Skip to main content
Data Infrastructure Insights
本繁體中文版使用機器翻譯,譯文僅供參考,若與英文版本牴觸,應以英文版本為準。

工作負載安全:模擬攻擊

貢獻者 netapp-alavoie

您可以按照此頁面上的說明,使用隨附的勒索軟體模擬腳本來模擬攻擊,以測試或演示工作負載安全性。

開始前需要注意的事項

  • 勒索軟體模擬腳本僅在 Linux 上運行。如果使用者將ONTAP ARP 與 Workload Security 集成,模擬腳本也應產生高置信度警報。

  • 只有當ONTAP版本為 9.15 或更高版本時,工作負載安全才會偵測使用 NFS 4.1 產生的事件和警報。

  • 此腳本隨工作負載安全代理安裝檔一起提供。它可以在安裝了工作負載安全代理程式的任何機器上使用。

  • 您可以在工作負載安全代理機器本身上執行該腳本;無需準備另一台 Linux 機器。但是,如果您希望在另一個系統上運行該腳本,只需複製該腳本並在那裡運行即可。

  • 使用者可以根據自己的喜好和系統需求選擇 Python 或 shell 腳本。

  • Python 腳本具有先決條件安裝。如果不想使用python,就使用shell腳本。

指南:

該腳本應在包含大量需要加密的檔案(理想情況下為 100 個或更多,包括子資料夾中的檔案)的資料夾的 SVM 上執行。確保文件不為空。

若要產生警報,請在建立測試資料之前暫時暫停收集器。一旦產生範例文件,恢復收集器並啟動加密過程。

步驟:

準備系統:

首先,將目標磁碟區安裝到機器上。您可以掛載 NFS 或 CIFS 匯出。

要在 Linux 中掛載 NFS 導出:

mount -t nfs -o vers=4.0 10.193.177.158:/svmvol1 /mntpt
mount -t nfs -o vers=4.0 Vserver data IP>:/nfsvol /destinationlinuxfolder

請勿掛載 NFS 版本 4.1;Fpolicy 不支援它。

要在 Linux 中掛載 CIFS:

mount -t cifs //10.193.77.91/sharedfolderincluster /root/destinationfolder/ -o username=raisa

啟用ONTAP Autonomous 勒索軟體防護(可選):

如果您的ONTAP叢集版本是 9.11.1 或更高版本,您可以透過在ONTAP命令控制台上執行以下命令來啟用ONTAP勒索軟體防護服務。

 security anti-ransomware volume enable -volume [volume_name] -vserver [svm_name]
接下來,設定資料收集器:
  1. 如果尚未完成,請設定工作負載安全代理程式。

  2. 如果尚未完成,請設定 SVM 資料收集器。

  3. 確保在配置資料收集器時選擇了安裝協定。

以程式設計方式產生範例文件:

在建立文件之前,您必須先停止或"暫停資料收集器"加工。

在運行模擬之前,您必須先新增要加密的檔案。您可以手動將要加密的檔案複製到目標資料夾中,也可以使用其中的腳本以程式設計方式建立檔案。無論使用哪種方法,請確保至少有 100 個檔案需要加密。

如果您選擇以程式設計方式建立文件,則可以使用 Shell 或 Python:

殼:

  1. 登入代理箱。

  2. 將 NFS 或 CIFS 共用從檔案管理器的 SVM 掛載到代理電腦。轉到該資料夾。

  3. 將腳本從代理安裝目錄(%AGENT_INSTALL_DIR/agent/install/ransomware_simulation/shell/create_dataset.sh)複製到目標安裝位置。

  4. 使用掛載目錄(例如 /root/demo)中的腳本執行以下命令來建立測試資料集資料夾和檔案:

     './create_dataset.sh'
    . 這將在名為「test_dataset」的目錄下的掛載資料夾內建立 100 個具有各種副檔名的非空檔案。

Python:

Python 腳本先決條件:

  • 安裝 Python(如果尚未安裝)。

    • 從下列位置下載 Python 3.5.2 或更高版本 https://www.python.org/

    • 若要檢查 Python 安裝,請執行 python --version

    • 該 Python 腳本已在最早 3.5.2 版本上進行測試。

  • 如果尚未安裝 pip,請安裝:

    • 從以下位置下載 get-pip.py 腳本 https://bootstrap.pypa.io/

    • 使用以下方式安裝 pip python get-pip.py

    • 使用以下命令驗證 pip 安裝 pip --version

  • PyCryptodome 庫:

    • 該腳本使用 PyCryptodome 庫。

    • 使用以下方式安裝 PyCryptodome pip install pycryptodome

    • 透過運行確認 PyCryptodome 安裝 pip show pycryptodome

Python建立檔案腳本:

  1. 登入代理箱。

  2. 將 NFS 或 CIFS 共用從檔案管理器的 SVM 掛載到代理電腦。轉到該資料夾。

  3. 將腳本從代理安裝目錄(%AGENT_INSTALL_DIR/agent/install/ransomware_simulation/python/create_dataset.py)複製到目標安裝位置。

  4. 使用已安裝目錄(例如 /root/demo)中的腳本執行以下命令來建立測試資料集資料夾和檔案:

     'python create_dataset.py'
    . 這將在名為“test_dataset”的目錄下的掛載資料夾中建立 100 個具有各種副檔名的非空文件

恢復收集器

如果您在執行這些步驟之前暫停了收集器,請確保在建立範例檔案後恢復收集器。

以程式設計方式產生範例文件:

在建立文件之前,您必須先停止或"暫停資料收集器"加工。

要產生勒索軟體警報,您可以執行包含的腳本,該腳本將在工作負載安全中模擬勒索軟體警報。

殼:

  1. 將腳本從代理安裝目錄(%AGENT_INSTALL_DIR/agent/install/ransomware_simulation/shell/simulate_attack.sh)複製到目標安裝位置。

  2. 使用掛載目錄(例如 /root/demo)中的腳本執行以下命令來加密測試資料集:

     './simulate_attack.sh'
    . 這將加密在“test_dataset”目錄下建立的範例檔案。

Python:

  1. 將腳本從代理安裝目錄(%AGENT_INSTALL_DIR/agent/install/ransomware_simulation/python/simulate_attack.py)複製到目標安裝位置。

  2. 請注意,python 先決條件是按照 Python 腳本先決條件部分安裝的

  3. 使用掛載目錄(例如 /root/demo)中的腳本執行以下命令來加密測試資料集:

     'python simulate_attack.py'
    . 這將加密在“test_dataset”目錄下建立的範例檔案。

在工作負載安全性中產生警報

模擬器腳本執行完成後,幾分鐘內就會在 Web UI 上看到警報。

注意:如果滿足以下所有條件,則會產生高置信度警報。

  1. 監控的 SVM 的ONTAP版本高於 9.11.1

  2. ONTAP自主勒索軟體防護已配置

  3. 在叢集模式下新增了工作負載安全資料收集器。

Workload Security 根據使用者行為偵測勒索軟體模式,而ONTAP ARP 會根據檔案中的加密活動偵測勒索軟體活動。

如果滿足條件,Workload Security 會將警報標記為高可信度警報。

警報清單頁面上的高可信度警報範例:

高置信度警報範例,清單頁

高可信度警報詳細資訊範例:

高置信度警報範例,詳細資訊頁面

多次觸發警報

Workload Security 會了解使用者行為,並且不會對同一使用者在 24 小時內重複遭受勒索軟體攻擊發出警報。

若要使用不同的使用者產生新的警報,請再次執行相同的步驟(建立測試數據,然後加密測試數據)。