Konfigurieren des erweiterten Ransomware-Schutzes für Azure NetApp Files Volumes

Ransomware-Angriffe stellen eine große Bedrohung für die Integrität und Zuverlässigkeit von Daten dar. der erweiterte Ransomware-Schutz von Azure NetApp Files fügt eine Verteidigungslinie auf Speicherebene für Ihre Daten hinzu. Der erweiterte Ransomware-Schutz verwendet maschinelles Lernen, um ein Profil Ihrer Speicher zu entwickeln und Sie über wahrgenommene Bedrohungen zu benachrichtigen. Erweiterter Ransomware-Schutz ist für Azure NetApp Files ohne zusätzliche Kosten verfügbar.

Der erweiterte Ransomware-Schutz erstellt sein Profil basierend auf vielen Eingaben, einschließlich, aber nicht beschränkt auf:

• Dateierweiterungstypen im Volume
• Datenentropiemuster im Volume
• IOPS-Muster auf dem Volume

Auf Grundlage dieser Daten überwacht der erweiterte Ransomware‑Schutz Ihre Volumes auf Muster und Dateierweiterungstypen, die von beobachteten Mustern abweichen, und stuft solche Abweichungen als Ransomware‑Bedrohungen ein. Der erweiterte Ransomware-Schutz erstellt ein Profil von machine learning und optimiert weiterhin sein Verständnis Ihrer Workloads basierend auf Nutzungsmustern. Der erweiterte Ransomware-Schutz verbessert dieses Profil basierend auf Ihren Eingaben und lernt, während Sie auf Bedrohungen reagieren.

Die Warnungsmechanismen des erweiterten Ransomware-Schutzes ermöglichen es Ihnen, wachsam zu bleiben, um Ransomware-Angriffe auf Ihre Daten zu verhindern und die Resilienz Ihrer Workload aufrechtzuerhalten.

Funktionsweise des erweiterten Ransomwareschutzes

Wenn der erweiterte Ransomware-Schutz verdächtige Aktivitäten erkennt, erstellt Azure NetApp Files automatisch eine geschützte Wiederherstellungsmomentaufnahme des betroffenen Volumes und sendet eine Warnung. Diese Momentaufnahmen stellen Wiederherstellungspunkte bereit, mit denen Sie Daten nach einem bestätigten Ransomware-Ereignis wiederherstellen können. Der Dienst verwaltet Anti-Ransomware-Momentaufnahmen, und sie sind von vom Benutzer erstellten Momentaufnahmen getrennt. Der Dienst passt die Momentaufnahmeaufbewahrung automatisch basierend auf Bedrohungsstatus- und Dienstrichtlinien an. Sie können Aufbewahrungszeiträume nicht reduzieren, aber Sie können sie verlängern, wenn eine Bedrohung weiterhin untersucht wird oder als Ransomware-Aktivität bestätigt wird.

Snapshots des Ransomware-Schutzes

Erweiterter Ransomware-Schutz in Azure NetApp Files schützt Ihre Daten, indem automatisierte Schutzmomentaufnahmen erstellt werden.

• Der Dienst erstellt automatisch Schutz-Snapshots, wenn er verdächtige Aktivitäten erkennt.
• Die Erstellung von Schutz-Snapshots kann erfolgen, bevor ein Angriff bestätigt wird.
• Snapshots dienen als Wiederherstellungspunkte zur Wiederherstellung nach Ransomware-Angriffen.
• Der Dienst verwaltet die Aufbewahrung von Momentaufnahmen und kann je nach Bedrohungsstatus variieren.
• Das Vorhandensein einer Momentaufnahme bedeutet nicht unbedingt, dass Ransomware bestätigt wird.

Überlegungen

• Angriffsberichte werden 30 Tage lang aufbewahrt.

• Ransomware-Bedrohungsbenachrichtigungen werden im Azure Aktivitätsprotokoll gesendet.

• Es wird empfohlen, nicht mehr als 10 Volumes pro Azure Abonnement mit erweitertem Ransomware-Schutz zu aktivieren, um Leistungsprobleme zu mindern. Wenn Sie mehr als 10 Volumes pro Azure Abonnement aktivieren möchten, lösen Sie eine Azure-Support Anforderung aus. Weitere Informationen finden Sie unter Erhöhung des Anforderungsgrenzwerts.

• Es wird empfohlen, die QoS-Kapazität aufgrund potenzieller Leistungsbeeinträchtigungen des erweiterten Ransomware-Schutzes um 5 bis 10 Prozent zu erhöhen. Der Umfang der Auswirkungen kann je nach konfiguration in Ihrer Azure NetApp Files Bereitstellung variieren.

• Anti-Ransomware-Momentaufnahmen und regelmäßige Anti-Ransomware-Sicherungen dienen verschiedenen Zwecken:

  • Anti-Ransomware Snapshots bieten schnelle Wiederherstellungspunkte für Ransomware-Ereignisse.
  • Regelmäßige Anti-Ransomware-Snapshots bieten Schutz vor Ransomware-Vorfällen und umfassenderen Datenverlustszenarien.
  • Momentaufnahmen befinden sich in den Volumes. Um Ihre Volumes vor vollständigem Verlust zu schützen, lagern Sie Snapshots mithilfe von Azure NetApp Files Backup oder anderen Datensicherungslösungen in ein Backup aus.

  Je nach Konfiguration können Sie beide Mechanismen als Teil einer mehrschichtigen Datenschutzstrategie verwenden.

• Das Markieren einer Warnung als Fehlalarm hilft Advanced Ransomware Protection, das Verhaltensprofil für die Workload zu verfeinern, und kann künftige Fehlalarmbenachrichtigungen bei ähnlichen Aktivitätsmustern reduzieren.

• Azure NetApp Files erweiterten Ransomware-Schutz eignet sich für die folgenden Workloads:

  • Bilder und Videos
  • Windows- oder Linux-Heimverzeichnisse
    Sie können Dateien mit Erweiterungen erstellen, die im Lernzeitraum nicht erkannt wurden. Dies erhöht die Möglichkeit falscher positiver Ergebnisse in dieser Arbeitslast. Beispiele hierfür sind Erweiterungen, die Gesundheitsdatensätze und EDA-Daten (Electronic Design Automation) umfassen.

• Azure NetApp Files erweiterten Ransomware-Schutz eignet sich nicht für die folgenden Workloads:

  • Test-/Entwicklungsarbeitslasten – diese haben eine hohe Häufigkeit von Dateierstellung/-löschung (Hunderte von Tausenden von Dateien in wenigen Sekunden)
  • Die Bedrohungserkennung erkennt einen ungewöhnlichen Anstieg der Dateierstellung, -umbenennung oder -löschung als Ransomware-Aktivität. Wenn eine legitime Anwendung diese Art von Dateiaktivität anzeigt, wird sie wahrscheinlich als Ransomware-Aktivität identifiziert.
  • Workloads, bei denen die Anwendung/der Host Daten verschlüsselt. Der erweiterte Ransomware-Schutz analysiert eingehende Daten als verschlüsselt oder unverschlüsselt. Wenn die Anwendung selbst die Daten verschlüsselt, wird die Effektivität des erweiterten Ransomware-Schutzes reduziert. Es kann jedoch weiterhin Ransomware basierend auf Dateiaktivitäten erkennen (Löschen, Überschreiben oder Erstellen oder Umbenennen mit einer neuen Dateierweiterung) und Dateityp.

Aktivieren des erweiterten Ransomware-Schutzes auf einem neuen Volume

1. Folgen Sie dem Workflow, um eine neue NFS, SMB oder dual-protocol Volume zu erstellen.
2. Wählen Sie im Feld Advanced Ransomware Protection auf der Registerkarte "Grundlagen" die Option "Aktiviert" aus.
3. Nachdem Sie das Volume erstellt haben, können Sie Ihre Einstellungen in der Übersicht des Volumes bestätigen. Wenn Sie den Ransomware-Schutz aktiviert haben, wird der Erweiterte Ransomware-Schutz als aktiviert angezeigt.

Aktivieren des erweiterten Ransomware-Schutzes für vorhandene Volumes

1. Navigieren Sie zu dem Volume, für das Sie den erweiterten Ransomware-Schutz aktivieren möchten.

2. Wählen Sie Advanced Ransomware Protection unter dem Menü Storage Services in der Randleiste aus.

3. Wählen Sie Schutz aktivieren

   

4. Klicken Sie auf "Ja ", um die Aktivierung des Ransomware-Schutzes zu bestätigen.

   

5. Stellen Sie sicher, dass der Schutzstatus aktiviert ist.

   

Reagieren auf Ransomware-Bedrohungen

1. Wählen Sie Advanced Ransomware Protection unter dem Menü Storage Services in der Randleiste aus.

2. Verdächtige Angriffe werden unter aktiven Bedrohungen angezeigt. Erweitern Sie jede Bedrohung, um die verdächtigen Dateien anzuzeigen.

   

3. Wenn Sie wissen, dass die Dateien keine aktive Bedrohung sind, markieren Sie die aktive Bedrohung als falsch positiv.

   Wenn Sie glauben, dass die Dateien eine Bedrohung sind, wählen Sie "Bedrohung" aus. Sie können das Volume dann auf der Grundlage des letzten Snapshots, der vor der Bedrohung aufgenommen wurde, wiederherstellen.

4. Sobald Sie die Bedrohung behoben haben, können Sie archivierte Ransomware-Berichte auf derselben Seite anzeigen. Berichte werden 30 Tage lang archiviert.

Ransomware-Schutz anhalten

1. Navigieren Sie zu dem Volume, für das Sie Ransomware-Schutz anhalten möchten. Wählen Sie Advanced Ransomware Protection unter dem Menü Storage Dienste in der Randleiste aus.
2. Wählen Sie Schutz anhalten.
3. Um den Schutz erneut zu aktivieren, kehren Sie zum Advanced Ransomware Protection-Menü des Volumes zurück, und wählen Sie dann "Fortsetzen des Schutzes" aus.

Ransomware-Schutz deaktivieren

1. Navigieren Sie zu dem Volume, für das Sie Ransomware-Schutz anhalten möchten. Wählen Sie Erweiterter Ransomware-Schutz unter dem Menü Speicherdienste in der Seitenleiste aus.
2. Wählen Sie "Ransomware-Schutz deaktivieren" aus.