תגית: ransomware

מה חדש ב ONTAP 9.12.1

הפוסט הקודם שלי התמקד ב BlueXP, והיה יותר אסטרטגי. הפעם אני רוצה להיות קצת יותר טקטי ולרדת חזרה לקרקע ולעדכן אתכם במה חדש בגרסה העדכנית ביותר של מערכת ההפעלה של נטאפ ONTAP 9.12.1 שהוכרזה גם היא במסגרת אינסייט אך נשכחה קצת במסגרת חגיגות החוויה הכחולה.

כמובן שזו סקירה לא מלאה אלא רק של ההיי-לייטס והסקרנים מוזמנים לקרוא את הrelease notes.

אבטחת מידע

שדרגנו את יכולת ה Onbox Anti-Ransomware. האיומים משתכללים כל הזמן ואיתם צריך לשכלל את מנגנוני ההגנה.

שדרוג ראשון שהוספנו כבר בגרסה הקודמת זה MAV או multi admin verification. כמו שרובכם זוכרים, הסנפשוטים של נטאפ הם מסוג immutable כך שלא ניתן לשנות או למחוק את התוכן שלהם. מנגנון MAV מקשיח אותם ומוסיף את היכולת לקבוע כי כל פעולה של מחיקת סנפשוט מחייבת אישור של יותר מאדמין אחד, כך, קצת בדומה לנוהל שיגור בצוללת בסרטים, צריך יותר מממפתח אחד לירות טיל או יותר ממנהל אחד למחוק מידע חיוני בארגון.

אנחנו קושרים את זה ביחד עם העדכון של snaplock שיוצא בגרסה הקרובה שיאפשר לנו לנעול סנשפוטים גם בצד המקור ולא רק בצד העותק המרוחק כפי שהיה עד היום. בכל מקום שבו אנו חשופים לרגולציה קשיחה כדוגמת SEC17 או כל מקום בו אנחנו רוצים ליישם time lock על מידע, נשתמש בסנפלוק וכל מקום בו אנחנו רק רוצים להקשיח את ההגנה שלנו מפני מחיקה זדונית, אפשר ליישם MAV .דרך אגב, זה כנראה מקום טוב להזכיר שסנפלוק כבר לא מחייב אגריגייט יעודי ובכך שיפרנו משמעותית את הגמישות.

נגעתי בזה בפוסט הקודם אבל שווה לזכור שהוספנו לתוך BlueXP וכלי ניהול אחרים דשבורד יעודי לאבטחת מידע שמוזן גם על ידי מידע שנאסף מ autosupport, משירותים כמו Cloud Secure וכו' על מנת לאפשר לנו שקיפות כלפי מוכנות הארגון שלנו לאירועים.

מתחת לפני השטח הוספנו MFA  ל CLI ושידרגנו את היכולת לשמר לוגים כדי להקשות על העלמה של פעולות זדוניות ככה שה audit trail שלנו שלם ומלא יותר.

בפוסט שפרסמתי בדיוק לפני שנה דיברתי על F-Policy ממשק  F-Policy חדש עם מעל 3000 סיומות קבצים בעיתיות וכמובן שאפשר להוסיף סיומות יחודיות או חדשות. הממשק הזה הוא כמובן ממשק GUI שמעדכן את יכולות ה CLI שהיו עד היום עבור כלי זה, מתוך אותה תפיסה של החוויה הכחולה שרוצה לאפשר לנו לצרוך ולנהל שירותים גם בלי "לדעת נטאפ" ובלי להתחבר ישירות למערכות לנהל אותן. זו יכולת מאד חזקה, חינמי מבחינת רישוי ותקורת ביצועים ולא מספיק מאיתנו משתמשים בה.

ביצועים

כמו בכל גרסה כללנו שיפורי ביצועים משמעותיים ואחרי שבפעם הקודמת התמקדנו בעולמות ה SAN, הפעם השיפור המרכזי הוא בעולם ה NAS וספציפית NFS בעיקר באמצעות שדרוג נוסף ליכולת שלנו למקבל תהליכים במערכות.

במסגרת 9.12 אנחנו מוסיפים גם גידול משמעותי בכמות ה Volums שנתמכת בקלאסטר, ומדובר בעליה של סדרי גודל, ובאותה נשימה הגדלנו משמעותית גם את הגודל המקסימלי של כל Volume וכל LUN. השיפור בכמות הווליומים משמעותי ללקוחות קונטיינרים או לקוחות שמאמצים VVoL והגודל המקסימלי של Volume/LUN  רלוונטי יותר ללקוחות הקצת יותר מסורתיים שלנו.

ללקוחות שמאמצים את FlexGroup על מנת ליצור מרחבי אחסון עוד יותר גדולים מאשר ה Volume הגדול ביותר שלנו או על מנת לפרוס את עומסי העבודה בין הבקרים בקלאסטר, הכנסנו יכולת רידוד אוטומטית על מנת לשפר עוד יותר את המנגנונים שמאפשרים לנו "לשטח" את המידע לרוחב הGroup. התהליך נעשה באופן אינטליגנטי ולא סתם מרדד אלא מנתח את היחס בין נפח לעומס עבודה והסיבה ליצירת חוסר האיזון ויודע להבדיל בין מקרה למקרה. אם הזכרתי למעלה SnapLock וכאן FlexGroups אז כדאי להזכיר כמובן שמעכשיו הם נתמכים ביחד בצורה מלאה יותר.

גמישות

כבר שנים שאנחנו מאפשרים NFS+SMB וזה זמן מה שנחנו תומכים ב S3, ב 9.12 אנחנו מוסיפים את היכולת לגשת לאותו מידע גם כקובץ וגם כאובייקט.

שיפרנו גם את היכולת לנייד SVM  שלם בין מערכות וקלאסטרים, תלוי פרוטוקול יש מקרים שבהם הסשן אפילו לא ירצד ויש מקרים שבהם הסשן של הלקוח יתנתק אבל ה Share נשאר חי והלקוח יכול להתחבר מייד, ברוב המקרים הקליינט של הלקוח יעשה את זה עבורו באופן אוטומטי ומיידי. יעיל במקרה שצריך להזיז סביבה שלמה נניח בין מערכות SSD למערכות NL-SAS ולהיפך.

גם ה FlexCache הישן והמוכר עובר שדרוג משמעותי בגרסה 9.12. אם בעבר הכלי הזה נועד ספציפית להאצה של ביצועי קריאה בעותקים מרוחקים אבל כתיבה היתה מתאגרת כי היה צריך לכתוב ישירות לעותק המקורי, המרוחק, עכשיו אנחנו מאפשרים לנהל נעילות ברמה טובה יותר ומאפשרים לבצע גם את הכתיבות בעותק המרוחק ולתת למערכות ברקע לנהל ביניהן את סנכרון ההעתקים כך שהפיצ'ר הזה יכול היום לענות לאתגרים נוספים בסביבות מבוזרות.

אני מרגיש שהכנסתי כאן הרבה מאד מידע וזה זמן טוב לעצור. למי שמעדיף להאזין לפודקסט במקום לקרוא:

מקווה שנהנתם וכמו תמיד אשמח לשמוע מה דעתכם,

שלכם,

ניר מליק

Spoiler! Dune, Ogres, Onions and Cyber-Sec

זהירות ספוילרים!

לפני שבועיים הלכתי לראות סרט בקולנוע, לראשונה מזה שנתיים.

איזו אכזבה! הסאונד היה חזק מדי, איכות ההקרנה היתה נמוכה מדי, המזגן לא עבד ובגלל שהגענו ברגע האחרון אפילו לא הספקנו לקנות פופקורן ושתיה אבל כל זה היה כלום לעומת השוק, כן השוק! שחטפנו כשרק עם תחילת הסרט גילינו שמדובר בכלל בסרט ראשון מתוך סדרה!

מנחשים כבר איזה סרט זה היה?

ובכן, ראינו את Dune: part one ולא היה לנו מושג שזה רק part one!

ולהוסיף חטא על פשע, אחרי החוויה הלא מוצלחת הזו, גם הבר באירי בסינמה סיטי כבר היה סגור עד שהסרט נגמר ככה שלא היה שום מקום לשתות בו את היגון. נראה לי שיקחו לפחות עוד שנתיים עד שאחזור שוב לקולנוע.

בכל מקרה, אני לא מומחה אבטחת מידע גדול, בניגוד לאישתי האהובה שהתארחה כאן בבלוג בעבר, אבל אני חושב שהסרט חולית מספק דימוי מושלם לעולם אבטחת המידע או יותר נכון, לכשל מרכזי בתפיסת אבטחת מידע ארגונית.

כאן מתחיל הספויילר, זהירות!!!

אחרי שהכוכב אראקיס ננטש על ידי בית הארקונן המרושעים, מזמין קיסר הגלקסיה את בית אטראידיס האצילי והנבון לשלוט בכוכב בצדק ובהגינות, לשמור על האוכלוסיה המקומית תוך שימור אספקת ה Spice העולמית. אבל! כך אנחנו מגלים, זוהי רק מזימה משותפת של הקיסר ובית הארקונן לחסל אחת ולתמיד את בית אטראידיס והם עושים את זה על ידי סחיטה באיומים של הרופא, ד"ר יואה, שיאפשר לכוחות הרשע לפלוש חזרה לאראקיס ולתקוף במפתיע את כוחות אטראידיס.

ובכן, למה בכלל לגורם יחיד בבית אטראידיס יש מספיק כוח כדי להרוג את המלך, לכבות את מערכת ההתראה ואת שדה הכוח המגן על הכוכב? אם כבר לגורם יחיד יש כל כך הרבה כוח, איך זה הרופא? למה לרופא יש גישה למערכות האלו?

ואם כבר יש גורם יחיד שיכול לכבות את כל מערכות ההגנה שלנו, נראה היה שלאטראידיס אין כל תוכנית סדורה להתמודדות עם מקרה כשל כה חמור, אנשים רצים עם חרבות שלופות בלילה והקצינים בראש הכוחות במקום להקים חמל ולדאוג לחילוץ האח"מים זו לא תוכנית הגנה, זה ברדקיה אחת גדולה!

ובכן, הגנה, אבטחה פיזית כמו אבטחת מידע, עושים בשכבות, מודיעין, הרתעה, מניעה, התראה, כוח תגובה ראשונה, כוח תגובה עיקרי, כוח תגבור, עומק ועתודה, מקרים ותגובות, תרגולים, שכבות, כמו בצל.

תמיד שווה להזכיר כמובן שה Snapshots שלנו הם Immutable, בלתי ניתנים לשינוי, אין דרך לשנות את תוכנו של סנפשוט מרגע שנלקח ואין כל דרך להשפיע עליו מתוך ה File System, ואם רוצים, אפשר להקשיח אותם עוד יותר עם SnapLock שיכול לנעול קבצים או בתנאים מסויימים סנפשוטים גם מפני מחיקה על ידי מנהל המערכת או נכון יותר על ידי מי שגנב את הרשאות מנהל המערכת.

לפני שבועיים ערכנו את אירוע ה Insight  השנתי שלנו, במתכונת on-line וכולי תקווה שבשנה הבאה נחזור למתכונת הרגילה. במסגרת הכנס חשפנו יכולת חדשה ומעניינת בעולם אבטחת המידע וספציפית הגנה מפני נוזקות הצפנה ובכך הוספנו שכבה חשובה לבצל.

נוזקות הצפנה רבות משנות את סיומות הקבצים לפני הצפנת תוכן הקבצים. מנגנון ה F-Policy  המובנה במערכות שלנו מאפשר באופן אוטומטי ומיידי למנוע יצירה של סיומות קבצים מסוימות במערכת ועל ידי כך לעצור מתקפות רבות בתחילת התרחשותן.

אנחנו יודעים לנטר בזמן אמת שינויים בגודל הSnapShot במערכות (גידול) ושינויים ביעילות טכנולוגיות חסכון הנפח שלנו (קיטון) ולהתריע כי שינויים אלו בדרך כלל מצביעים על תהליך פעיל של הצפנת מידע בארגון.

שירות ה CloudSecure שלנו מסתכל על התנהגות משתמשים ויודע לקשר בין משתמש, המידע שלו וקובצת המשתמשים בארגון אליה הוא שייך ולהצביע בזמן אמת על שינוי בגישה למידע, עליה בכמות קריאות קבצים שאולי מצביעה על דלף מידע או עליה בכמות שינויי קבצים שאולי מצביעה על הצפנת מידע.

הנדבך החדש שעליו הכרזנו בסוף השבוע מתבסס על יכולת מובנית במערכת לנתח את מבנה המידע עצמו. חשוב להגיד שאנחנו לא מסתכלים על תוכן המידע אלא רק על המבנה שלו ויודעים להצביע בזמן אמת על שינויים במבנה המידע. הכלי, שנקרא כרגע בשם הכי פשוט והכי ברור ONTAP Onbox Anti-Ransom לומד את מבנה המידע במערכת במשך מינימום 7 ימים אבל אנחנו ממליצים על 30 ימים ולאחר מכן הכלי יודע לזהות בזמן אמת שינוי במבנה המידע, להתריע על שינויים אלו ולבצע באופן אוטומטי פעולות יזומות להגנה על המידע כגון לקיחת סנפשוטים להגן על המידע המותקף.

אם נחזור לדימוי ההגנה בשכבות, סיפרתי לכם כאן על כלים מובנים בתוך המערכת ושירותים חיצוניים המאפשרים ביחד להתמודד עם נוזקות כופר ברמת סיומת הקובץ, ברמת מבנה ה File System והשירותים שלו, ברמת התנהגות המשתמשים וברמת מבנה המידע עצמו.

למי שרוצה להעמיק את הקריאה, יש לנו סדרה של פוסטים בנושא וגם כמובן Technical Report רלוונטיים, אחד ספציפית על התמודדות עם נוזקות כופר(TR-4572) ואחד על הקשחה כללית של מערכות   (TR-4569).

תשמרו על עצמכם ועל הארגונים שלכם, בתקווה ובשנה הבאה נוכל כולנו לנסוע ביחד לברלין\ברצלונה\וגאס לכנס אינסייט כמו שצריך   (אגב, הבנתם למה שרק?)

שלכם כמו תמיד,

ניר מליק