Skip to main content
NetApp Ransomware Resilience
本繁體中文版使用機器翻譯，譯文僅供參考，若與英文版本牴觸，應以英文版本為準。

在 NetApp Ransomware Resilience 中設定使用者活動偵測

貢獻者 netapp-ahibbard
PDF

使用 NetApp Ransomware Resilience 使用者行為偵測來識別可能表明存在勒索軟體、資料外洩或資料銷毀事件的可疑使用者活動。若要啟用此功能，請安裝至少一個使用者活動代理程式以建立資料收集環境。

使用者活動代理程式託管資料收集器和使用者目錄連接器，它們將資料傳送到雲端位置進行分析。

  • 資料收集器會從 ONTAP 收集使用者活動資料。當您建立包含使用者行為偵測的保護策略時，系統會自動建立資料收集器。

  • 使用者目錄連接器用於連接到您的目錄，並將使用者 ID 對應到使用者名稱。您必須配置使用者目錄連接器。

使用者活動代理程式、資料收集器和使用者目錄連接器都可以從 Ransomware Resilience 設定儀表板進行管理。

如果您未使用 NetApp Data Infrastructure Insights（DII），請按照此處的組態說明進行操作。

開始之前

所需 Console 角色 若要啟用使用者行為偵測，您需要 Organization admin role。對於後續的使用者行為偵測配置，您需要 Ransomware Resilience user behavior admin role。"了解NetApp Console的勒索軟體復原角色"。

確保每個角色都在組織層級套用。

Data Infrastructure Insights （DII） Workload Security 使用者注意事項

如果您已在使用 NetApp Data Infrastructure Insights （DII） 工作負載安全功能，則 NetApp Ransomware Resilience 可以使用相同的工作負載安全代理程式。您無需為 NetApp Ransomware Resilience 部署分隔的工作負載安全代理程式。但是，使用相同的工作負載安全代理程式需要 NetApp Ransomware Resilience Console 組織與 DII Storage Workload Security 租戶建立配對關係。請聯絡您的帳戶代表以啟用此配對。

當您在 Ransomware Resilience 中啟動使用者活動偵測時，系統會使用目前儲存在 Console 中的憑證來管理您的資料收集器。如果您先前透過 Data Infrastructure Insights （DII） Workload Security 啟用了使用者活動偵測，則 Console 憑證將取代您先前在 DII 中用於管理資料收集器的憑證。

建立使用者活動代理程式

使用者活動代理程式是 "資料收集器" 的執行檔環境，可與 Ransomware Resilience 分享使用者活動事件。您必須建立至少一個使用者活動代理程式，才能啟用使用者活動偵測。

註 建立租戶後，您無法變更區域。建立租戶大約需要五分鐘，一旦開始便無法取消。
步驟

您可以使用 手冊 組態或 自動 組態建立使用者活動代理程式。使用自動組態時，您需要提供 Console 代理程式、VM DNS 名稱或 IP 位址，以及 VM SSH 金鑰，以便 Ransomware Resilience 建立租戶。使用手冊組態時，Ransomware Resilience 會提供手動建立租戶的命令。

手動

  1. 如果您是第一次建立使用者活動代理程式，請前往儀表板。在使用者活動監控磁貼中，選擇啟動。

    如果您要新增其他使用者活動代理程式，請前往 設定，找到 使用者活動監控 方塊，然後選取 管理。在「使用者活動」畫面上，選取 使用者活動代理程式 索引標籤，然後選取 新增。

  2. 選擇雲端供應商，然後選擇區域。

  3. 選擇建立租戶。

    建立租戶的程序大約需要五分鐘。選取 建立租戶 後，您可以選取 在背景執行 以返回儀表板並繼續進行其他作業。

  4. 請輸入*使用者活動代理程式名稱*。

  5. 選擇 手動 作為組態方法。

  6. 在 允許租戶 步驟中，Ransomware Resilience 會提供使用者活動代理程式的 URL。複製並貼上該 URL 以允許連線。

  7. 在您的雲端環境中開啟終端機以安裝使用者活動代理程式。

    1. 視需要，如果您使用 Proxy 伺服器，請填寫您的 Proxy 伺服器變數並執行所示的匯出命令 export https_proxy='USER:PASSWORD@PROXY_SERVER:<port>'。如果 Proxy 伺服器不強制要求驗證，請省略使用者和密碼欄位。在這種情況下，命令將類似於 export https_proxy='https://proxy.company.com:<port>'。

    2. 在同一終端機中，複本並貼上安裝命令。此指令片段僅在兩小時內有效，且只能用於安裝一個使用者活動代理程式。

      如果需要安裝其他使用者活動代理程式，請重複此程序以產生新的安裝片段。

  8. 選擇“下一步”。

  9. 請檢閱租戶和使用者活動代理程式的詳細資訊。如果一切正確，請選取 啟動 以完成程序。

自動

  1. 如果您是第一次建立使用者活動代理程式，請前往儀表板。在使用者活動監控磁貼中，選擇啟動。

    如果您要新增其他使用者活動代理程式，請前往 設定，找到 使用者活動監控 方塊，然後選取 管理。在「使用者活動」畫面上，選取 使用者活動代理程式 索引標籤，然後選取 新增。

  2. 選擇雲端供應商，然後選擇區域。

  3. 選擇建立租戶。

    建立租戶的程序大約需要五分鐘。選取 建立租戶 後，您可以選取 在背景執行 以返回儀表板並繼續進行其他作業。

  4. 請輸入*使用者活動代理程式名稱*的名稱。

  5. 選擇 自動 作為組態方法。

  6. 提供用戶活動代理詳細資訊：

    • 控制台代理 - 控制台代理程式應與使用者活動代理程式位於同一網路中，並可透過 SSH 連線至使用者活動代理程式的 IP 位址。

    • VM DNS 名稱或 IP 位址

    • VM SSH Key - 請使用以下格式輸入 SSH 金鑰：

      -----BEGIN OPENSSH PRIVATE KEY-----
private-key-contents
-----END OPENSSH PRIVATE KEY-----

      新增活動代理介面截圖。

  7. 選擇下一步。

  8. 檢查您的設定。選擇*啟動*以完成新增使用者活動代理程式。

  9. 確認使用者活動代理程式已成功建立。在「使用者活動監控」磁貼中，成功部署後會顯示為 Running。

結果

使用者活動代理程式建立成功後，返回「設定」選單，然後在「使用者活動監控」磁貼中選擇「管理」。選擇「使用者活動代理程式」索引標籤，然後選擇使用者活動代理程式以檢視其詳細資料，包括資料收集器和使用者目錄連接器。

新增資料收集器

啟用包含使用者活動偵測的勒索軟體防護策略時，系統會自動建立資料收集器。如需詳細資訊，請參閱"新增檢測策略"。

您可以查看資料收集器的詳細資訊。在「設定」中，選擇「使用者活動監控」磁貼中的「管理」。選擇「資料收集器」索引標籤，然後選擇資料收集器以查看其詳細資訊或暫停其運作。

使用者活動設定的螢幕擷取畫面。

刪除資料收集器

如果資料收集器已過期或不再運作，您可以將其刪除。刪除後，由該資料收集器監控的所有工作負載將停止監控可疑使用者行為。

步驟

  1. 在勒索軟體復原中，前往*設定*。

  2. 在「使用者活動監控」磁貼中，選擇 Manage。

  3. 選擇 Agents and collectors tab，然後選擇 Data collectors。

  4. 確定要刪除的資料收集器。選擇行動選單，然後選擇刪除。

  5. 在對話方塊中，選擇 Delete 進行確認。

建立使用者目錄連接器

若要將使用者 ID 對應到使用者名，您必須建立使用者目錄連接器。

步驟

  1. 在勒索軟體復原中，前往*設定*。

  2. 在「使用者活動監控」磁貼中，選擇 Manage。

  3. 選擇 Agents and collectors tab ，然後選擇 User directory connectors 選項卡，再選擇 Add。

  4. 配置連接。請在每個欄位中填寫所需資訊。

    場地 描述

    姓名

    請為使用者目錄連接器輸入一個唯一的名稱

    使用者目錄類型

    目錄類型

    伺服器IP位址或網域名稱

    代管連線之伺服器的 IP 位址或完整網域名稱（FQDN）

    森林名稱或搜尋名稱

    您可以將目錄結構的林級別指定為直接網域名稱（例如）。 unit.company.com）或一組相對專有名詞（例如： DC=unit,DC=company,DC=com）。你也可以輸入一個 OU 按組織單元或 CN 僅限特定使用者（例如： CN=user,OU=engineering,DC=unit,DC=company,DC=com）。

    綁定DN

    BIND DN 是被允許搜尋目錄的使用者帳戶，例如 user@domain.com。使用者需要網域唯讀權限。

    綁定密碼

    BIND DN 中提供的使用者密碼

    協定

    協定字段為可選字段。您可以使用 LDAP、LDAPS 或基於 StartTLS 的 LDAP。

    港口

    請輸入您選擇的連接埠號

    使用者目錄連線的螢幕截圖

    提供屬性映射詳細資訊：

    • 顯示名稱

    • SID（如果您使用 LDAP）

    • 使用者名稱

    • Unix ID（如果您使用 NFS）

    • 如果您選擇 包含可選屬性，您還可以新增電子郵件地址、電話號碼、角色、州/省、國家/地區、部門、照片、管理程式 DN 或群組。

  5. 選擇 進階 以新增選用的搜尋查詢。

  6. 選擇新增。

  7. 傳回使用者目錄連接器標籤以檢查使用者目錄連接器的狀態。如果建立成功，使用者目錄連接器的狀態顯示為*正在執行*。

刪除使用者目錄連接器

步驟

  1. 在 Ransomware Resilience 中，選擇 Settings。

  2. 找到「使用者活動監控」磁貼，選擇 Manage。

  3. 選擇使用者目錄連接器選項卡。

  4. 確定要刪除的使用者目錄連接器。在行尾的操作選單中，選擇三個點 `…​`然後刪除。

  5. 在彈出的對話方塊中、選取 Delete 進行確認。

回應使用者活動警示

設定使用者活動偵測後，您可以在警示頁面監控事件。如需詳細資訊，請參閱 "偵測惡意活動和可疑使用者行為"。

您還可以"自動化回應使用者活動事件"。

後續步驟