Skip to main content
简体中文版经机器翻译而成，仅供参考。如与英语版出现任何冲突，应以英语版为准。

配置 ONTAP ARP/AI 快照响应策略和设置

贡献者 netapp-dbagwell
PDF

从 ONTAP 9.16.1 开始，您可以使用 CLI 控制使用 AI（ARP/AI）快照的自动勒索软件防护的创建和保留设置。从 ONTAP 9.20.1 开始，您还可以为定期和攻击快照配置快照响应策略，以控制 ARP/AI 在检测到异常活动时是否创建快照。

备注 如果运行的是 ONTAP 9.15.1 或更早版本，请参见 "调整自动生成的 ARP 快照的设置"。

配置快照响应策略

从 ONTAP 9.20.1 开始，您可以为定期和攻击快照配置 ARP/AI 快照响应策略，以控制 ARP/AI 在检测到异常活动时是否创建快照。您可以在 SVM 级别设置策略（其中 SVM 上的所有卷都继承此设置）或在卷级别覆盖它。

可使用以下快照响应策略：

策略 行为

alert-with-proactive-and-periodic-snapshot

（默认）ARP/AI 生成警报和事件日志，定期创建快照，并在检测到攻击时创建额外快照。

alert-with-proactive-snapshot

ARP/AI 仅在检测到攻击时生成警报和事件日志并创建快照。不会创建定期快照。

alert-only

ARP/AI 仅生成警报和事件日志。不会创建 ARP/AI 快照。
注意 如果将策略设置为 alert-only，则 ARP/AI 不会创建快照。如果确认存在勒索软件攻击，则即使在主动攻击期间，也没有可用于数据恢复的 ARP/AI 快照。在使用 `alert-only`之前，请确保您有足够的外部数据保护，例如预定的 ONTAP 快照、SnapCenter 备份或其他备份解决方案。
备注 更改快照响应策略时，不会立即删除现有的 ARP/AI 快照。到达预定到期时间后，它们将被删除。不要期望在策略更改后立即回收存储容量。
System Manager

在 SVM 级别配置快照响应策略：

  1. 选择 Cluster > Storage VMs，然后选择 storage VM。

  2. 导航到 设置 选项卡。在 安全 下，找到 反勒索软件 图块并选择 编辑图标。

  3. 在*保护级别*下，选择要应用于 SVM 上所有启用 ARP/AI 的卷的保护类型。

  4. 选择 * 保存 * 。

在卷级别配置快照响应策略：

  1. 选择*存储* > 卷，然后选择卷。

  2. 在*安全*选项卡中，找到*反勒索软件*部分并选择 编辑图标。

  3. 在*保护级别*下，选择快照响应策略以覆盖此卷的 SVM 级别设置。

  4. 选择 * 保存 * 。

命令行界面

  1. 显示当前 ARP/AI 快照响应策略：

    在 SVM 级别：

    security anti-ransomware vserver snapshot-settings show -vserver <svm_name>

    在卷级别：

    security anti-ransomware volume snapshot-settings show -vserver <svm_name> -volume <volume_name>

  2. 配置 ARP/AI 快照响应策略：

    在 SVM 级别：

    security anti-ransomware vserver snapshot-settings modify -vserver <svm_name> -anti-ransomware-snapshot-policy <policy>
    备注 此设置适用于启用了 ARP/AI 的卷。它不会追溯影响现有已启用 ARP/AI 的卷。

    在卷级别（覆盖 SVM 级别设置）：

    security anti-ransomware volume snapshot-settings modify -vserver <svm_name> -volume <volume_name> -anti-ransomware-snapshot-policy <policy>

调整快照创建和保留设置

备注 从 ONTAP 9.20.1 开始，以下设置仅在快照响应策略为 `alert-with-proactive-snapshot`或 `alert-with-proactive-and-periodic-snapshot`时适用。
开始之前

您只能在 "节点SVM" 上修改 ARP/AI 快照选项，而不能在其他 SVM 类型上修改。

步骤

  1. 显示所有当前 ARP/AI 快照设置：

    options -option-name arw*

  2. 显示所选的当前 ARP/AI 快照设置：

    options -option-name <arw_setting_name>

  3. 修改ARP/AI快照设置：

    options -option-name <arw_setting_name> -option-value <arw_setting_value>

    您可以修改以下设置（ONTAP 9.16.1 及更高版本）：

    正在设置 …​ Description 支持的 ARP/AI 版本

    arw.snap.max.count

    指定在任何给定时间卷中可以存在的最大 ARP/AI 快照数。删除较旧的副本，以确保 ARP/AI 快照的总数保持在此限制范围内。

    备注 从 ONTAP 9.20.1 开始，此设置仅在快照响应策略设置为 `alert-with-proactive-and-periodic-snapshot`时适用。当策略设置为 `alert-with-proactive-snapshot`或 `alert-only`时，ONTAP 会忽略此设置。

    ONTAP 9.16.1 及更高版本

    arw.snap.create.interval.hours

    指定 ARP/AI 快照之间的间隔（以小时为单位）。当怀疑发生基于数据熵的攻击，且最近创建的快照早于指定间隔时，将创建新的 ARP/AI 快照。

    ONTAP 9.16.1 及更高版本

    arw.snap.normal.retain.interval.hours

    指定保留 ARP/AI 快照的持续时间（以小时为单位）。当 ARP/AI 快照达到保留阈值时，将被删除。

    ONTAP 9.16.1（在 9.17.1 及更高版本中已弃用）

    arw.snap.max.retain.interval.days

    指定可以保留 ARP/AI 快照的最大持续时间（以天为单位）。任何超过此持续时间的 ARP/AI 快照都会在卷未报告攻击时被删除。

    备注 如果 ARP/AI 检测到威胁，则忽略最大保留间隔。将保留为响应威胁而创建的 ARP/AI 快照，直到您响应威胁为止。当您将威胁标记为误报时，由 `arw.snap.retain.hours.after.clear.suspect.false.alert`指定的保留计时器将应用于 ARP/AI 快照。该计时器到期后，将恢复标准保留设置。

    ONTAP 9.16.1（在 9.17.1 及更高版本中已弃用）

    arw.snap.create.interval.hours.post.max.count

    指定当卷已包含最大数量的 ARP/AI 快照时，ARP/AI 快照之间的间隔（以小时为单位）。当达到最大数量时，系统将删除一个 ARP/AI 快照，以便为新副本腾出空间。使用此选项可降低创建速度，以保留较旧的副本。

    ONTAP 9.16.1（在 9.17.1 及更高版本中已弃用）

    arw.snap.new.extns.interval.hours

    指定检测到新文件扩展名时创建的 ARP/AI 快照之间的间隔（以小时为单位）。当观察到新文件扩展名且之前的此类快照早于指定间隔时，将创建新的 ARP/AI 快照。此选项独立于 arw.snap.create.interval.hours，后者用于指定基于熵的快照的时间间隔。

    ONTAP 9.16.1（在 9.17.1 及更高版本中已弃用）

    arw.snap.low.encryption.retain.duration.hours

    指定在低加密活动期间创建的 ARP/AI 快照的保留持续时间（以小时为单位）。

    ONTAP 9.17.1 及更高版本

    arw.snap.retain.hours.after.clear.suspect.false.alert

    指定在管理员将攻击事件标记为误报后，ARP/AI 快照作为预防措施保留的时间间隔（以小时为单位）。

    ONTAP 9.16.1 及更高版本

    arw.snap.retain.hours.after.clear.suspect.real.attack

    指定在管理员将攻击事件标记为真实攻击后，ARP/AI 快照作为预防措施保留的时间间隔（以小时为单位）。

    ONTAP 9.16.1 及更高版本

    arw.snap.surge.interval.days

    指定为响应 IO 浪涌而创建的 ARP/AI 快照之间的_天数_间隔。此选项还指定 ARP/AI 浪涌快照的保留期（以天为单位）。

    ONTAP 9.16.1 及更高版本

    arw.high.encryption.alert.enabled

    启用高加密级别的警报。当设置为 on（默认）时，如果加密百分比超过 `arw.high.encryption.percentage.threshold`中指定的阈值，ONTAP 将发送警报。

    仅 ONTAP 9.17.1

    arw.high.encryption.percentage.threshold

    指定卷的最大加密百分比。如果加密百分比超过此阈值，ONTAP 会将此增加视为攻击并创建 ARP/AI 快照。 `arw.high.encryption.alert.enabled`必须设置为 `on`才能使此选项生效。

    仅 ONTAP 9.17.1

    arw.snap.high.encryption.retain.duration.hours

    指定在高加密阈值事件期间创建的快照的保留持续时间间隔（以小时为单位）。

    ONTAP 9.17.1 及更高版本

  4. 如果将 ARP/AI 与 SAN 环境一起使用，则还可以修改以下评估周期设置：

    正在设置 …​ Description 支持的版本

    arw.block_device.auto.learn.threshold.min_value

    指定块设备评估的自动学习阶段的最小加密阈值百分比值。

    ONTAP 9.17.1 及更高版本

    arw.block_device.auto.learn.threshold.max_value

    指定块设备评估的自动学习阶段的最大加密阈值百分比值。

    ONTAP 9.17.1 及更高版本

    arw.block_device.evaluation.phase.min_hours

    指定在设置加密阈值之前评估阶段必须运行的最小间隔（以小时为单位）。

    ONTAP 9.17.1 及更高版本

    arw.block_device.evaluation.phase.max_hours

    指定在设置加密阈值之前评估阶段必须运行的最大间隔（以小时为单位）。

    ONTAP 9.17.1 及更高版本

    arw.block_device.evaluation.phase.min_data_ingest_size_GB

    指定在设置加密阈值之前评估阶段必须提取的最小数据量（以 GB 为单位）。

    ONTAP 9.17.1 及更高版本

    arw.block_device.evaluation.phase.alert.enabled

    指定是否为块设备上的 ARP/AI 评估阶段启用警报。默认值为 True。

    ONTAP 9.17.1 及更高版本

    arw.block_device.evaluation.phase.alert.threshold

    指定块设备上 ARP/AI 评估阶段的阈值百分比。如果加密百分比超过此阈值，则会触发警报。

    ONTAP 9.17.1 及更高版本
相关信息