GCNV ONTAP mode：ARP（自律型ランサムウェア対策）検証手順書

はじめに

Google Cloud NetApp Volumes (GCNV) の ONTAP mode は、ONTAP の高機能なエンタープライズストレージ機能を CLI プロキシ経由で直接操作できるサービスです。

本記事では、ONTAP の代表的なセキュリティ機能である Autonomous Ransomware Protection (ARP: 自律型ランサムウェア対策) を標準 FlexVol ボリュームに対して有効化し、Linux VM から擬似ランサムウェア攻撃（一括暗号化および拡張子偽装）を実行して、自動検知と緊急 Snapshot 作成が機能するかを検証した手順をまとめます。

---

前提条件・環境情報

• NetApp Volumes API の有効化:
  事前に Google Cloud プロジェクト側で API を有効化しておく必要があります。
  • コンソール上部の検索バーで「NetApp Volumes API」を検索して「有効にする」をクリック、または Cloud Shell から以下を実行:
    gcloud services enable netapp.googleapis.com
• ストレージプール: tokyopool (リージョン: asia-northeast1-b, ONTAP mode)
• ターゲット SVM: gcnv-e267088a2eb529b-svm-01
• 対象ボリューム: arp (容量: 100GB, ジャンクションパス: /arp)
• 検証用クライアント: 同一 VPC 内に配置された Compute Engine Linux VM (cache)

---

ステップ 1: FlexVol ボリューム作成と ARP の有効化

※本操作は Cloud Shell から実行します。

1. 検証用ボリュームの作成

gcloud netapp storage-pools execute tokyopool \
    --location="asia-northeast1-b" \
    "volume create -vserver gcnv-e267088a2eb529b-svm-01 -volume arp -aggregate gcnv_e267088a2eb529b_aggr1 -size 100g -junction-path /arp"

2. ARP の有効化

作成したボリュームに対して自律型ランサムウェア対策を有効化します。

gcloud netapp storage-pools execute tokyopool \
    --location="asia-northeast1-b" \
    "security anti-ransomware volume enable -vserver gcnv-e267088a2eb529b-svm-01 -volume arp"

3. 稼働ステータスの確認

State: enabled になっていることを確認します。

gcloud netapp storage-pools execute tokyopool \
    --location="asia-northeast1-b" \
    "security anti-ransomware volume show -vserver gcnv-e267088a2eb529b-svm-01 -volume arp"

4. マウント用 IP アドレス (データ LIF) の確認

NFS マウントに使用する SVM のインターフェース IP を取得します。

gcloud netapp storage-pools execute tokyopool \
    --location="asia-northeast1-b" \
    "network interface show -vserver gcnv-e267088a2eb529b-svm-01 -data-protocol nfs*"

出力結果の Address 列に表示された IP（例: 10.13.53.180）を控えておきます。

---

ステップ 2: クライアント VM からの擬似ランサムウェア攻撃

同一 VPC 内の Linux VM に SSH 接続し、ファイルの作成と暗号化シミュレーションを実施します。

1. VM へ SSH 接続

gcloud compute ssh cache --zone="asia-northeast1-b"

2. ボリュームのマウント

sudo mkdir -p /mnt/arp
sudo mount -t nfs -o rw,hard,rsize=1048576,wsize=1048576,vers=3 10.13.53.180:/arp /mnt/arp
df -h /mnt/arp

3. ダミー平文ファイルの作成

ONTAP のエントロピー分析が比較できるように、通常のテキストファイル（約 100KB〜200KB）を 200 個作成します。

sudo mkdir -p /mnt/arp/ransom_test
sudo chmod 777 /mnt/arp/ransom_test
cd /mnt/arp/ransom_test

for i in {1..200}; do
  head -c $((100000 + RANDOM % 100000)) /dev/urandom | base64 > "document_${i}.txt"
done

4. 暗号化シミュレーションの実行

OpenSSL を使用して平文ファイルを AES-256 で暗号化し、未知の拡張子 .locked へ変更した上で元ファイルを削除します。

for file in document_*.txt; do
  openssl enc -aes-256-cbc -salt -in "$file" -out "${file}.locked" -k RansomAttack2026! -pbkdf2
  rm -f "$file"
done

完了したら、VM を抜けて Cloud Shell に戻ります。

exit

---

ステップ 3: ARP による検知結果の確認

※バックグラウンドの分析エンジンが評価を完了するまで数分待機してから、Cloud Shell より実行します。

1. 攻撃検知ステータスの確認

gcloud netapp storage-pools execute tokyopool \
    --location="asia-northeast1-b" \
    "security anti-ransomware volume show -vserver gcnv-e267088a2eb529b-svm-01 -volume arp"

出力結果例:

Vserver Name: gcnv-e267088a2eb529b-svm-01
                       Volume Name: arp
                             State: enabled
                Attack Probability: moderate
                   Attack Timeline: 10/30/2026 03:47:00
                 Number of Attacks: 1
                Attack Detected By: file_analysis

• Attack Probability が moderate（または high）へ上昇
• Attack Detected By が file_analysis となり、機械学習エンジンが不審な挙動としてフラグを立てたことが分かります。

2. 自動作成された緊急 Snapshot の確認

ARP が異常を捉えた際に、自動的に保護スナップショットが取得されているか確認します。

gcloud netapp storage-pools execute tokyopool \
    --location="asia-northeast1-b" \
    "volume snapshot show -vserver gcnv-e267088a2eb529b-svm-01 -volume arp"

定期保護や緊急バックアップを示す Snapshot が生成されていることを確認できます。

3. 疑わしいファイル (Suspect Files) の一覧確認

ONTAP が改ざん対象と判定したファイル一覧を照会します。

gcloud netapp storage-pools execute tokyopool \
    --location="asia-northeast1-b" \
    "security anti-ransomware volume suspect show -vserver gcnv-e267088a2eb529b-svm-01 -volume arp"

---

ステップ 4: クリーンアップ (リソース削除)

検証完了後のボリューム削除手順です。
※事前に VM 上で sudo umount /mnt/arp を実施しておきます。

1. ジャンクションパスのアンマウント

gcloud netapp storage-pools execute tokyopool \
    --location="asia-northeast1-b" \
    "volume unmount -vserver gcnv-e267088a2eb529b-svm-01 -volume arp"

2. ボリュームのオフライン化

gcloud netapp storage-pools execute tokyopool \
    --location="asia-northeast1-b" \
    "volume offline -vserver gcnv-e267088a2eb529b-svm-01 -volume arp"

3. ボリュームの完全削除

gcloud netapp storage-pools execute tokyopool \
    --location="asia-northeast1-b" \
    "volume delete -vserver gcnv-e267088a2eb529b-svm-01 -volume arp"