自律型ランサムウェア対策のスナップショット保護と攻撃検出について
環境
- ONTAP バージョン 9.10.1 以降
- 自律型ランサムウェア対策 （ARP） またはAnti_Ransomware（ARW）
回答
ARPラーニングモードとアクティブモードの違いは何ですか？
ボリュームで初めてARPを有効にすると、ボリュームは「学習モード」になります。
- このモードは、ワークロードの挙動を以下のように調査するために使用されます：
検出されたファイル拡張子 - 学習モード（ドライラン）とアクティブモードの両方で検出されたすべてのファイル拡張子。
- アクティブモード中に検出された拡張子は、「OBSERVED FILE TYPES」（System Manager）のサブセットである「NEW FILE TYPES」の下に一覧表示されます。
::> security anti-ransomware volume workload-behavior show -vserver vs0 -volume v1
Vserver: vs0
Volume: v1
File Extensions Observed: abc, xyz, pdf, doc
Number of File Extensions Observed: 4
Historical Statistics
High Entropy Data Write Percentage: -
High Entropy Data Write Peak Rate (KB/Minute): -
File Create Peak Rate (per Minute): 1
File Delete Peak Rate (per Minute): -
File Rename Peak Rate (per Minute): -
Surge Observed
Surge Timeline: -
High Entropy Data Write Percentage: -
High Entropy Data Write Peak Rate (KB/Minute): -
File Create Peak Rate (per Minute): -
File Delete Peak Rate (per Minute): -
File Rename Peak Rate (per Minute): -
Newly Observed File Extensions: pro, tek
Number of Newly Observed File Extensions: 2
- エントロピ - ファイル内のデータのランダム性の評価。ONTAPが不審なファイル操作を特定するために使用します。
- File IOPs - 作成、名前変更、削除されたファイルの数の記録（9.11.1）。
注記：学習モードの期間が30日未満の場合、ファイルIOPsのサージ検出が失敗する可能性があります。
- 偽陽性結果を避けるため、学習モードは最低でも7日から30日間維持することをお勧めします。
- 偽陽性とは、ONTAPが悪意のあるものではない拡張機能を疑わしいものとしてフラグ付けすることです。
- 指定された学習モードが終了したら、管理者はボリュームを「アクティブモード」に移行できます。
- アクティブモード中は、ONTAPがデータ保護のためにARPスナップショットを作成します。
- 関連するナレッジベース記事：
ARPはいつスナップショットを作成しますか？（ARPがスナップショットを作成する方法）
ARPスナップショットが作成される条件は2つあります。
ARP は、高エントロピーデータが観測された場合に、積極的にボリュームSnapshotを作成します（例：
Anti_ransomware_backup.2022-12-20_1248タグ付きanti-ransomware-backup）。- このスナップショット作成は、攻撃確率が中程度に上昇するまで、エンドユーザには通知されません。
- 参考KB：ARP スナップショットは、攻撃やサージの検出なしに生成されます。
急増が観測されました。
- サージ検知は攻撃確率を変化させません。
- サージを観測した際にスナップショットのみが作成され、5日間保持されます（設定可能）。
- 攻撃として報告されないため、アラートは生成されません。
security anti-ransomware volume attack clear-suspectはサージスナップショットを削除しません。
攻撃確率の値は何を意味するのでしょうか？
攻撃確率は、これまでに見られたことのないファイル拡張子の数によって制御され、次のように設定されます：
none - 攻撃とはみなされません。
low - 初めて見るファイル拡張子が検出されたときに設定されます。
lowこれは、attack-detection-parameters（9.11 で設定可能）で指定されるファイル拡張子の数、またはファイル拡張子と高エントロピーの組み合わせが十分でない場合に設定されます。- 攻撃確率が 5 日間
lowのままである場合、ONTAP は自動的にclear-suspectを実行して、確率を「None」にリセットし、古い疑わしいエントリを削除します。 - 過去 5 日以内に検出されたファイルは、引き続き疑わしいものとしてマークされる可能性があり、その結果、他のすべての ARP スナップショットが削除される一方で、1 つの ARP スナップショットのみが保持されます。
- 5 日間のウィンドウは固定されており、変更することはできません。
moderate - 同じ、これまで見たことのないファイル拡張子を持つファイルが 20 個以上検出された場合に設定されます（9.11 で設定可能、デフォルト値は 9.16.1 から 5 に変更）。
- これを受けてEMS通知が生成され、エンドユーザの介入が必要です。
- 詳細については、以下のGUIの例を参照してください。
- ONTAP System Manager では、確率が中程度に設定されている場合に「疑わしいファイルタイプの表示」ボタンが表示されます。
high攻撃確率は使用されません。
ARPスナップショットはどのように保持され、どのように削除されますか？
- 自動Snapshotコピーのオプションの変更
- ONTAP 9.11.1以降では、CLIを使用して、ランサムウェア攻撃の疑いに応じて自動的に生成されるARPスナップショットコピーの数と保持期間を制御できます。
ontap910::> options arw*
ontap910-01
arw.snap.create.interval.hours 4
arw.snap.create.interval.hours.post.max.count 8
arw.snap.max.count 6
arw.snap.max.retain.interval.days 5
arw.snap.normal.retain.interval.hours 48
5 entries were displayed.
lccls9111001::> options arw*
lccls9111001-01
arw.snap.create.interval.hours 4 <--------------- independent of attack probability
arw.snap.create.interval.hours.post.max.count 8 <--------------- independent of attack probability
arw.snap.max.count 6 <--------------- independent of attack probability
arw.snap.max.retain.interval.days 5 <--------------- dependent of attack probability
arw.snap.normal.retain.interval.hours 48 <--------------- dependent of attack probability
arw.surge.snap.interval.days 5 <--------------- independent of attack probability
6 entries were displayed.
ontap913::> options arw*
ontap913-01
arw.snap.create.interval.hours 4
arw.snap.create.interval.hours.post.max.count
8
arw.snap.max.count 6
arw.snap.max.retain.interval.days
5
arw.snap.new.extns.interval.hours
48
arw.snap.normal.retain.interval.hours
48
arw.snap.surge.interval.days 5
攻撃確率は、これらのオプションが有効になるかどうか、またどのように有効になるかに影響します。
noneは攻撃とはみなされません。- すべてのオプションは設定どおりに適用されます。
- スナップショットが 2 日経過しているものが 1 つだけの場合、
arw.snap.normal.retain.interval.hoursが 48 に設定されているときは、別のスナップショットが 2 日経過するまで削除されません。 - スナップショットは 5 日経過すると削除されますが、
arw.snap.max.retain.interval.daysは 5 に設定されています。
lowは、その後のイベント（同じ拡張子のファイルが20個以上検出されたかどうか）に応じて、noneまたはmoderateに変更される場合があります。- 顧客は、確率が
moderateに変化したときにのみ対応する必要があります。これにより攻撃が確認されます。 lowの確率の間は、最終的にnoneまたはmoderateに変化するかどうかが不明なため、スナップショットは保持されます。
- 顧客は、確率が
moderateは攻撃とみなされます。arw.snap.max.countおよびarw.snap.create.xxxオプションは引き続き考慮され、カウントは適用されます。この場合、スナップショットの最大保持時間（
arw.snap.max.retain.interval.days）は完全には適用されません。攻撃直前に作成されたスナップショットは、管理者がその攻撃を誤検知としてマークするまで保持されます。
- 攻撃中に複数のARPスナップショットが作成された場合、攻撃が解消されるとそれらはすべて一度に削除されます。
不審なアクティビティの前後に作成されたスナップショット（もはや
moderate）は、最大保持期間が経過した後に削除されます。
- 次の点にご注意ください：BUG 1525719 - 攻撃確率が「なし」に設定されている場合、ARP Snapshot コピーはクリーンアップされません。
CLIまたはGUIからARP確率を確認およびクリアするにはどうすればよいですか？
これまで見たことのないファイル拡張子が観測された場合（学習モードでは観測されなかった場合）、攻撃確率はlowに設定されます。
CLIとGUIの出力は以下のとおりです。
System Manager では、「Abnormal volume activity detected on 20 Dec 2022 2:49 PM」というメッセージが表示され、「View Suspected File Type」というオプションが表示されます。
- 注記：現時点では、EMS/ASUP通知は生成されません。
- 新しく見つかった拡張子が疑わしくない場合、管理者はそれを誤検知としてマークできます（CLIまたはSystem Manager）。
- 新しく見つかった拡張子が疑わしい場合、管理者は確認や攻撃の通知を待つことなく、直ちに適切な措置（ボリュームのアンマウントなど）を講じることができます。
|
警告 ボリュームのアンマウントは、攻撃の誤検出が発生した場合にアプリケーションの停止につながる可能性があるため、慎重に行う必要があります。 |
CLIの例、low：
::> security anti-ransomware volume show -vserver svm1 -volume Vol1
Vserver Name: svm1
Volume Name: Vol1
State: enabled
Dry Run Start Time: -
Attack Probability: low
Attack Timeline: 12/21/2022 09:34:45
Number of Attacks: 1
- この未知のファイル拡張子を持つファイルが20個以上見つかった場合、攻撃とみなされます。
- 確率は
lowからmoderateに変化し、callhome.arw.activity.seenEMS/ASUPアラートが生成されます：
- 確率は
cluster2::> event log show -message-name *arw*
Time Node Severity Event
------------------- ---------------- ------------- ---------------------------
12/20/2022 11:27:55 cluster2-01 ALERT callhome.arw.activity.seen: Call-home message for Vol1 (UUID: c437827d-8062-11ed-9f93-005056a0d3a0) svm1 (UUID: 4574c5fe-8916-11ec-b931-005056a0d3a0)
注記：上記の例では、SVMとボリュームが明示されています。
CLIの例、moderate：
::> security anti-ransomware volume show -vserver svm1 -volume Vol1
Vserver Name: svm1
Volume Name: Vol1
State: enabled
Dry Run Start Time: -
Attack Probability: moderate
Attack Timeline: 12/21/2022 09:34:45
Number of Attacks: 1
GUI の例：
- システムマネージャーにログインして「イベント」セクションをクリックすると、別のボリュームで異常な動作が検出されたことが通知されます。
- そのリンクをクリックすると、影響を受けるボリュームの一覧が表示されます。
- 影響を受けるボリュームのいずれかをクリックすると、以下のスクリーンショットが表示されます。
- 影響を受けるボリュームのいずれかをクリックすると、以下のスクリーンショットが表示されます。
報告された攻撃が誤検知であることが判明した場合は、誤検知としてマークします（CLIまたはSystem Manager）：
::> security anti-ransomware volume attack clear-suspect -volume Vol1 -false-positive true
Warning: All suspect details will be cleared.
Do you want to continue? {y|n}: y
注記：一度誤検出と判定されると、新たに検出されたファイル拡張子は有効な拡張子とみなされ、今後このファイル拡張子に対する攻撃は報告されなくなります。
ARPの攻撃検出はONTAPバージョンによってどのように異なりますか？
ONTAP 9.10.1 - これまでに見られなかった拡張子を持つファイルが20個以上観測され、かつそれらのファイルに高エントロピーのデータが含まれていることが判明した場合、攻撃があったとみなされます。
- 両方の条件が満たされている必要があります（攻撃確率：中程度）。
ONTAP 9.11.1+ - 一部のランサムウェアは、ファイル全体ではなくファイルの一部のみを暗号化することで、データのエントロピーを低く保ちます。
- これらを検出するため、9.11.1以降では、24時間以内（デフォルトの期間）にこれまで見たことのない拡張子を持つファイルが20個以上（デフォルト）見つかった場合、攻撃があったとみなされます — エントロピーデータはデフォルトではレビューされません。
攻撃が確認され報告されると、前回の攻撃状態が解消されるまで、それ以降の攻撃は報告されません。
- 新たな攻撃は、既に報告された攻撃が解決された後にのみ報告されます。
攻撃が解消されるまで、ASUPアラートは24時間ごとに送信されます。
一部のワークロードでは、これにより誤検出が発生する可能性があります。
このようなワークロードの場合、ファイル拡張子のみに基づく検出は、以下のように無効にすることができます：
::> security anti-ransomware volume attack-detection-parameters modify -vserver svm1 -volume Vol1 -based-on-never-seen-before-file-extension false- 攻撃とみなされるのは、これまで確認されたことのない拡張子と高エントロピーデータの両方が観測された場合に限ります。
デフォルトのファイル数（20）と期間（24時間）は、攻撃検出パラメータを使用して変更できます。
- これはSystem Managerでも実行できます。
バージョン9.11.1以降、学習モード中はボリュームレベルでファイルの作成/削除/名前変更操作が一定間隔で追跡され、これらの操作の基準値が構築されます。
- 同様に、受信する高エントロピーデータの量は、ボリュームレベルで一定の間隔で追跡され、ベースライン値が構築されます。
アクティブモードに切り替えた後、特定の間隔で追跡対象のアクティビティに著しい急増が観測された場合、それは異常とみなされ、スナップショットが事前に作成されます（例：
Anti_ransomware_backup.2022-12-21_1135タグ付きanti-ransomware-backup-for-surge）。- ただし、誤検出の可能性が高いため、これは攻撃として報告されません。
スナップショットは5日間保持されます。これは、実際に攻撃であることが判明した場合に、密かに作成されたスナップショットからデータを復元できるという前提に基づいています。
基準値（過去の統計データ）と観測された急増状況は以下のとおりです。
- システムマネージャーでも確認できます。
- 学習モードからアクティブモードに切り替えた後も、ベースラインはワークロードの変化に応じて定期的に更新されます（実際のワークロードの平均値20分ごと）。
過去の統計
- ARP学習モード中に作成されたベースライン値。
- 学習期間中に収集され、通常のワークロードの動作を表します。
急増が観測された
- リアルタイムの観測結果を、学習済みのベースラインと直接比較します。
- 過去の統計と比較して、異常または急激に増加したアクティビティを記録します。
異常なアクティビティとみなされる急増の量は、デフォルト値から特定のワークロードに適した任意の値に変更できます。
- ワークロードアクティビティの急増検知機能をオフにすることもできます。
- ファイル拡張子とデータエントロピーに基づくランサムウェア検出は、サージ検出に依存することなく継続されます。
- ワークロードアクティビティの急増検知機能をオフにすることもできます。
::> security anti-ransomware volume attack-detection-parameters show -vserver svm1 -volume Vol1
Vserver Name : svm1
Volume Name : Vol1
Is Detection Based on High Entropy Data Rate? : true
Is Detection Based on Never Seen before File Extension? : true
Is Detection Based on File Create Rate? : true
Is Detection Based on File Rename Rate? : true
Is Detection Based on File Delete Rate? : true
Is Detection Relaxing Popular File Extensions? : true
High Entropy Data Surge Notify Percentage : 100
File Create Rate Surge Notify Percentage : 100
File Rename Rate Surge Notify Percentage : 100
File Delete Rate Surge Notify Percentage : 100
Never Seen before File Extensions Count Notify Threshold : 20
Never Seen before File Extensions Duration in Hour : 24
注記：デフォルトでは、100%の増加は急増とみなされます。次に例を示します。
- 学習モード（履歴統計）中に高エントロピーデータの割合が8%だった場合、それが16%以上（急増観測）になったときは、急増とみなされます。
- 学習モード中に高エントロピーデータの割合が60%だった場合、サージの割合をデフォルトの100%から50%に変更することをお勧めします。そうすることで、60% + 30% = 90%（つまり、高エントロピーの割合が60%から90%に増加したとき）の増加をサージとみなすことができます。
- 特定のワークロードにおいて高エントロピー率が98%である場合、わずか2%の増加しか許容されないため、サージを検出することはできません。これは識別可能な差ではありません。
::> security anti-ransomware volume workload-behavior show -vserver svm1 -volume Vol1
Vserver : svm1
Volume : Vol1
File Extensions Observed : jpg, txt, html, mp4, pdf,
png, doc, gif
Number of File Extensions Observed : 8
Historical Statistics
High Entropy Data Write Percentage : 70
High Entropy Data Write Peak Rate (KB/Minute) : 5452
File Create Peak Rate (per Minute) : 24
File Delete Peak Rate (per Minute) : 80
File Rename Peak Rate (per Minute) : -
Surge Observed
Surge Timeline : 12/21/2022 12:51:14
High Entropy Data Write Percentage : -
High Entropy Data Write Peak Rate (KB/Minute) : -
File Create Peak Rate (per Minute) : 53
File Delete Peak Rate (per Minute) : -
File Rename Peak Rate (per Minute) : -
Newly Observed File Extensions : -
Number of Newly Observed File Extensions : -
報告された急増が一時的なアプリケーションの動作であり、ベースライン値に変更がないまま今後も同じ急増が報告され続ける場合は、clear-surgeオプションを使用して対応できます：
::> security anti-ransomware volume workload-behavior clear-surge -vserver svm1 -volume Vol1
注記：サージ検出によってトリガーされた ARP スナップショットはクリアできません。
報告されたサージが通常のアプリケーション動作であり、その報告されたサージ値を将来の参照のための新しいベースラインとして考慮する必要がある場合は、update-baseline-from-surgeオプションを使用して実行できます：
::> security anti-ransomware volume workload-behavior update-baseline-from-surge -vserver svm1 -volume Vol1
注記：サージ検出によってトリガーされた ARP スナップショットはクリアできません。