- ------ ---------- ----------- ------   -----  ------ -----
vs1	    vol1   hourly.2013-01-25_0005  valid   224KB     0%    0%
               daily.2013-01-25_0010   valid   92KB      0%    0%
               hourly.2013-01-25_0105  valid   228KB     0%    0%
               hourly.2013-01-25_0205  valid   236KB     0%    0%
               hourly.2013-01-25_0305  valid   244KB     0%    0%
               hourly.2013-01-25_0405  valid   244KB     0%    0%
               hourly.2013-01-25_0505  valid   244KB     0%    0%

7 entries were displayed.

  3. Restaure o conteúdo de um volume a partir de um instantâneo:

    volume snapshot restore -vserver <svm> -volume <volume> -snapshot <snapshot>

    O exemplo a seguir restaura o conteúdo vol1 de :

    cluster1::> volume snapshot restore -vserver vs0 -volume vol1 -snapshot daily.2013-01-25_0010

Restaurar quando nenhum ataque for identificado

Quando nenhum ataque for identificado, primeiro restaure a partir do snapshot ARP mais recente e depois restaure a partir de um snapshot anterior.

System Manager

  1. Selecione armazenamento > volumes e, em seguida, selecione o volume e cópias Snapshot.

  2. Selecione Ícone de opções do menue escolha a `Anti_ransomware_backup`Snapshot mais recente.

  3. Selecione Restaurar.

  4. Volte ao menu Snapshot Copies e escolha o instantâneo anterior que deseja usar.

  5. Selecione Restaurar.

CLI

  1. Restaure primeiro a partir do snapshot ARP mais recente:

    1. Listar os instantâneos em um volume:

      volume snapshot show -vserver <svm> -volume <volume>

    2. Restaure o conteúdo de um volume a partir de um instantâneo:

      volume snapshot restore -vserver <svm> -volume <volume> -snapshot <snapshot>

  2. Selecione o snapshot anterior que deseja usar e repita a restauração.

Saiba mais sobre volume snapshot o "Referência do comando ONTAP"na .