possibility to scan for massiv file encryption like virus do

[roland6b]

Durch Verschlüsselungs-Trojaner werden massenhaft Dateien im ZFS verändert. Dadurch müßte der Wert von zvol oder subvol für reverenced (REF) im Vergleich zur tatsächlichen Größe (USED) wahrscheinlich in kurzer Zeit stark ansteigen. Setzt zusätzlich die vorangegangenen Snapshot in Relation zu den neuen stark veränderten Größen, hätte man ein Hinweis auf eine gerade stattfindende massive Verschlüsselung. Mit entsprechender Warnung, könnten Sysops rechtzeitig eingreifen.
Die Triggerwerte:
Anstieg des REF-Wertes im Verhältnis zum USED-Wert p in Prozent über einen Zeitraum t in Sekunden.

[cpzengel]

ZFS gut verstanden, jedoch sehe ich hier die "Flapping" Funktion in Check MK wesentlich sinnvoller