本繁體中文版使用機器翻譯，譯文僅供參考，若與英文版本牴觸，應以英文版本為準。

設定 BlueXP 勒索軟體保護設定

12/18/2024 貢獻者

PDF

您可以存取 * 設定 * 選項，設定備份目的地，啟用威脅偵測，或設定資料基礎架構 Insights 工作負載安全性的連線。啟用威脅偵測功能會自動將資料傳送至安全與事件管理系統（ SIEM ）、以進行威脅分析。

在「設定」頁面中、您可以執行下列動作：

設定資料基礎架構 Insights 工作負載安全性的連線，以查看勒索軟體警示中可疑的使用者資訊。
新增備份目的地。
連接您的安全與事件管理系統（ SIEM ）、進行威脅分析與偵測。

直接存取「設定」頁面

您可以從上方功能表附近的「動作」選項輕鬆存取「設定」頁面。

從 BlueXP 勒索軟體保護功能表中、選取垂直市場 … 選項位於右上方。
從下拉式功能表中、選取 * 設定 * 。

連線至 Data Infrastructure Insights 工作負載安全功能，查看可疑的異常使用者行為

您必須先設定資料基礎架構洞見工作負載安全系統的連線，才能檢視 BlueXP 勒索軟體保護中可疑的異常使用者行為詳細資料。

從 Data Infrastructure Insights Workload 安全系統取得 API 存取權杖

從 Data Infrastructure Insights Workload 安全系統取得 API 存取權杖。

登入 Data Infrastructure Insights Workload 安全系統。
從左側導航欄中，選擇 Admin > API Access 。
建立 API 存取權杖或使用現有的權杖。
複製 API 存取權杖。

連線至 Data Infrastructure Insights 工作負載安全性

從 BlueXP 勒索軟體保護設定功能表中，選取 * 工作負載安全連線 * 。
選擇*連接*。
輸入資料基礎架構工作負載安全 UI 的 URL 。
輸入可存取工作負載安全性的 API 存取權杖。
選擇*連接*。

新增備份目的地

BlueXP 勒索軟體保護可識別尚未備份的工作負載、也可識別尚未指派任何備份目的地的工作負載。

若要保護這些工作負載、您應該新增備份目的地。您可以選擇下列其中一個備份目的地：

NetApp StorageGRID
Amazon Web Services（AWS）
Google Cloud Platform
Microsoft Azure

您可以根據儀表板上的建議動作或從功能表上的「設定」選項新增備份目的地。

從儀表板的建議動作存取備份目的地選項

儀表板提供許多建議。其中一項建議可能是設定備份目的地。

步驟

從 BlueXP 左側瀏覽器中、選取 * 保護 * > * 勒索軟體保護 * 。
檢閱儀表板的建議動作窗格。
從儀表板中、選取 * 檢閱和修正 * 、以取得「準備 <backup provider> 做為備份目的地」的建議。
根據備份供應商的不同、繼續執行相關指示。

將 StorageGRID 新增為備份目的地

若要將 NetApp StorageGRID 設定為備份目的地、請輸入下列資訊。

步驟

在 * 設定 > 備份目的地 * 頁面中、選取 * 新增 * 。
輸入備份目的地的名稱。
選擇* StorageGRID 《》《*》。
選取每個設定旁邊的向下箭頭、然後輸入或選取值：
- * 供應商設定 * ：
  - 建立新的儲存庫或自帶儲存備份的儲存庫。
  - StorageGRID 閘道節點完整網域名稱、連接埠、 StorageGRID 存取金鑰和秘密金鑰認證。
- * 網路 * ：選擇 IPspace 。
  - IPspace 是您要備份的磁碟區所在的叢集。此IPspace的叢集間生命體必須具有傳出網際網路存取。
選取*「Add*」。

結果

新的備份目的地會新增至備份目的地清單。

「備份目的地」頁面上的「設定」選項

將 Amazon Web Services 新增為備份目的地

若要將 AWS 設定為備份目的地、請輸入下列資訊。

如需在 BlueXP 中管理 AWS 儲存設備的詳細資訊、請參閱 "管理您的Amazon S3儲存庫"。

步驟

在 * 設定 > 備份目的地 * 頁面中、選取 * 新增 * 。
輸入備份目的地的名稱。
選擇* Amazon Web Services*。
選取每個設定旁邊的向下箭頭、然後輸入或選取值：
- * 供應商設定 * ：
  - 建立新的儲存庫、如果 BlueXP 中已有現有儲存庫、請選取現有的儲存庫、或是自帶儲存備份的儲存庫。
  - AWS 帳戶、區域、存取金鑰和 AWS 認證的秘密金鑰
    
    "如果您想要自行攜帶貯體、請參閱新增 S3 貯體"。
- * 加密 * ：如果您要建立新的 S3 儲存區、請輸入供應商提供給您的加密金鑰資訊。如果您選擇現有的儲存區、則加密資訊已可供使用。
  
  根據預設、儲存區中的資料會使用 AWS 管理的金鑰進行加密。您可以繼續使用 AWS 管理的金鑰、或是使用自己的金鑰來管理資料加密。
- * 網路連線 * ：選擇 IPspace 、以及是否要使用私有端點。
  - IPspace 是您要備份的磁碟區所在的叢集。此IPspace的叢集間生命體必須具有傳出網際網路存取。
  - 您也可以選擇是否要使用先前設定的 AWS 私有端點（ Private Link ）。
    
    如果您想要使用 AWS Private Link 、請參閱 "適用於 Amazon S3 的 AWS Private Link"。
- * 備份鎖定 * ：選擇是否要讓服務保護備份不被修改或刪除。此選項使用 NetApp DataLock 技術。每個備份都會在保留期間內鎖定、或至少 30 天、再加上最多 14 天的緩衝期間。
  
  如果您現在設定備份鎖定設定、則無法在設定備份目的地之後再變更設定。
  - * 監管模式 * ：特定使用者（具有 S3 ： BypassGovernanceRetention 權限）可在保留期間覆寫或刪除受保護的檔案。
  - * 法規遵循模式 * ：使用者無法在保留期間覆寫或刪除受保護的備份檔案。
選取*「Add*」。

結果

新的備份目的地會新增至備份目的地清單。

「備份目的地」頁面上的「設定」選項

將 Google Cloud Platform 新增為備份目的地

若要將 Google Cloud Platform （ GCP ）設定為備份目的地、請輸入下列資訊。

如需在 BlueXP 中管理 GCP 儲存設備的詳細資訊 "Google Cloud 中的 Connector 安裝選項"、請參閱。

步驟

在 * 設定 > 備份目的地 * 頁面中、選取 * 新增 * 。
輸入備份目的地的名稱。
選擇* Google Cloud Platform *。
選取每個設定旁邊的向下箭頭、然後輸入或選取值：
- * 供應商設定 * ：
  - 建立新的貯體。輸入存取金鑰和秘密金鑰。
  - 輸入或選擇您的 Google Cloud Platform 專案和地區。
- * 加密 * ：如果您要建立新的儲存格、請輸入供應商提供給您的加密金鑰資訊。如果您選擇現有的儲存區、則加密資訊已可供使用。
  
  依預設、儲存庫中的資料會使用 Google 託管的金鑰進行加密。您可以繼續使用 Google 託管的金鑰。
- * 網路連線 * ：選擇 IPspace 、以及是否要使用私有端點。
  - IPspace 是您要備份的磁碟區所在的叢集。此IPspace的叢集間生命體必須具有傳出網際網路存取。
  - 您也可以選擇是否要使用先前設定的 GCP 私有端點（ Private Link ）。
選取*「Add*」。

結果

新的備份目的地會新增至備份目的地清單。

將 Microsoft Azure 新增為備份目的地

若要將 Azure 設定為備份目的地、請輸入下列資訊。

如需在 BlueXP 中管理 Azure 認證和市場訂閱的詳細資訊、請參閱 "管理您的 Azure 認證和市場訂閱"。

步驟

在 * 設定 > 備份目的地 * 頁面中、選取 * 新增 * 。
輸入備份目的地的名稱。
選擇 * Azure * 。
選取每個設定旁邊的向下箭頭、然後輸入或選取值：
- * 供應商設定 * ：
  - 建立新的儲存帳戶、如果 BlueXP 中已有現有帳戶、請選取現有帳戶、或是帶上您自己的儲存帳戶來儲存備份。
  - Azure 認證的 Azure 訂閱、區域和資源群組
    
    "如果您想要攜帶自己的儲存帳戶、請參閱新增 Azure Blob 儲存帳戶"。
- * 加密 * ：如果您要建立新的儲存帳戶、請輸入供應商提供給您的加密金鑰資訊。如果您選擇現有的帳戶、則加密資訊已可供使用。
  
  根據預設、帳戶中的資料會使用 Microsoft 管理的金鑰進行加密。您可以繼續使用 Microsoft 託管的金鑰、也可以使用自己的金鑰來管理資料加密。
- * 網路連線 * ：選擇 IPspace 、以及是否要使用私有端點。
  - IPspace 是您要備份的磁碟區所在的叢集。此IPspace的叢集間生命體必須具有傳出網際網路存取。
  - 您也可以選擇是否要使用先前設定的 Azure 私有端點。
    
    如果您想要使用 Azure Private Link 、請參閱 "Azure Private Link"。
選取*「Add*」。

結果

新的備份目的地會新增至備份目的地清單。

「備份目的地」頁面上的「設定」選項

啟用威脅偵測

您可以自動將資料傳送至安全與事件管理系統（ SIEM ）、以進行威脅分析與偵測。您可以選擇 AWS Security Hub ， Microsoft Sentinel 或 Splunk Cloud 做為 SIEM 。

在 BlueXP 勒索軟體保護中啟用 SIEM 之前、您必須先設定 SIEM 系統。

設定 AWS Security Hub 進行威脅偵測

在 BlueXP 勒索軟體保護中啟用 AWS Security Hub 之前、您必須先在 AWS Security Hub 中執行下列高階步驟：

在 AWS Security Hub 中設定權限。
在 AWS Security Hub 中設定驗證存取金鑰和秘密金鑰。（此處不提供這些步驟。）

在 AWS Security Hub 中設定權限的步驟

前往 * AWS IAM 主控台 * 。
選取 * 原則 * 。

使用以下 JSON 格式的程式碼建立原則：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "NetAppSecurityHubFindings",
      "Effect": "Allow",
      "Action": [
        "securityhub:BatchImportFindings",
        "securityhub:BatchUpdateFindings"
      ],
      "Resource": [
        "arn:aws:securityhub:*:*:product/*/default",
        "arn:aws:securityhub:*:*:hub/default"
      ]
    }
  ]
}

設定 Microsoft Sentinel 進行威脅偵測

在 BlueXP 勒索軟體保護中啟用 Microsoft Sentinel 之前，您必須先在 Microsoft Sentinel 中執行下列高階步驟：

先決條件
- 啟用 Microsoft Sentinel 。
- 在 Microsoft Sentinel 中建立自訂角色。
* 註冊 *
- 註冊 BlueXP 勒索軟體保護，以接收來自 Microsoft Sentinel 的事件。
- 建立登錄密碼。
* 權限 * ：指派應用程式的權限。
* 驗證 * ：輸入應用程式的驗證認證。

啟用 Microsoft Sentinel 的步驟

前往 Microsoft Sentinel 。
建立 * 記錄分析工作區 * 。
啟用 Microsoft Sentinel 以使用您剛建立的 Log Analytics 工作區。

在 Microsoft Sentinel 中建立自訂角色的步驟

前往 Microsoft Sentinel 。
選擇 * 訂閱 * > * 存取控制（ IAM ） * 。
輸入自訂角色名稱。使用名稱 * 勒索軟體保護 BlueXP 組態器 * 。

複製下列 JSON 並貼到 * JSON* 標籤中。

{
  "roleName": "BlueXP Ransomware Protection Sentinel Configurator",
  "description": "",
  "assignableScopes":["/subscriptions/{subscription_id}"],
  "permissions": [

  ]
}

檢閱並儲存您的設定。

註冊 BlueXP 勒索軟體保護以接收來自 Microsoft Sentinel 的事件的步驟

前往 Microsoft Sentinel 。
選擇 * Entra ID* > * Applications* > * 應用程式註冊 * 。
對於應用程式的 * 顯示名稱 * ，請輸入「 * BlueXP 勒索軟體保護 * 」。
在 * 支援的帳戶類型 * 欄位中，選取 * 僅此組織目錄中的帳戶 * 。
選擇一個 * 預設索引 * ，以推送事件。
選擇* Review *。
選擇 * 註冊 * 以儲存您的設定。

註冊之後， Microsoft Entra 管理中心會顯示應用程式概觀窗格。

建立登錄秘密的步驟

前往 Microsoft Sentinel 。
選擇 * 證書和機密 * > * 客戶機密 * > * 新客戶機密 * 。
新增應用程式機密的說明。
選擇一個 * 過期 * 作爲機密，或指定自定義壽命。

用戶端機密生命週期限制為兩年（ 24 個月）或更短。Microsoft 建議您將到期值設定為少於 12 個月。
選取 * 新增 * 以建立您的秘密。
在驗證步驟中記錄要使用的機密。離開此頁面後，不會再顯示密碼。

指派應用程式權限的步驟

前往 Microsoft Sentinel 。
選擇 * 訂閱 * > * 存取控制（ IAM ） * 。
選取 * 新增 * > * 新增角色指派 * 。
對於 * 貴賓管理員角色 * 欄位，請選取 * 勒索軟體保護 BlueXP 組態器 * 。

這是您先前建立的自訂角色。
選擇*下一步*。
在 * 指派存取權限給 * 欄位中，選取 * 使用者，群組或服務主體 * 。
選取 * 選取成員 * 。然後，選取 * 勒索軟體保護 BlueXP 組態器 * 。
選擇*下一步*。
在 * 使用者可以做什麼 * feld 中，選取 * 允許使用者指派所有角色，但特權管理員角色擁有者， UAA ， RBAC （建議） * 除外。
選擇*下一步*。
選取 * 檢閱並指派 * 來指派權限。

輸入應用程式驗證認證的步驟

前往 Microsoft Sentinel 。
輸入認證：
1. 輸入租戶 ID ，用戶端應用程式 ID 和用戶端應用程式機密。
2. 按一下*驗證*。
  
  驗證成功後，會出現「驗證」訊息。
輸入應用程式的 Log Analytics 工作區詳細資料。
1. 選取訂閱 ID ，資源群組和記錄分析工作區。

設定 Splunk Cloud 進行威脅偵測

在 BlueXP 勒索軟體保護中啟用 Splunk Cloud 之前、您必須先在 Splunk Cloud 中執行下列高階步驟：

啟用 Splunk Cloud 中的 HTTP 事件收集器、以透過 BlueXP 的 HTTP 或 HTTPS 接收事件資料。
在 Splunk Cloud 中建立事件收集器權杖。

在 Splunk 中啟用 HTTP 事件收集器的步驟

前往 Splunk Cloud 。
選擇 * 設定 * > * 資料輸入 * 。
選取 *HTTP 事件收集器 * > * 全域設定 * 。
在 All Tokens （所有令牌）切換中，選擇 Enabled （ * 啓用 * ）。
若要讓事件收集器透過 HTTPS （而非 HTTP ）接聽及通訊、請選取 * 啟用 SSL* 。
在 *HTTP 連接埠編號 * 中輸入 HTTP 事件收集器的連接埠。

在 Splunk 中建立事件收集器權杖的步驟

前往 Splunk Cloud 。
選取 * 設定 * > * 新增資料 * 。
選取 * 監控 * > * HTTP 事件收集器 * 。
輸入 Token 的名稱、然後選取 * 下一步 * 。
選擇一個 * 預設索引 * 、其中會推送事件、然後選擇 * 審查 * 。
確認端點的所有設定都正確、然後選取 * 提交 * 。
複製權杖並貼到另一份文件中、讓它準備好進行驗證步驟。

在 BlueXP 勒索軟體保護中連線 SIEM

啟用 SIEM 會將 BlueXP 勒索軟體保護的資料傳送至 SIEM 伺服器、以進行威脅分析和報告。

步驟

從 BlueXP 功能表中、選取 * 保護 * > * 勒索軟體保護 * 。
從 BlueXP 勒索軟體保護功能表中、選取垂直市場 … 選項位於右上方。
選取 * 設定 * 。

隨即顯示「設定」頁面。
在「設定」頁面中，選取 SIEM 連線方塊中的 * 連線 * 。
選擇其中一個 SIEM 系統。
輸入您在 AWS Security Hub 或 Splunk Cloud 中設定的權杖和驗證詳細資料。

您輸入的資訊取決於您選擇的 SIEM 。
選取 * 啟用 * 。

「設定」頁面會顯示「已連線」。

設定 BlueXP 勒索軟體保護設定

Creating your file...

直接存取「設定」頁面

連線至 Data Infrastructure Insights 工作負載安全功能，查看可疑的異常使用者行為

從 Data Infrastructure Insights Workload 安全系統取得 API 存取權杖

連線至 Data Infrastructure Insights 工作負載安全性

新增備份目的地

從儀表板的建議動作存取備份目的地選項

將 StorageGRID 新增為備份目的地

將 Amazon Web Services 新增為備份目的地

將 Google Cloud Platform 新增為備份目的地

將 Microsoft Azure 新增為備份目的地

啟用威脅偵測

設定 AWS Security Hub 進行威脅偵測

設定 Microsoft Sentinel 進行威脅偵測

設定 Splunk Cloud 進行威脅偵測

在 BlueXP 勒索軟體保護中連線 SIEM