ONTAP 9.10.1以降では、新規または既存のボリュームで自律型ランサムウェア対策（ARP）を有効にすることができます。最初に学習モードでARPを有効にします。学習モードでは、システムがワークロードを分析して正常な動作を特定します。その後アクティブモードに切り替え、異常なアクティビティが検出されたら検証します。ARPは既存のボリュームで有効にすることも、新しいボリュームの作成時に有効にすることもできます。

要件

NFSまたはSMB（あるいはその両方）が有効になっているStorage VM。
使用しているONTAPバージョンに対応した正しいライセンスがインストールされている必要があります。

ONTAPリリースライセンス

ONTAP 9.10.1

MT_EK_MGMT（マルチテナントキー管理）

ONTAP 9.11.1以降

Anti_ransomware
クライアントが設定されているNASワークロード。
保護するボリュームへのアクティブなジャンクションパス。
オプション（推奨）：Eメール通知を送信するようにEMSシステムが設定されている（ARPのアクティビティに関する通知を含む）。詳細については、「EMSイベントの通知をEメールで送信するための設定」を参照してください。
オプション（推奨）：ONTAP 9.13.1以降では、マルチ管理者認証（MAV）を有効にして、自律型ランサムウェア対策（ARP）の設定に複数の認証済みユーザー管理者が必要になるようにすることができます。こちらを参照してください。

ONTAPリリース	ライセンス
ONTAP 9.10.1	MT_EK_MGMT（マルチテナントキー管理）
ONTAP 9.11.1以降	Anti_ransomware

タスク概要

Fujitsu ARPには、初期の学習期間（「ドライラン」とも呼ばれます）が含まれています。ONTAPシステムはこの期間にどのファイル拡張子が有効であるかを学習し、分析したデータを使用してアラートプロファイルを作成します。学習モードでワークロードの特性を評価するのに十分な期間ARPを実行したら、アクティブモードに切り替えてデータの保護を開始します。ONTAP 9.13.1以降、アダプティブラーニングがARP分析に追加され、学習モードからアクティブモードへの切り替えは自動的に行われます。

学習モードからアクティブモードにはいつでも切り替えることができますが、学習期間は30日間を推奨します。切り替えが早すぎると、誤検出が大量に発生するおそれがあります。ONTAP 9.13.1で導入されたアダプティブラーニングでは、より短い期間で十分な場合もあります。ONTAP CLIでは、security anti-ransomware volume workload-behavior showコマンドを使用して、それまでに検出されたファイル拡張子を表示できます。この方法で学習期間を短縮することは推奨されません。

アクティブモードでは、異常とフラグ付けされたファイル拡張子を誤検出としてマークすると、アラートプロファイルが更新されて、以降のアラートではその拡張子に異常のフラグは付けられなくなります。

既存のボリュームの場合、どちらのモードでも対象となるのは新しく書き込まれたデータだけで、ボリューム内の既存のデータは対象外です。それまでの正常なデータトラフィックの特性は、ボリュームのARPを有効にしたあとの新しいデータに基づいて推定されるため、既存のデータはスキャンも分析もされません。

ONTAP CLIでこの機能を管理するには、security anti-ransomware volumeコマンドを使用します。volume modifyコマンドと-anti-ransomwareパラメーターを使用して管理することもできます。

Example 1. 手順

ONTAP System Manager

[ストレージ] > [ボリューム]をクリックし、保護するボリュームを選択します。
[ボリューム]の概要の[セキュリティ]タブで、[ステータス]をクリックして、[ランサムウェア対策]ボックスで学習モードを[無効]から[イネーブル]に切り替えます。

学習期間が終了したら、ARPをアクティブモードに切り替えます。

ONTAP 9.13.1にアップグレードしている場合、ARPが最適な学習期間を自動的に判断し、自動で切り替えます。学習モードからアクティブモードへの切り替えを手動で制御するには、関連付けられているStorage VMでこの設定を無効化してください。

[ストレージ] > [ボリューム] をクリックし、アクティブモードにするボリュームを選択します。
[ボリューム] の概要の [セキュリティ] タブで、[アクティブモードに切り替える] をクリックして、[ランサムウェア対策]アクティブモードに切り替えます。

ボリュームのARPの状態は、[ランサムウェア対策] ボックスでいつでも確認できます。
すべてのボリュームのARPの状態を表示するには、[ボリューム] ペインの [表示/非表示] をクリックして、[ランサムウェア対策] ステータスがオンになっていることを確認します。

CLI

既存のボリュームを変更して、学習モードでランサムウェアからの保護を有効にします。

security anti-ransomware volume dry-run -volume vol_name -vserver svm_name

volume modifyコマンドを使用してランサムウェアからの保護を有効にすることもできます。

volume modify -volume vol_name -vserver svm_name -anti-ransomware-state dry-run

CLIでは、データをプロビジョニングする前に、ランサムウェア対策による保護を有効にして新しいボリュームを作成することもできます。

volume create -volume vol_name -vserver svm_name -aggregate aggr_name -size nn -anti-ransomware-state dry-run -junction-path /path_name

ARPは、最初に必ずドライラン状態（学習モード）で有効にしてください。最初からアクティブ状態にすると、誤検出レポートが大量に生成される可能性があります。

ONTAP 9.13.1以降にアップグレードした場合、アダプティブラーニングが有効になっているので、アクティブ状態への切り替えは自動的に行われます。この自動化を希望しない場合は、関連付けられているすべてのボリュームの設定をStorage VMレベルで変更します。

vserver modify svm_name -anti-ransomware-auto-switch-from-learning-to-enabled false

学習期間が終了したら、保護されているボリュームを変更してアクティブモードに切り替えます（自動的に切り替えられていない場合）。

security anti-ransomware volume enable -volume vol_name -vserver svm_name

modify volumeコマンドを使用して、アクティブモードに切り替えることもできます。

volume modify -volume vol_name -vserver svm_name -anti-ransomware-state enabled
ボリュームのARPの状態を確認します。

security anti-ransomware volume show