• 前回の記事が気になる方は以下をご参照ください。
  これで安心！ONTAPのランサムウェア対策機能でストレージからもセキュリティを強化しよう！ パート①

1. 左メニューから[ストレージ] - [ボリューム]を選択し、ランサムウェア対策機能を設定するFlexVolを選択します。
   
   
   
2. [セキュリティ]タブを選択し、[ランサムウェア対策]の[ステータス]をクリックします。
   
   
   
3. [ステータス]が「学習モードでイネーブルになります」に切り替わったことを確認します。
   
   
   ※ランサムウェア対策機能を有効にすると「学習モード」が開始されます。
   　これは、対象FlexVolを利用している環境での普段のアクセスパターンや、
   　書き込まれるファイル拡張子などをONTAPによって学習する期間です。
   　学習モードの推奨期間は7日～30日となっており、これより短い期間にする場合、
   　誤検知の原因になる可能性があります。
   
   
4. 学習モードで推奨される期間を経過後、[アクティブモードに切り替えます]をクリックします。
   
   
   
5. [ステータス]が「アクティブモードで有効になります」に切り替わったことを確認します。
   
   
   以上で、ランサムウェア対策機能の設定は完了です。
   
   ちなみにONTAPによって学習されたファイル拡張子は以下のコマンドで確認することができます。
   
   security anti-ransomware volume workload-behavior show -vserver [SVM名] -volume [FlexVol名]
   
   Vserver：ランサムウェア対策機能を有効化したFlexVolが所属するSVM
   Volume：ランサムウェア対策機能を有効化したFlexVol
   File Extensions Included：ONTAPによって学習されたファイル拡張子
   
   学習モードが終了し、アクティブモードに移行した後もFile Extensions Includedに表示されるファイル拡張子は増えていきます。
   また、コマンドによって確認できるのはファイル拡張子のみですが、それと合わせて対象FlexVolに対するアクセスパターンについても内部での学習が続けられます。
   
   

1. 設定の際と同様に対象FlexVolの[セキュリティ]タブをクリックします。
   ランサムウェア攻撃を検出した場合、「異常なボリュームアクティビティが検出されました」と表示され、攻撃の日付と時間も確認することができます。
   
   
   
2. さらに詳細について確認したい場合、[疑わしいファイルの種類を表示します]をクリックします。
   
   
   
3. ここでは、ランサムウェアと思われる攻撃を受けたファイルの場所、ファイル名や拡張子まで確認することができます。
   [クローズ]をクリックすれば、このウィンドウを閉じることができます。
   
   
   
4. 次にSnapshotを確認します。
   対象FlexVolの[Snapshotコピー]タブへ移動すると「Anti_ransomware_backup.YYYY-MM-DD_hhmm」という名前でSnapshotが作成されていることが分かります。
   
   
   ランサムウェア対策機能により取得されたSnapshotはロックがかかるため、Snapshotのローテーションや手動操作によって削除されることはありません。
   ※削除すると以下のようなエラーが出力されます。
   
   
   
5. 続いてアラートを確認します。
   左メニューの[イベントとジョブ] - [イベント]を選択し、[概要]に表示されている警告内容をクリックします。
   
   
   
6. 「This message occurs when ransomware activity is detected....」といったアラートを確認することができます。
   
   
   本アラートはEMSの通知機能により、メールやSNMPを使用した通知が可能です。
   
   ランサムウェア攻撃検出の確認方法は以上になります。
   
   

①誤検出として処理するパターン

1. 対象FlexVolの[セキュリティ]タブへ移動し、[疑わしいファイルの種類を表示します]をクリックします。
   
   
   
2. [疑わしいファイルタイプをマークします]から[誤検出]を選択し、[疑わしいファイルの種類を更新してクリア]をクリックします。
   
   
   誤検出したファイル拡張子などの情報をONTAPが学習し、ランサムウェアの監視が再開されます。
   このとき、誤検出の際に取得したSnapshotについても自動で削除されます。

②ランサムウェア攻撃と判断し、対象ボリュームをリストアするパターン

1. 対象FlexVolの[Snapshotコピー]タブへ移動し、「Anti_ransomware_backup.YYYY-MM-DD_hhmm」という名前のSnapshotの右にある[︙]から[リストア]を選択します。
   
   
   
2. [このSnapshotコピーからボリュームをリストア]にチェックを入れ、[リストア]をクリックします。
   
   
   
3. リストアが正常に完了したことを確認します。
   
   
   ※ONTAPのランサムウェア対策機能は、攻撃後のSnapshot取得になるため、少数のファイルは暗号化された状態になっています。
   暗号化された少数ファイルについては、定期的なSnapshotからファイル単位で復旧することができます。
   ファイル単位での復旧方法については、弊社が提供している「ONTAP NAS構築手順書」に記載していますので、こちらをご参照ください。
   
   自動で取得されたSnapshotについては、7日後に自動で削除されます。
   ボリュームのリストアが完了した時点でランサムウェアの監視が再開されます。
   
   ランサムウェア攻撃検出後の対処方法は以上になります。