自律型ランサムウェア対策（ARP）は、ランサムウェアの潜在的な脅威を検出したときにAnti_ransomware_backupという名前のSnapshotコピーを作成します。これらのARP Snapshotコピーのいずれかまたはボリュームの別のSnapshotコピーを使用して、データをリストアできます。

タスク概要

システムへの攻撃が特定されたあとにAnti_ransomware_backup Snapshot以外のSnapshotからリストアするには、まずARP Snapshotを解放する必要があります。

システムへの攻撃が報告されなかった場合は、まずAnti_ransomware_backup Snapshotコピーからリストアしたあと、選択したSnapshotコピーからボリュームの以降のリストアを完了する必要があります。

手順

ONTAP System ManagerまたはONTAP CLIを使用してデータをリストアできます。

ONTAP System Manager

システムへの攻撃後のリストア

ARP Snapshotからリストアするには、手順2に進みます。以前のSnapshotコピーからリストアするには、まずARP Snapshotのロックを解除する必要があります。
1. [ストレージ] > [ボリューム]を選択します。
2. [セキュリティ] > [疑わしいファイルの種類を表示]を選択します。
3. ファイルを以下のいずれかにマークします。
  - 誤検出
  - 潜在的なランサムウェア攻撃
4. [Update]と[Clear Suspect File Types]を選択します。
ボリューム内のSnapshotコピーを表示します。

[ストレージ] > [ボリューム]を選択し、ボリュームと[Snapshotコピー]を選択します。
リストアするSnapshotコピーの横にあるを選択し、[リストア]を選択します。

システムへの攻撃が特定されなかった場合のリストア

ボリューム内のSnapshotコピーを表示します。

[ストレージ] > [ボリューム]を選択し、ボリュームと[Snapshotコピー]を選択します。
を選択してから、Anti_ransomware_backup Snapshotを選択します。
[リストア]を選択します。
[Snapshotコピー]メニューに戻り、使用するSnapshotコピーを選択します。[リストア]を選択します。

CLI

システムへの攻撃後のリストア

ARP Snapshotコピーからリストアするには、手順2に進みます。以前のSnapshotコピーからデータをリストアするには、ARP Snapshotのロックを解除する必要があります。

以前のSnapshotコピーからリストアする前にランサムウェア対策のSnapLockを解除する必要があるのは、下記に記載するvolume snap restoreコマンドを使用する場合のみです。 FlexClone、Single File Snap Restore、またはその他の方法を使用してデータをリストアする場合、解除は必要ありません。

次のコマンドを使用して、攻撃を「False Positive」および「potential ransomware attack」としてマークします。「False Positive」の場合は、falseに設定し、「potential ransomware attack」の場合は、trueに設定します。
anti-ransomware volume attack clear-suspect -vserver svm_name -volume vol_name [extension identifiers] -false-positive [true / false]
次のいずれかのパラメーターを使用して拡張子を特定します。
[-seq-no integer]：疑わしいファイルのリストでのファイルのシーケンス番号。
[-extension text, … ]：ファイル拡張子。
[-start-time date_time -end-time date_time]：ファイルをクリアする期間の開始時刻と終了時刻（形式は「MM/DD/YYYY HH:MM:SS」）。

ボリューム内のSnapshotコピーの一覧を表示します。

volume snapshot show -vserver SVM -volume volume

次の例は、vol1内のSnapshotコピーを示しています。

clus1::> volume snapshot show -vserver vs1 -volume vol1

Vserver Volume Snapshot                State    Size  Total% Used%
------- ------ ---------- ----------- ------   -----  ------ -----
vs1	 vol1   hourly.2013-01-25_0005  valid   224KB     0%    0%
               daily.2013-01-25_0010   valid   92KB      0%    0%
               hourly.2013-01-25_0105  valid   228KB     0%    0%
               hourly.2013-01-25_0205  valid   236KB     0%    0%
               hourly.2013-01-25_0305  valid   244KB     0%    0%
               hourly.2013-01-25_0405  valid   244KB     0%    0%
               hourly.2013-01-25_0505  valid   244KB     0%    0%

7 entries were displayed.

Snapshotコピーからボリュームの内容をリストアします。

volume snapshot restore -vserver SVM -volume volume -snapshot snapshot

次の例は、vol1の内容をリストアします。
```
cluster1::> volume snapshot restore -vserver vs0 -volume vol1 -snapshot daily.2013-01-25_0010
```

システムへの攻撃が特定されなかった場合のリストア

ボリューム内のSnapshotコピーの一覧を表示します。

volume snapshot show -vserver SVM -volume volume

次の例は、vol1内のSnapshotコピーを示しています。

clus1::> volume snapshot show -vserver vs1 -volume vol1

Vserver Volume Snapshot                State    Size  Total% Used%
------- ------ ---------- ----------- ------   -----  ------ -----
vs1	 vol1   hourly.2013-01-25_0005  valid   224KB     0%    0%
               daily.2013-01-25_0010   valid   92KB      0%    0%
               hourly.2013-01-25_0105  valid   228KB     0%    0%
               hourly.2013-01-25_0205  valid   236KB     0%    0%
               hourly.2013-01-25_0305  valid   244KB     0%    0%
               hourly.2013-01-25_0405  valid   244KB     0%    0%
               hourly.2013-01-25_0505  valid   244KB     0%    0%

7 entries were displayed.

Snapshotコピーからボリュームの内容をリストアします。

volume snapshot restore -vserver SVM -volume volume -snapshot snapshot

次の例は、vol1の内容をリストアします。
```
cluster1::> volume snapshot restore -vserver vs0 -volume vol1 -snapshot daily.2013-01-25_0010
```
手順1と2を繰り返して、目的のSnapshotコピーを使用してボリュームをリストアします。