Skip to main content
本繁體中文版使用機器翻譯，譯文僅供參考，若與英文版本牴觸，應以英文版本為準。

使用 ONTAP ARP 在勒索軟體攻擊後恢復資料

貢獻者 netapp-dbagwell
PDF

自主勒索軟體防護 (ARP) 會建立快照，以保護 NAS Volume 免受勒索軟體威脅。您可以使用 ARP 快照或 Volume 的其他快照來還原資料。

註 如果您執行的是 ONTAP 9.16.1 或更新版本，請參閱"使用 ARP/AI 在勒索軟體攻擊後恢復資料"。
關於這項工作

根據潛在攻擊情況，您可以透過以下方式之一還原資料：

ARP 所建立的快照會加上前綴名稱 Anti_ransomware_backup。例如， Anti_ransomware_backup.2022-12-20_1248。

開始之前

選擇還原方法

根據資料損毀程度和您的操作需求，選擇一種或多種復原方法。

  • 磁碟區 Snapshot 還原：將整個磁碟區回滾到選定的 Snapshot（ARP 或排程）。這是最快的方法，但會移除還原點之後建立的所有 Snapshot。

    重要 對於 ONTAP 9.15.1 及更早版本：執行時，ARP 快照會*立即*刪除 clear-suspect。您必須在清除*之前*完成 Volume 快照還原。請參閱"了解清除可疑事件時的快照行為"。

  • 從乾淨的 Snapshot 建立 FlexClone：從選定的 Snapshot 建立複製磁碟區，保留原始磁碟區及其所有 Snapshot，以便進行鑑識分析或其他還原作業。建議將複製磁碟區與父磁碟區分離，以將受感染的父磁碟區與乾淨的複製磁碟區隔離。

    深入瞭解 "從快照建立 FlexClone 磁碟區" 和 "將 FlexClone 從其父級分離出來"。

  • 單一檔案 SnapRestore：從快照還原個別檔案。每個檔案可以來自不同的快照。當受影響的檔案數量相對較少時，此方法非常實用。

    深入瞭解"從 Snapshot 還原單一檔案"。

  • 從 .snapshot 目錄複製資料：使用標準檔案複製作業將快照掛載點的資料複製到新磁碟區。此方法保留原始磁碟區和快照以供分析。

  • 混合方法：首先使用 SnapRestore 將磁碟區回滾到最近的乾淨快照，然後從另一個快照或外部備份中單獨還原任何剩餘的損壞檔案。

還原限制與考量事項

  • 在 ONTAP 9.15.1 及更早版本中，執行 clear-suspect`後，ARP 快照會*立即*刪除。無論您將活動標記為誤報還是真實攻擊，此規則均適用。如果您打算使用 `volume snapshot restore，則必須在清除可疑事件*之前*完成還原作業。

  • 只有在使用 `volume snapshot restore`從早期快照還原時，才需要釋放 ARP 快照鎖定。對於 FlexClone®、單一檔案 SnapRestore、資料複本操作或類似方法，則不需要釋放 ARP 快照鎖定。

  • 如果從快照還原參與 SnapMirror 非同步關係的 ARP 保護 Volume，請在還原後手動更新所有鏡射複本。否則，鏡射複本可能無法使用，且可能需要刪除並重新建立。

  • ARP（9.10.1 至 9.15.1）不支援 SnapMirror 同步或 SnapMirror 作用中同步。這些功能僅限 ARP/AI 使用（ONTAP 9.19.1 及更新版本）。

系統攻擊後還原

對於 Volume Snapshot 還原，請根據 Snapshot 來源和具體情況選擇下列流程之一：

從最新的 ARP Snapshot 還原

當您可以自信地從最新的 ARP Snapshot（即可用於還原的最新 Snapshot）進行還原時，請選擇此流程。

系統管理員

  1. 選擇 * 儲存 > Volumes （磁碟區） * 、然後選擇 Volume （磁碟區）和 * Snapshot Copies （ * 快照複本） * 。

  2. 選取最近的 ARP 快照旁的功能表選項圖示 (Anti_ransomware_backup，然後選取 還原。

  3. 還原完成後，"返回回應流程"以清除可疑檔案。

CLI

  1. 列出磁碟區中的快照：

    volume snapshot show -vserver <svm> -volume <volume>

  2. 從快照還原磁碟區的內容：

    volume snapshot restore -vserver <svm> -volume <volume> -snapshot <snapshot>

  3. 還原完成後，"返回回應流程"以清除可疑檔案。

從先前的 Snapshot 還原

當您需要從較早的快照還原時，請選擇此流程。在從較早的快照還原之前，請先釋放對最新 ARP 快照的鎖定。

重要

在 ONTAP 9.15.1 及更早版本中，清除可疑事件會*立即刪除 ARP 快照*。在此流程中，您有意從較早的快照（而非 ARP 快照）進行還原，因此必須先清除以解除鎖定。如果您需要 ARP 快照中的資料，請改用從最新的 ARP Snapshot 還原流程。
系統管理員

  1. 解除最新 ARP Snapshot 的鎖定：

    1. 選擇*儲存>磁碟區*。

    2. 選擇 * 安全 * ，然後 * 檢視可疑的檔案類型 * 。

    3. 將檔案標記為「可能的勒索軟體攻擊」。

    4. 選擇 Update and Clear Suspected File Types。

  2. 選擇 * 儲存 > Volumes （磁碟區） * 、然後選擇 Volume （磁碟區）和 * Snapshot Copies （ * 快照複本） * 。

  3. 選擇要還原的較早快照旁邊的 功能表選項圖示，然後選取 Restore。

CLI

  1. 將此次攻擊標記為潛在的勒索軟體攻擊(-false-positive false），並清除可疑檔案以解除鎖定：

    重要 此命令會立即刪除 ONTAP 9.15.1 及更早版本中的 ARP 快照。只有當您打算從早期（非 ARP）快照還原且不需要 ARP 快照時，才執行此命令。 
    security anti-ransomware volume attack clear-suspect -vserver <svm_name> -volume <vol_name> [<extension identifiers>] -false-positive false

  2. 列出磁碟區中的快照：

    volume snapshot show -vserver <svm> -volume <volume>

    以下範例顯示中的快照 vol1：

    clus1::> volume snapshot show -vserver vs1 -volume vol1

Vserver Volume Snapshot                State    Size  Total% Used%
------- ------ ---------- ----------- ------   -----  ------ -----
vs1	    vol1   hourly.2013-01-25_0005  valid   224KB     0%    0%
               daily.2013-01-25_0010   valid   92KB      0%    0%
               hourly.2013-01-25_0105  valid   228KB     0%    0%
               hourly.2013-01-25_0205  valid   236KB     0%    0%
               hourly.2013-01-25_0305  valid   244KB     0%    0%
               hourly.2013-01-25_0405  valid   244KB     0%    0%
               hourly.2013-01-25_0505  valid   244KB     0%    0%

7 entries were displayed.

  3. 從快照還原磁碟區的內容：

    volume snapshot restore -vserver <svm> -volume <volume> -snapshot <snapshot>

    下列範例還原的內容 vol1：

    cluster1::> volume snapshot restore -vserver vs0 -volume vol1 -snapshot daily.2013-01-25_0010

未偵測到攻擊時進行還原

如果未發現攻擊，則首先從最新的 ARP 快照還原，然後再從較早的快照還原。

系統管理員

  1. 選擇 * 儲存 > Volumes （磁碟區） * 、然後選擇 Volume （磁碟區）和 * Snapshot Copies （ * 快照複本） * 。

  2. 選取 功能表選項圖示 然後選擇最新的 Anti_ransomware_backup Snapshot。

  3. 選擇*還原*。

  4. 返回 Snapshot Copies 選單，然後選擇要使用的較早快照。

  5. 選擇*還原*。

CLI

  1. 首先從最新的 ARP 快照還原：

    1. 列出磁碟區中的快照：

      volume snapshot show -vserver <svm> -volume <volume>

    2. 從快照還原磁碟區的內容：

      volume snapshot restore -vserver <svm> -volume <volume> -snapshot <snapshot>

  2. 選擇要使用的較早 Snapshot 並重複還原。

如"指令參考資料ONTAP"需詳細 `volume snapshot`資訊，請參閱。