了解 NetApp Ransomware Resilience 中的用户活动检测
建议更改
PDF
NetApp Ransomware Resilience 中的用户活动检测可帮助您识别和阻止可疑的用户行为，包括数据泄露和大规模删除。
NetApp Ransomware Resilience 提供人工智能驱动的检测，可监控可疑的用户行为。读取活动急剧增加或异常访问模式可能表明存在恶意意图。一旦检测到，Ransomware Resilience 会自动在 NetApp Console、通过电子邮件以及配置的安全生态系统（如 SIEM）中生成警报。
通过用户行为检测和警报，Ransomware Resilience 将提醒您注意可疑模式以及数据泄露和数据销毁企图。在每个警报中，Ransomware Resilience 都会识别您可以阻止的用户。
Ransomware Resilience 通过分析 ONTAP 中 FPolicy 生成的用户活动事件来检测可疑的用户活动。要收集用户活动数据，需要部署一个或多个用户活动代理。用户活动代理是连接到租户中设备的 Linux 服务器或虚拟机。
|
SAN 工作负载当前不支持用户活动检测。您可以将用户活动检测与 Amazon FSx for NetApp ONTAP、Cloud Volumes ONTAP 和 ONTAP 中的 NAS 工作负载结合使用。 |
用户活动取证
Ransomware Resilience 为用户行为提供取证：显示何时发生可疑活动以及何时发出通知的列表和图形。这些详细说明了文件、目录、卷和工作负载上可疑活动随时间变化的频率，以帮助绘制事件图表。您还可以观察新文件扩展名的出现。
。
您可以将可疑活动与所有活动的视图进行比较。在所有活动视图中，除了访问更改和访问被拒绝的事件外，您还可以观察读取、写入、重命名、移动、创建和删除事件。
。
组件
Ransomware Resilience 用户行为检测有三个关键组成部分。
-
用户活动代理是数据收集器的可执行环境。您必须配置用户活动代理。
-
数据收集器与 Ransomware Resilience 共享用户活动事件。当您 "通过用户行为检测启用勒索软件保护策略" 时，系统会自动创建数据收集器。
-
用户目录连接器启用用户名和用户 ID 之间的映射，从而在响应可疑用户行为时提高清晰度。您必须配置用户目录连接器。
Ransomware Resilience 和 Data Infrastructure Insights
Ransomware Resilience 的用户行为检测是与 Data Infrastructure Insights (DII) Workload Security 的集成，并使用 "DII 端点"。您无需任何 DII 配置即可在 Ransomware Resilience 中启用用户行为检测。要启用用户行为检测，"创建所需的代理和收集器，并启用适当的勒索软件保护策略"。
如果您已经在使用 NetApp Data Infrastructure Insights (DII) Workload Security，请使用相同的 Workload Security 代理来实现 Ransomware Resilience。您无需为 Ransomware Resilience 部署单独的 Workload Security 代理。但是，使用相同的 Workload Security 代理需要在 Ransomware Resilience Console 组织和 DII Storage Workload Security 租户之间建立配对关系。请联系您的客户代表以启用此配对。