跳转到主内容

在 ONTAP 中可以采取哪些措施来防止勒索软件感染的蔓延？

  1. 最后更新
  2. 另存为PDF
Views:
48
Visibility:
Public
Votes:
0
Category:
ontap-9
Specialty:
core
Last Updated:

适用于

  • ONTAP 9.10.1
  • ONTAP Autonomous Ransomware Protection (ARP)

回答

与安全团队合作，确定并修复勒索软件攻击的来源。

第 1 阶段：检测和初始响应

  • 使用 ARP 检测异常文件活动：ARP 监控工作负载行为，并在检测到时触发警报和快照。
  • 主动启用 CIFS / NAS 审核，以跟踪异常的文件共享活动。
  • 使用 Data Infrastructure Insights，它集成了 ARP 事件和 FPolicy 来监控 ARP 警报和异常客户端访问活动。

阶段 2：防止勒索软件进一步传播的遏制措施

  • 停止接受新客户端访问（新会话）

注: 

持有大量锁的客户可能是感染源的候选者，应优先进行拦截。

  • 阻止特定客户端的访问
    • 修改现有导出策略或创建新拒绝规则：
      • vserver export-policy rule modify -clientmatch <client IP or subnet> -rorule none -rwrule none
      • vserver export-policy rule create -clientmatch <client IP or subnet> -rorule none -rwrule none

注:

NFS 不提供强大的会话级断开连接功能，即使在应用导出策略限制后，现有客户端 I/O 也可能会持续一段时间。要完全停止 I/O，建议使用卷隔离（请参阅第 4 节）。

  • 终止现有 CIFS 会话
    1. 标识活动的 CIFS 会话和锁定：
      • vserver cifs session show -vserver <vserver>
      • vserver locks show -vserver <vserver> -volume <volume> -protocol cifs
    2. 终止特定会话（通过用户/客户端/文件访问）：
  • 停止 CIFS / NFS 服务
    • vserver cifs stop -vserver <vserver>
    • vserver nfs stop -vserver <vserver>
  • 卷隔离：
    • 使受影响的卷脱机以停止所有 I/O： volume offline -vserver <vserver> -volume <volume>
  • 数据 LIF 隔离：
    1. 识别数据 LIF： network interface show -role data
    2. 禁用数据 LIF： network interface modify -status-admin down -vserver <vserver> -lif <data LIF>

警告

集群间 LIF 是用于跨集群通信的专用逻辑接口，支持 SnapMirror/SnapVault 复制、NDMP 备份、集群对等以及向外部对象存储（例如 FabricPool/cloud）传输数据。禁用 LIF 时，通过集群间 LIF 连接会失败。
  • (可选)集群间 LIF 隔离： 
    • 防止潜在受损数据的任何进一步数据复制或传播。
      1. 识别集群间 LIF：network interface show -role intercluster
      2. 禁用集群间 LIF：network interface modify -status-admin down -vserver <vserver> -lif <intercluster LIF>

第 3 阶段：影响评估

使用以下日志确定受影响的范围：

  • ARP 报告：识别受影响的目录和卷

  • 审核日志（CIFS / NFS）：识别客户端访问活动，包括访问的文件、客户端 IP 地址、访问模式和攻击时间表。

阶段 4：恢复

在事件之前使用ARP 生成的 Snapshot 副本 还原数据。

追加信息

NetApp provides no representations or warranties regarding the accuracy or reliability or serviceability of any information or recommendations provided in this publication or with respect to any results that may be obtained by the use of the information or observance of any recommendations provided herein. The information in this document is distributed AS IS and the use of this information or the implementation of any recommendations or techniques herein is a customer's responsibility and depends on the customer's ability to evaluate and integrate them into the customer's operational environment. This document and the information contained herein may be used solely in connection with the NetApp products discussed in this document.