Русский
Русский
English
Авторизация
Ip-адрес
Восстановление пароля
Регистрация
Статистика
Реклама

Восстановление данных

Перевод NANDкромантия трансплантация флэш-памяти наживую

31.05.2021 16:13:25 | Автор: admin

Нередко при анализе встроенной системы происходят преднамеренные, а иногда и нет, изменения, которые приводят к тому, что целевая система выходит из строя и впадает в так называемое состояние кирпича. В некоторых случаях для ее реанимации достаточно выполнить сброс к заводским настройкам, в иных же приходится прошивать систему при помощи интерфейса отладки (JTAG/SWD/*) или вручную через внешнее устройство памяти (SPI/NOR/Nand/eMMC). В данной статье мы рассмотрим весьма креативный метод раскирпичивания системы после подобного сбоя.

Как-то в свободное время я возился с памятью маршрутизатора, где в качестве загрузчика использовалась прошивка CFE (Common Software Environment). В ходе моего взаимодействия с CFE в попытке определить аргументы, передаваемые при загрузке в ОС устройства, конфигурация системы была случайно повреждена:

CFE> bPress:  <enter> to use current value        '-' to go previous parameter        '.' to clear the current value        'x' to exit this command94908AC5300R               ------ 0394906REF                   ------ 07GT-AC2900                  ------ 08Board Id                          :  8  X     <---- whoopsNumber of MAC Addresses (1-64)    :  10  ^C   <---- more whoopsxMemory Configuration Changed -- REBOOT NEEDED <---- whoops saved. flow memory allocation (MB)       :  14  ----

В тот момент я понял, что для сохранения этих случайных изменений осталось выполнить заключительную операцию сохранения/записи, поэтому решил просто физически перезапустить устройство, чтобы избежать внесения изменений. После перезапуска возникла ошибка:

Shmoo WR DMWR DM   0000000000111111111122222222223333333333444444444455555555556666666666   012345678901234567890123456789012345678901234567890123456789012345678900 ------++++++++++++++++++++++++++X+++++++++++++++++++++++++++----------01 --+++++++++++++++++++++++++X++++++++++++++++++++++++++----------------02 X---------------------------------------------------------------------03 X---------------------------------------------------------------------MEMSYS init failed, return code 00000001MEMC error:  0x00000000PHY error:  0x00000000SHMOO error:  0x10c00000  0x00000082 0x00000000

Когда маршрутизатор снова заработал, то тут же выдал вышеприведенную ошибку и в CFE не вошел. Без возможности обратиться к загрузчику конфигурацию изменить было нельзя, а процесс его восстановления тоже не представлялся возможным. Онлайн-поиск решения по этой ошибке ничем не помог и привел в тупик. Единственным выводом было, что при повреждении CFE подобным образом устройство впадает в состояние кирпича. Тогда я переключился на работу с резервным девайсом, чтобы получить ответ на изначальный вопрос по интересовавшим меня аргументам. К слову говоря, установка kernp mfg_nvram_mode=1 mfg_nvram_url=BADURL была особенно интересна.

Позже я вернулся к своему кирпичу, чтобы найти способ его восстановления. В нем используется Broadcom SoC, и, как выяснилось, доступ к JTAG обеспечивается через нераспаянные контакты на плате:


После перебора контактов JTAG с помощью JTagulator мне удалось подключиться, используя OpenOCD.

$ openocd -f ../interface/jlink.cfg -f bcm49.cfgOpen On-Chip Debugger 0.11.0-rc2+dev-gba0f382-dirty (2021-02-26-14:07)Licensed under GNU GPL v2For bug reports, read    http://openocd.org/doc/doxygen/bugs.htmlDEPRECATED! use 'adapter speed' not 'adapter_khz'Info : Listening on port 6666 for tcl connectionsInfo : Listening on port 4444 for telnet connectionsInfo : J-Link V10 compiled Dec 11 2020 15:39:30Info : Hardware version: 10.10Info : VTarget = 3.323 VInfo : clock speed 1000 kHzInfo : JTAG tap: bcm490x.tap tap/device found: 0x5ba00477 (mfg: 0x23b (ARM Ltd), part: 0xba00, ver: 0x5)Info : JTAG tap: auto0.tap tap/device found: 0x4ba00477 (mfg: 0x23b (ARM Ltd), part: 0xba00, ver: 0x4)Info : JTAG tap: auto1.tap tap/device found: 0x0490617f (mfg: 0x0bf (Broadcom), part: 0x4906, ver: 0x0)Info : JTAG tap: auto2.tap tap/device found: 0x0490617f (mfg: 0x0bf (Broadcom), part: 0x4906, ver: 0x0)Info : bcm490x.a53.0: hardware has 6 breakpoints, 4 watchpoints

Другой способ восстановления системы реализуется через флеш-память, а именно микросхему Macronix NAND:


И здесь я задумался. У меня ведь есть рабочее устройство, на котором я вполне могу запустить загрузчик. А что, если при этом попробовать заменить его рабочий чип NAND на поврежденный, чтобы перепрошить?

Прежде, чем что-либо пробовать, я спросил коллегу, что он думает по поводу столь дурацкой идеи. Оптимистичных прогнозов он не дал, да и я, честно говоря, на них не особо рассчитывал. В итоге мы заключили небольшое пари по результату моего эксперимента, и я вернулся к работе.

Первым делом предстояло выяснить, переживет ли система удаление NAND в работающем состоянии? Я понимал, что для ответа на этот вопрос мне потребуется более методический подход, нежели просто обдать работающее устройство горячим воздухом и извлечь микросхему. Для начала нужно было выяснить, как NAND запитана. Судя по схеме, Vcc подключены к микросхеме в следующих местах:


Определив дорожки подключения Vcc, проще всего ответить на основной вопрос можно было отключив их от NAND при работающей системе. Чтобы это сделать, изначально я попробовал отсечь эти дорожки и добавить проводные перемычки (рекомендую 36 AWG Magnet Wire), которые можно будет разъединить после запуска загрузчика:


С правой стороны я отсек трассу питания подальше, решив, что это место будет более удачным, поскольку от него запитывается несколько контактов NAND. При установке первой перемычки трассу я отсек небольшим ножом и зачистил покрытие абразивным карандашом:


Получилось так себе, потому что карандаш оказался великоват, и в итоге я оголил чересчур большой участок. Лучше использовать остроконечный нож, чтобы не натворить бардак и получить что-то подобное:



Припаяв и соединив провода, я запустил маршрутизатор и, дождавшись старта загрузчика (CFE), с помощью команды dn (dump nand) убедился в доступности NAND, затем обесточил микросхему, разъединив провода.

CFE> dn------------------ block: 0, page: 0 ------------------00000000: 00000000 00000000 00000000 00000000    ................00000010: 00000000 00000000 00000000 00000000    ................00000020: 00000000 00000000 00000000 00000000    ................<CUT FOR LENGTH>----------- spare area for block 0, page 0 -----------00000800: ff851903 20000008 00fff645 c2b9bf55    .... ......E...U00000810: ffffffff ffffffff ffee9423 4ba37819    ...........#K.x.00000820: ffffffff ffffffff ffee9423 4ba37819    ...........#K.x.00000830: ffffffff ffffffff ffee9423 4ba37819    ...........#K.x.*** command status = 1CFE>web info: Waiting for connection on socket 1.[JCFE>web info: Waiting for connection on socket 0.[JCFE> ----       <----- VCC Removed (reboot)

После отключения питания (отмечено как Vcc removed), устройство перезагрузилось и не смогло запустить загрузчик, так как NAND была недоступна. Проблема оказалась в том, что точка отсечения питания справа отключала его подачу не только на NAND, но и на SoC. Чтобы не усложнять, я просто восстановил этот отрезок и проделал всю ту же процедуру с установкой перемычки в точке ближе к NAND:


Вернув систему в строй и повторив предыдущий тест, я получил ответ на изначальный вопрос: когда питание отключается разъединением проводов перемычки, система продолжает работать, что подтверждается командой dn:

<----- NAND VCC Removed CFE> dn------------------ block: 0, page: 2 ------------------Status wait timeout: nandsts=0x30000000 mask=0x80000000, count=2000000Error reading block 000001000: 00000000 00000000 00000000 00000000    ................<CUT FOR LENGTH>Status wait timeout: nandsts=0x30000000 mask=0x80000000, count=2000000----------- spare area for block 0, page 2 -----------00000800: 00000000 00000000 00000000 00000000    ................00000810: 00000000 00000000 00000000 00000000    ................00000820: 00000000 00000000 00000000 00000000    ................00000830: 00000000 00000000 00000000 00000000    ................Error reading block 0 *** command status = -1      <----- Expected error reading NAND CFE>CFE>CFE><----- NAND VCC Enabled CFE>CFE> dn------------------ block: 0, page: 3 ------------------00001800: 00000000 00000000 00000000 00000000    ................00001810: 00000000 00000000 00000000 00000000    ................<CUT FOR LENGTH>----------- spare area for block 0, page 3 -----------00000800: ffffffff ffffffff ffee9423 4ba37819    ...........#K.x.00000810: ffffffff ffffffff ffee9423 4ba37819    ...........#K.x.00000820: ffffffff ffffffff ffee9423 4ba37819    ...........#K.x.00000830: ffffffff ffffffff ffee9423 4ba37819    ...........#K.x.*** command status = 1      <----- Successful NAND readCFE>

После того, как я убедился в возможности отключения NAND на работающей системе без влияния на загрузчик, очередным шагом было попробовать физически извлечь отключенную NAND из платы.

Прогрев микросхему горячим воздухом, я поочередно приподнял пинцетом сначала правую, а затем левую стороны:


В результате этого процесса система перезапустилась и провалила попытку войти в загрузчик:

CFE> ----    <----- NAND Removed (reboot)BTRMV1.6CPU0L1CDMMUIMMU7DATAZBBSMAINOTP?OTPPUSBTNANDIMG?FAIL----         <----- FAIL boot loop

Так как стороны микросхемы при ее отсоединении я поднимал поочередно, посматривая при этом в консоль, то стало очевидно, что перезагрузка произошла при подъеме именно левой стороны:


Наиболее вероятной причиной было изменение состояния контактов Read Enable (RE#) или Ready/Busy (R/B#). Чтобы это проверить, я добавил к обоим перемычки:


Тут NAND пришлось установить на место, чтобы вернуть систему в загрузчик. Затем я в очередной раз отключил ее питание, разъединив ведущие на Vcc провода, а дорожкиRE# и R/B# привязал к земле (заземлил?):


Затем я снова поочередно извлек правую-левую стороны микросхемы, поглядывая в консоль загрузчика:


На этот раз он остался активен, и система в перезагрузку не ушла. Закончив очередной этап головоломки, я перешел к следующему установке поврежденной NAND в работающее устройство.

Для припаивания NAND снова использовался горячий воздух. Первая попытка оказалась безуспешной, так как некоторые контакты замкнуло при моей попытке выровнять чип по обеим сторонам. На этом этапе ввиду сбоя в очередной раз пришлось ставить обратно рабочую NAND.

Во второй попытке я уже использовал небольшой листок бумаги для изолирования одной стороны NAND на время выравнивания и закрепления другой:


После установки первой стороны бумажку я убрал и припаял вторую. Загрузчик остался активен. Следующим шагом нужно было восстановить контакты RE#, RB# удалением заземляющей перемычки, а также вновь соединить перемычку Vcc. После окончательного восстановления подключения я выполнил dn, чтобы убедиться в доступности NAND:

CFE> dn------------------ block: 0, page: 0 ------------------00000000: 00000000 00000000 00000000 00000000    ................00000010: 00000000 00000000 00000000 00000000    ................00000020: 00000000 00000000 00000000 00000000    ................<CUT FOR LENGTH>----------- spare area for block 0, page 0 -----------00000800: ff851903 20080000 00c2b822 c978ff97    .... ......".x..00000810: ffffffff ffffffff ffee9423 4ba37819    ...........#K.x.00000820: ffffffff ffffffff ffee9423 4ba37819    ...........#K.x.00000830: ffffffff ffffffff ffee9423 4ba37819    ...........#K.x.*** command status = 1   <----- Success!CFE>

Тест чтения завершился успешно, и через веб-интерфейс загрузчика я прошил микросхему заводским образом:

web info: Waiting for connection on socket 1.[Jweb info: Upload 70647828 bytes, flash image format.[J   <----- Image UploadCFE> ........Setting JFFS2 sequence number to 13Flashing root file system at address 0x06000000 (flash offset 0x06000000): <-----Image Write.................................................................... .............................................................................................................................................................................................................................................................................................................................................................................................................................................................................................Resetting board in 0 seconds...----BTRMV1.6CPU0L1CDMMUIMMU7DATAZBBSMAINOTP?OTPPUSBTNANDIMG?IMGLUHD?UHDPRLO?RLOPUBI?UBIPPASS    ----<CUT FOR LENGTH>CFE version 1.0.38-161.122 for BCM94908 (64bit,SP,LE)Build Date: Mon May 13 08:23:21 CST 2019 (defjovi@ubuntu-eva02)Copyright (C) 2000-2015 Broadcom Corporation.Boot Strap Register:  0x6fc42Chip ID: BCM4906_A0, Broadcom B53 Quad Core: 1800MHzTotal Memory: 536870912 bytes (512MB)Status wait timeout: nandsts=0x50000000 mask=0x40000000, count=0NAND ECC BCH-4, page size 0x800 bytes, spare size used 64 bytesNAND flash device: , id 0xc2da block 128KB size 262144KB<CUT FOR LENGTH>Initalizing switch low level hardware.pmc_switch_power_up: Rgmii Tx clock zone1 enable 1 zone2 enable 1.Software Resetting Switch ... Done.Waiting MAC port Rx/Tx to be enabled by hardware ...DoneDisable Switch All MAC port Rx/Tx*** Press any key to stop auto run (1 seconds) ***Auto run second count down: 0Booting from only image (address 0x06000000, flash offset 0x06000000) ...  <----- Success!!111!Decompression LZMA Image OK!Entry at 0x0000000000080000Starting program at 0x0000000000080000/memory = 0x20000000Booting Linux on physical CPU 0x0Linux version 4.1.27 (jenkins@asuswrt-build-server) (gcc version 5.3.0 (Buildroot 2016.02) ) #2 SMP PREEMPT Fri Jun 19 13:05:44 CST 2020CPU: AArch64 Processor [420f1000] revision 0Detected VIPT I-cache on CPU0


Как видно из вывода, прошивка прошла успешно, и система загрузила ОС устройства.

Уверен, некоторые читатели спросят: Почему просто не использовать для перепрошивки NAND специализированный программатор? Это абсолютно уместный вопрос, и, быть может, так даже правильнее, чем заниматься всей этой чепухой.

И все же считаю, что здесь будет уместна цитата персонажа из к/ф Парк Юрского периода, которого играл Джефф Голдблюм:

Ваши ученые настолько озабочены вопросом о том, могут ли они что-то сделать, что забывают приостановиться и подумать, а надо ли вообще это делать.


Подробнее..
Категории: Блог компании ruvds.com , Diy или сделай сам , Компьютерное железо , Восстановление данных , Накопители , Nand , Ruvds_перевод , Flash-память

Перевод 7 основных ошибок безопасности при переходе на облачные приложения

18.01.2021 16:06:50 | Автор: admin
image

Поскольку компании переносят рабочие файлы в облако для поддержки удаленных сотрудников, они часто создают возможности для злоумышленников. Это наиболее распространенные ошибки, которых следует избегать.

Вступление


В связи с пандемией многие предприятия перешли на использование большего количества облачных приложений по необходимости потому, что всё больше из нас работают удаленно. В опросе 200 ИТ-менеджеров, проведенном Menlo Security, 40% респондентов заявили, что они сталкиваются с растущими угрозами со стороны облачных приложений и атак Интернета вещей (IoT) из-за этой тенденции.

Есть хорошие и плохие способы осуществить эту миграцию в облако. Многие подводные камни не новы. Например, на одной встрече Gartner 2019 два ИТ-менеджера заявили, что их развертывание Office 365 было приостановлено из-за необходимости обновления устаревшего оборудования. Теперь то, как мы используем и совместно используем наши домашние компьютеры, изменилось. Наши компьютеры больше не личные. Этот же компьютер может поддерживать виртуальную школу вашего ребенка и приложения вашего супруга.

Летний опрос CyberArk показал, что более половины респондентов сохраняют свои пароли в браузерах корпоративных ПК. Конечно, это не обещает ничего хорошего ни для какой политики безопасности.

Вот семь основных ошибок, которые негативно влияют на безопасность, и несколько советов, как их избежать.

1. Использование VPN для удаленного доступа


Со всеми удаленными сотрудниками, VPN может быть не лучшим решением для доступа. Посмотрите, что произошло в декабре 2020 года со взломом FireEye. По всей видимости, взломанная учетная запись VPN была отправной точкой для хакера кражи его инструментов. В прошлом виртуальные частные сети были основным способом защиты удаленных сотрудников.

Гораздо лучше заменить VPN сетями с нулевым доверием, где идентичность является плоскостью управления и обеспечивает контекст доступа.

2. Создание неправильного облачного портфеля


Под этим, я подразумеваю рассмотрение нескольких факторов. Вам нужны частные облака, чтобы ваши критически важные бизнес-данные были отделены от остальной вселенной? У вас есть подходящая ОС.

Доступны ли версии для запуска определенных приложений, зависящих от определенных конфигураций Windows и Linux? Есть ли у вас подходящие соединители и средства защиты аутентификации для работы с локальными приложениями и оборудованием, которое вы не переносите? Если у вас есть устаревшее приложение для мэйнфреймов?

Вы, вероятно, захотите сначала запустить его в частном облаке, а затем попытаться найти подходящую среду, наиболее близкую к существующей настройке мэйнфрейма.

3. Ваша политика безопасности не подходит для облака


Распространенные ошибки облачной безопасности включают незащищенные контейнеры для хранения данных, неправильно настроенные права доступа и параметры аутентификации, и открытые порты. Вы хотите поддерживать постоянную безопасность независимо от того, находитесь ли вы локально или подключаетесь из Timbuktu Pro. Вы также хотите обеспечить безопасность с самого начала, прежде чем переносить отдельное приложение в облако.

Johnson & Johnson сделали это несколько лет назад, когда перенесли большую часть своих рабочих нагрузок в облако и централизовали свою модель безопасности. Есть помощь: Netflix только что выпустил инструмент с открытым исходным кодом, который они называют ConsoleMe. Он может управлять несколькими учетными записями Amazon Web Services (AWS) в одном сеансе браузера.

4. Не тестировать планы аварийного восстановления


Когда вы в последний раз тестировали свой план аварийного восстановления (DR)? Возможно, это было слишком давно, особенно если вы были заняты повседневными проблемами, связанными с поддержкой домашних работников.

Тот факт, что ваши приложения находятся в облаке, не означает, что они не зависят от определенных веб-серверов, серверов баз данных и других элементов инфраструктуры. Часть любого хорошего аварийного восстановления это документирование этих зависимостей и наличие учебника, в котором описаны наиболее важные рабочие процессы.

Еще одна важная часть любого плана аварийного восстановления это непрерывное тестирование на предмет частичных сбоев облака. Скорее всего, у вас будут перебои в работе. Даже Amazon, Google и облака Microsoft испытывают это время от времени. Netflix был одним из первых мест, где несколько лет назад стала популярной общая инженерия хаоса с помощью инструмента под названием Chaos Monkey. Он был разработан для тестирования инфраструктуры AWS компании путем постоянного и случайного отключения различных рабочих серверов.

Используйте эти уроки и инструменты, чтобы разработать собственное тестирование отказов, особенно тесты, связанные с безопасностью, которые выявляют слабые места в вашей облачной конфигурации. Ключевой элемент делать это автоматически и постоянно, чтобы выявлять узкие места и недостатки инфраструктуры. Помимо использования инструментов с открытым исходным кодом от Netflix, есть коммерческие продукты, такие как Verodin / Mandiant's Security Validation, SafeBreachs Breach and Attack Simulation, инструменты моделирования Cymulate и AttackIQ's Security Optimization Platform.

5. Не оптимизирована аутентификация для портфеля с преобладающим облачным сервисом


У вас может быть учетная запись и управление доступом, SIEM, CASB или одно инструмент входа в систему, который был приобретен в эпоху локальных сетей. Теперь не соответствует вашим потребностям в проверке подлинности, преимущественно облачном мире, и мире удаленного доступа.

Обязательно внимательно изучите эти инструменты, чтобы убедиться, что они могут охватывать ту облачную среду и весь ваш портфель приложений, которые защищают ваши системы. Например, CASB отлично справляются с управлением доступа к облачным приложениям, вам может понадобиться тот, который может работать с вашим конкретным внутренним пользовательским приложением. Работа с риском, основанная на аутентификации, или защита от более сложных и смешанных угроз.

6. Устаревший Active Directory


Идентичность это теперь новый периметр, и данные распространяются повсюду, заявили Дэвид Махди и Стив Райли из Gartner в своей презентации.

Вы должны предоставить людям правильный доступ к нужным ресурсам, в нужное время и по правильной причине.

Разумеется, здесь стоит многое исправить. Это означает, что ваша Active Directory (AD) может не отражать реальность как из списка текущих и авторизованных пользователей, так и из текущих и авторизованных приложений и серверов.

Переход в облако будет более плавным, если вы будете переносить наиболее точную информацию.

7. Отказ обратиться за помощью


Многие поставщики управляемых услуг безопасности (MSSP) специализируются на такого рода миграциях, и вы не должны стесняться обращаться к ним за помощью.

Возможно, вы слишком заняты, чтобы уделять миграции всё свое внимание, и непреднамеренно отбросили некоторые важные аспекты. В спешке, перенесли всё в облако и оставили открытыми несколько бэкдоров или внесли уязвимости.
Подробнее..
Категории: Информационная безопасность , Сетевые технологии , Vpn , Облачные сервисы , Исследования и прогнозы в it , Восстановление данных , Безопасность данных

Перевод Всё, что нужно знать о программе-вымогателе Netwalker

15.02.2021 14:04:42 | Автор: admin


В 2020 году киберпреступность росла в геометрической прогрессии: программы-вымогатели Emotet, Trickbot, Maze, Ryuk, а теперь и Netwalker стали серьезной проблемой во всех отраслях, больших и малых, государственных и частных, и пока нет оснований полагать, что эта тенденция ослабнет.
За 2019 год злоумышленники вымогательством получили от своих жертв около 11,5 миллиардов долларов. Для сравнения, в 2018 году эта цифра составила 8 миллиардов. По оценкам экспертов, к 2021 году потери от атак программ-вымогателей вырастет почти на 100% и достигнут 20 миллиардов долларов. С момента своих первых атак в марте 2020 года Netwalker, также известный как Mailto, позволил злоумышленникам получить в виде выкупа более 30 миллионов долларов.


Что из себя представляет программа-вымогатель Netwalker?


Netwalker это быстро набирающая масштабы программа-вымогатель, созданная в 2019 году группой киберпреступников, известной как Circus Spider. Circus Spider один из новых членов более обширной группы Mummy Spider. На первый взгляд Netwalker действует, как и большинство других разновидностей программ-вымогателей: проникает в систему через фишинговые письма, извлекает и шифрует конфиденциальные данные, а затем удерживает их для получения выкупа.

Увы, Netwalker способен на большее, чем просто удержание захваченных данных в заложниках. Чтобы продемонстрировать серьезность своих намерений, Circus Spider публикует образец украденных данных в интернете, заявляя, что, если жертва не выполнит их требования вовремя, то в даркнет попадут и остальные данные. Circus Spider выкладывает конфиденциальные данные жертвы в даркнете в защищенной паролем папке и публикует пароль в интернете.

Программа-вымогатель Netwalker использует модель вымогательство как услуга (RaaS).
В марте 2020 года члены Circus Spider решили сделать имя Netwalker стало нарицательным. Они расширили свою партнерскую сеть подобно тому, как это сделала группа преступников, стоящих за Maze. Переход к модели программа-вымогатель как услуга (RaaS) позволил им существенно расширить масштабы, нацелиться на большее количество организаций и увеличить размеры получаемых выкупов.
Модель RaaS включает вербовку помощников для содействия в выполнении преступных планов. Как упоминалось выше, Netwalker начинал набирать обороты и уже имел ряд крупных результатов. Однако по сравнению с другими крупными группами вымогателей они оставались небольшими пока не перешли к модели RaaS.

Чтобы заслужить честь присоединиться к их небольшой преступной группе, Circus Spider опубликовали определенный набор требуемых критериев своеобразную криминальную вакансию, если хотите.
Их основные критерии при выборе помощников:
  • опыт работы с сетями;
  • владение русским (они не принимают англоговорящих);
  • они не обучают неопытных пользователей;
  • наличие постоянного доступа к целям, представляющим для них ценность;
  • доказательства наличия опыта.

Чтобы привлечь как можно больше потенциальных сторонников, Circus Spider опубликовали список возможностей, к которым их новые партнеры получат доступ.
Они включают:
  • полностью автоматическая панель чата TOR;
  • права наблюдателя;
  • поддержка всех устройств Windows, начиная с версии Windows 2000;
  • быстрый многопотоковый блокировщик;
  • быстрые и гибкие настройки блокировщика;
  • доступ к процессам разблокировки;
  • шифрование смежной сети;
  • уникальные сборки PowerShell для упрощения работы с антивирусными программами;
  • мгновенные выплаты.



На кого и на что нацелена программа-вымогатель Netwalker?


С момента первого крупного результата в марте 2020 года наблюдается всплеск атак программы-вымогателя Netwalker. В первую очередь, ее целями стали учреждения здравоохранения и образования. Они провели одну из своих наиболее публично освещенных кампаний против крупного университета, специализирующегося на медицинских исследованиях. Программа-вымогатель похитила конфиденциальные данные этого университета, и, чтобы показать серьезность намерений, злоумышленники выложили образец украденных данных в открытый доступ. Эти данные включали студенческие приложения, содержащие такую информацию, как номера социального страхования и другие конфиденциальные данные. Это нарушение привело к тому, что университет заплатил злоумышленникам выкуп в размере 1,14 миллиона долларов за расшифровку их данных.

Злоумышленники, стоящие за Netwalker, предприняли серьезную попытку извлечь выгоду из хаоса эпидемии коронавируса. Они рассылали фишинговые электронные письма на тему пандемии, выбрав целью медицинские учреждения, которые уже перегружены пострадавшими от пандемии. Сайт одной из первых жертв в сфере здравоохранения был заблокирован программой-вымогателем как раз в тот момент, когда люди начали обращаться к ним за советом во время пандемии. Эта атака вынудила их запустить второй сайт и направить пользователей на новый, вызвав беспокойство и замешательство у всех участников. В течение года Netwalker и другие группы программ-вымогателей продолжали атаковать медицинские учреждения, пользуясь тем, что они уделяют мало внимания информационной безопасности.

Помимо сфер здравоохранения и образования, Netwalker атакует организации в других отраслях, в том числе:
  • производство;
  • управление бизнесом;
  • управление потребительским опытом и качеством обслуживания;
  • электромобили и решения для накопления электричества;
  • образование;
  • и многие другие.


Как работает Netwalker?





Шаг 1: фишинг и проникновение


Netwalker в значительной степени полагается на фишинг и адресный фишинг как методы проникновения. Если сравнивать с другими программами-вымогателями, рассылки фишинговых писем у Netwalker происходят часто. Эти письма выглядят вполне легитимно, что легко вводит в заблуждение жертв. Обычно Netwalker прикрепляет сценарий VBS с названием CORONAVIRUS_COVID-19.vbs, который запускает программу-вымогатель, если получатель откроет вложенный текстовый документ с вредоносным сценарием.



Шаг 2: эксфильтрация и шифрование данных


Если сценарий открывается и запускается в вашей системе, значит Netwalker начал проникать в вашу сеть. С этого момента начинается отсчет времени до шифрования. Попав в систему, программа-вымогатель превращается в не вызывающий подозрений процесс, обычно в виде исполняемого файла Microsoft. Это достигается за счет удаления кода из исполняемого файла и внедрения в него собственного вредоносного кода для доступа к process.exe. Этот метод известен как Process Hollowing. Он дает программе-вымогателю возможность находиться в сети достаточно долго для извлечения и шифрования данных, удаления резервных копий и создания лазеек на случай, если кто-либо заметит, что что-то не так.

Шаг 3: вымогательство и восстановление (или потеря) данных


Как только Netwalker закончит эксфильтрацию и шифрование данных, жертва обнаружит, что данные украдены, и найдет записку с требованием выкупа. Записка с требованием выкупа Netwalker относительно стандартна: в ней объясняется произошедшее и что пользователь должен делать, если хочет вернуть свои данные в целости и сохранности. Затем Circus Spider потребует определенную сумму денег для оплаты в биткойнах, используя портал браузера TOR.


(Источник)

Как только жертва удовлетворяет выдвинутые требования, она получает доступ к своему индивидуальному инструменту дешифрования и может безопасно расшифровать свои данные.
Если жертва не выполнит требования вовремя, злоумышленники увеличат размер выкупа или опубликуют в даркнете все украденные данные либо их часть.
Ниже представлена схема конкретного пути атаки Netwalker.

(Источник)

Советы по защите от программы-вымогателя Netwalker


Netwalker становится все более изощренным, и от него все труднее защищаться. В первую очередь это связано с ростом их сети помощников.

Мы рекомендуем следующие простые процедуры для смягчения последствий:
  • Выполняйте резервное копирование важных данных на локальные хранилища данных;
  • Убедитесь, что копии критически важных данных хранятся в облаке, на внешнем жестком диске или устройстве хранения;
  • Защитите свои резервные копии и убедитесь, что данные невозможно изменить или удалить из системы, в которой они хранятся;
  • Установите и регулярно обновляйте антивирусное программное обеспечение на всех компьютерах;
  • Используйте только безопасные сети и избегайте общедоступных сетей Wi-Fi. По возможности используйте VPN;
  • Используйте двухфакторную аутентификацию с надежными паролями;
  • Регулярно обновляйте компьютеры, устройства и приложения. Netwalker, как и другие программы-вымогатели, использует уязвимости в системах и инфраструктуре, чтобы взять под контроль компьютеры пользователей и целые сети, а затем удерживает ваши данные в зашифрованном виде, пока вы не заплатите выкуп.

Хотя эти процедуры помогут уменьшить ущерб, нанесенный программой-вымогателем после заражения вашей системы, это все же лишь смягчение ущерба. Упреждающее выполнение этих процедур поможет предотвратить распространение и уменьшить ущерб от программ-вымогателей после того, как они проникли в вашу систему. Информирование и обучение сотрудников основам информационной безопасности станет мощным инструментом борьбы с Netwalker.

Не попадайтесь на фишинговые уловки


Поскольку Netwalker в основном заражает системы через рассылку фишинговых писем с вредоносными ссылками и исполняемыми файлами, информирование сотрудников вашей организации об опасностях фишинговых писем и о том, на что нужно обращать внимание для фильтрации подозрительных электронных писем, обязательная мера для защиты ваших конфиденциальных данных.
Обязательное регулярное обучение основам информационной безопасности это отличный способ предотвращения, который поможет вашей организации выявлять признаки вредоносных электронных писем. Вот на что нужно обращать внимание каждый раз, когда вы получаете электронное письмо с просьбой нажать на ссылку, загрузить файл или поделиться своими учетными данными:
  • внимательно проверьте имя и домен, с которого отправляется электронное письмо;
  • проверьте наличие явных орфографических ошибок в теме и тексте сообщения;
  • не сообщайте свои учетные данные законные отправители никогда их не попросят;
  • не открывайте вложения и не загружайте подозрительные ссылки;
  • сообщайте о подозрительных электронных письмах вашей службе информационной безопасности.

Мы также рекомендуем проводить симуляции атак. Отправка ненастоящих фишинговых писем сотрудникам вашей организации отличный способ оценить эффективность вашего обучения основам безопасности и определить, кому может потребоваться дополнительная помощь в этом вопросе. Отслеживайте показатели взаимодействия пользователей, чтобы узнать, кто взаимодействует с любыми ссылками или вложениями, выдает свои учетные данные или сообщает об этом ответственной службе в вашей организации.

Используйте системы обнаружения угроз на основе поведенческого анализа


Обучение сотрудников вашей организации распознаванию и реагированию на фишинговые атаки, связанные с программами-вымогателями, является большим подспорьем в защите ваших конфиденциальных данных. Однако раннее обнаружение угроз на основе поведенческого анализа позволит ограничить уязвимость перед разрушительными последствиями программ-вымогателей.
Если взломанная учетная запись пользователя начинает получать доступ к конфиденциальным данным, система обнаружения угроз на основе поведенческого анализа сразу об этом узнает и уведомит вас. Например, Varonis использует несколько моделей поведения, чтобы узнать, как определенные пользователи обычно обращаются к данным. Благодаря этому можно определить, когда характер доступа пользователя к данным или объемы данных начинают отличаться от обычных. Varonis различает ручные и автоматические действия и улавливает, если пользователь начинает перемещение или шифрование файлов необычным образом, в самом зародыше прекращая деятельность программы-вымогателя. Многие наши заказчики автоматизируют ответную реакцию на такое поведение, отключая учетную запись и прерывая активные соединения.
Также важно непрерывно отслеживать активность в файловой системе, чтобы вовремя распознать, когда программа-вымогатель сохраняет на диск известные инструменты проникновения (распространенная тактика Netwalker), или когда пользователь ищет в общих файловых ресурсах файлы с паролями или другими конфиденциальными данными.

Любая пользовательская учетная запись обычно имеет доступ к гораздо большему количеству данных, чем необходимо, поэтому эти поиски часто бывают плодотворными. О том, как снизить эти риски, читайте ниже.



Переходите на модель минимальных привилегий (Zero Trust)


Правильное обнаружение важный шаг к защите вашей организации от программ-вымогателей. Однако не менее важно создать такие условия, что даже если программа-вымогатель останется незамеченной для первичного обнаружения, ее урон будет минимальным. Организации могут добиться этого, сводя к минимуму данные, к которым они раскрывают доступ. Таким образом, количество данных, которые могут быть зашифрованы или украдены, будет ограничено.
Если вы подозреваете, что стали жертвой программы-вымогателя Netwalker, выполните поиск всех обращений к файлам и изменений, сделанных любым пользователем за любой период времени, чтобы точно определить затронутые файлы и восстановить правильные версии. Вы также можете обратиться к службе реагирования на инциденты Varonis, и мы бесплатно поможем вам расследовать инцидент.
Подробнее..
Категории: Информационная безопасность , Хранение данных , Антивирусная защита , Восстановление данных , Блог компании varonis systems , Netwalker , Zero trust , Программы-вымогатели

Как предотвратить проникновение программ-вымогателей основные советы

22.03.2021 12:19:24 | Автор: admin


Согласно отчету Verizon Data Breach Report программы-вымогатели являются вторыми по частоте атаками вредоносных программ после атак категории Командование и управление (C2). Основным механизмом внедрения всех вредоносных программ, включая программы-вымогатели, по-прежнему является электронная почта. Так как же научить пользователей не переходить по фишинговым ссылкам?
Мнение профессионалов: никак. Люди будут делать то, что присуще их природе. Таким образом, мы должны подойти к проблеме программ-вымогателей по-другому. В этой статье мы рассмотрим основные особенности и методы борьбы с программами-вымогателями.

Больше информации о программах-вымогателях можно получить в рамках бесплатного обучающего курса Троя Ханта Вводный курс о вирусах-вымогателях.

Что представляют собой программы-вымогатели?


Программа-вымогатель это вредоносная программа, которая шифрует данные жертвы. После чего злоумышленник просит жертву заплатить выкуп за ключ для расшифровки ее файлов.
Первая такая программа появилась в 1989 году, распространялась на дискетах и требовала оплату в размере 189 долларов.
В 2019 году от атаки вируса-вымогателя пострадал город Балтимор. Ликвидация ущерба обошлась примерно в 18 млн долларов.
Но как именно работает это вредоносное ПО?

Как работает программа-вымогатель?





Программа-вымогатель это многоэтапная атака, которую злоумышленники осуществляют разными способами. Но ключевые этапы одинаковые проникнуть в сеть жертвы, зашифровать как можно больше данных и вымогать плату за расшифровку.

1. Инфицирование


Во-первых, злоумышленникам необходимо внедрить вредоносное ПО в выбранную сеть. Чаще всего это простая фишинговая атака с использованием вредоносных программ во вложенных файлах. После этого программа-вымогатель либо работает локально, либо пытается реплицироваться на другие компьютеры в сети.

2. Получение ключей безопасности


Затем вредоносная программа сообщает злоумышленникам о заражении жертвы и получает криптографические ключи, необходимые для шифрования данных.

3. Шифрование


На этом этапе программа-вымогатель выполняет шифрование файлов жертвы. Он начинает с локального диска, а затем пытается проверить сеть на наличие подключенных дисков или открытых дисков для атаки. Например, CryptoWall удалил файлы теневой копии (Volume Shadow Copy), чтобы затруднить восстановление из резервной копии, а также искал возможность похитить кошельки BitCoin. WannaCry использовал уязвимость EternalBlue для распространения на другие компьютеры и последующего шифрования.

4. Вымогательство


Жертва поражена, и злоумышленник отправляет уведомление с требованием заплатить за дешифровку. Обычно в нем указывается некоторая цифра в долларах с угрозами наподобие таких: заплатите нам, или потеряете свои данные.
Стоит отметить, что благодаря криптовалюте распространение программ-вымогателей стало прибыльным занятием. Сейчас трудно определить прибыльность преступной деятельности, но частота атак указывает на то, что злоумышленники видят выгоду и продолжают использовать эти методы.
В последнее время план вымогательства основывается на угрозе раскрытия данных. Программа-вымогатель способна не только зашифровать данные в системе, но и передать их злоумышленникам. За этим следует угроза: заплатите нам или ваши данные окажутся в открытом доступе.

5. Разблокировка и восстановление


Теперь важно, платит ли жертва выкуп и надеется ли, что преступник честно пришлет ключи дешифрования. Или она удаляет вредоносное ПО и пытается восстановить зашифрованные данные вручную.
Злоумышленники обычно не предоставляют ключи даже после получения денег. Да, хоть это может и шокировать. Вот почему инцидент с вымогательством в городе Балтимор стоил так дорого, а восстановление заняло так много времени. В Балтиморе злоумышленникам не платили, поэтому ИТ-персоналу приходилось восстанавливать данные, когда это было под силу, и заново настраивать устройства, на которых они этого сделать не могли.
План восстановления также должен учитывать угрозу разглашения данных. Но как помешать злоумышленнику раскрыть украденные данные? Никак. В связи с этим защита систем и предотвращение проникновения вымогателей гораздо важнее, чем создание резервных копий данных.
Подробнее о принципе действия программ-вымогателей вы можете узнать из видео ниже оно входит в наш бесплатный вводный курс Троя Ханта по вирусам-вымогателям:



Как защититься от программ-вымогателей: основные советы





Выстраивание защиты от атак программ-вымогателей включает действия как отдельных лиц, так и всего предприятия для предотвращения заражения.

Не нажимайте на ссылки!


Да-да, вы уже слышали об этом раньше. Но всегда стоит повторить еще раз. В 2020 году большой процент вредоносных программ проник в системы через фишинговые электронные письма. Люди (все без исключения!) не перестанут переходить по ссылкам. Не так давно мы опубликовали материал Полное руководство по фишинговым атакам, в котором подробно изложены принципы фишинговой атаки и рекомендации, как не стать ее жертвой.

Обеспечьте защиту электронной почты и конечных точек


По своему опыту мы знаем, что сотрудники будут всегда нажимать на ссылки. Поэтому:
  • Сканируйте все электронные письма на предмет известных штаммов вредоносных программ и обновляйте брандмауэры и средства защиты конечных точек с использованием последних известных сигнатур вирусов;
  • Уведомляйте пользователей о внешних электронных письмах;
  • Предоставьте пользователям VPN для использования за пределами сети.


Храните резервные копии


Храните актуальные резервные копии для защиты важных данных как корпоративных, так и личных. Лучший и самый быстрый способ борьбы с вымогателями сразу же повторно создать образ диска, а затем восстановить данные из последней надежной резервной копии. Конечно, если в результате атаки данные не были удалены это уже другая проблема.

Защищайте конфиденциальную информацию


Люди генетически предрасположены к доверию. Это одна из эволюционных причин огромного распространения нашего вида. Присущее нам доверие помогает экстрасенсам убедить нас, что мы сами сделали определенный выбор, а злоумышленникам заставить сообщать им свои пароли или девичьи фамилии матери.
Когда кто-либо просит у вас конфиденциальную информацию, будьте скептичны и выполняйте установленные правила. Здесь та же проблема, что и со ссылками, но это может быть и реальное личное общение.

Кто находится в группе риска?


Теоретически от программ-вымогателей может пострадать каждый. Из экономических соображений самые изощренные атаки обычно нацелены на крупные платежеспособные организации. Но не всегда атаки программ-вымогателей имеют какую-то конкретную цель. Некоторые злоумышленники используют методы ковровой бомбардировки и пытаются заразить как можно больше пользователей одновременно.

7 типов программ-вымогателей, которые необходимо знать каждому


Злоумышленники постоянно разрабатывают новые виды программ-вымогателей, которые используют различные векторы атаки, такие как вредоносная реклама, черви-вымогатели и программы одноранговой передачи файлов.

Атаки программ-вымогателей не обязательно должны быть хитроумными, чтобы приносить результат. Для распространения WannaCry и NotPetya использовалась широко известная уязвимость, и они оказались сверхэффективными.

В последнее время стала весьма популярна модель программа-вымогатель как услуга (RaaS), как например Netwalker, когда хакеры дают свое вредоносное ПО в аренду другим киберпреступникам, в результате чего увеличиваются частота случаев и охват поражения.
Рассмотрим другие виды программ-вымогателей и принципы их работы.

Шифровальщики


Первая и наиболее распространенная категория этих программ это вымогатели-шифровальщики. CryptoLocker и CryptoWall получили репутацию надежных вирусов-вымогателей для шифрования. Шифрование это процесс кодирования данных, поэтому их невозможно прочитать без соответствующего ключа.

Взлом шифровальщиков


Взлом методом перебора: алгоритм с симметричным ключом занимает от нескольких часов для небольшого 20-битного ключа до миллионов лет для 128-битного ключа.

Как открытые, так и симметричные ключи теоретически могут быть взломаны методом подбора. Но рассчитывать на это не стоит. Современное шифрование слишком сложный процесс даже для самых быстродействующих компьютеров.
Если конкретней, шансы расшифровать файлы, пораженные шифровальщиком, используя брутфорс, находятся где-то между мизерными и нулевыми (причем значительно ближе к нулю).

Программы-вымогатели, удаляющие данные


Злоумышленники могут угрожать, что любая ваша попытка расшифровать файлы приведет только к безвозвратной потере данных. Или же файлы будут удалены, если вы не заплатите.

Широко известные вирусы, удаляющие данные, Gpcode и FileCoder.
Мнение профессионалов: если файлы удалены вымогателем, их нельзя перезаписать на диске. Оптимальный вариант восстановление из резервной копии.

Блокировщики


Злоумышленники создают вредоносные сайты, с помощью которых пытаются обмануть вас, заставляя думать, что вас разыскивает полиция и вам нужно заплатить штраф, или злоупотребляют вашим доверием другим способом. Они даже умеют отключать клавиши быстрого доступа, чтобы вам было сложнее закрыть экран. Такие методы используются, например, программами Winlock и Urausy.
Мнение профессионалов: все поступающие сообщения с просьбой перевести деньги мошенничество.

Программы-вымогатели для мобильных устройств


Поскольку вымогатели хорошо зарекомендовали себя на ПК, злоумышленники создают подобные программы и для мобильных устройств. В основном они представляют собой разновидности блокировщиков, так как шифрование мобильного устройства, для которого регулярно выполняется резервное копирование, бессмысленно.

Правила реагирования на атаку программы-вымогателя





Справиться с текущими атаками вымогателей и смягчить их последствия помогут следующие действия:

1. Изоляция


Первым шагом в борьбе c программой-вымогателем является изоляция зараженных систем от остальной сети. Остановите работу этих систем и отсоедините сетевой кабель. Выключите WI-FI. Зараженные системы необходимо полностью изолировать от других компьютеров и запоминающих устройств этой сети.

2. Идентификация


Затем выясните, какое именно вредоносное ПО привело к заражению компьютеров. Специалисты отдела реагирования на инциденты, ИТ-персонал или сторонние консультанты должны определить тип программы-вымогателя и составить план наиболее эффективной борьбы с заражением.

3. Оповещение регулирующих органов об угрозе


В зависимости от наступивших последствий инцидента и применимых положений законодательства, об инциденте следует сообщить регуляторам.

4. Удаление вредоносного ПО


Удалите вредоносное ПО из зараженных систем, чтобы предотвратить дальнейшее их повреждение и распространение вируса.

5. Восстановление данных


После подавления атаки переходите к процессу восстановления. Оплата выкупа один из вариантов. Возможно, злоумышленники благородные воры и отдадут вам ключи, необходимые для дешифрования данных. Оптимальный вариант восстановление из самой последней доступной резервной копии. При ее наличии.

Стоит ли платить выкуп?


Нет. В большинстве случаев этого не стоит делать. В приоритете должна быть защита от программ-вымогателей, а также доступные варианты резервного копирования. Регулярно создавайте резервные копии, чтобы предотвратить подобные атаки и защитить данные, и тогда в оплате выкупа никогда не возникнет необходимости. Тем не менее, на практике всё может быть гораздо сложнее.
Предоставляется ли киберстрахование для защиты от атак вирусов-вымогателей? Можно ли купить биткойны, чтобы вовремя заплатить выкуп? Имеются ли резервные копии для зараженных систем? Имеют ли данные критическую важность? При принятии решения о внесении выкупа вам, скорее всего, нужно будет ответить на эти вопросов.

Перед рассмотрением вопроса о переводе средств


Поиск инструмента для дешифрования


Просмотрите интернет-ресурсы на предмет существующих инструментов дешифрования. При обнаружении ключей для отражения атаки платить выкуп не нужно. Иногда экспертам по кибербезопасности удается получить ключи для дешифрования с вредоносных серверов и опубликовать их онлайн. Ниже описаны некоторые из них:


В каких случаях стоит задуматься о переводе средств


На саммите по кибербезопасности Джозеф Бонаволонта, отвечающий за программу ФБР по кибербезопасности и контрразведке, сказал: Честно говоря, мы часто советуем просто заплатить выкуп.
Он также уточнил: Успешная атака вируса-вымогателя в конечном итоге приносит пользу жертвам: поскольку очень многие оплачивают выкуп, авторы вредоносных программ менее склонны выжимать крупные суммы из одной жертвы, устанавливая небольшие размеры. И большинство мошенников-вымогателей держат свое слово. Поэтому вам вернут доступ.
По данным ФБР, большинство вирусов-вымогателей требует выкуп в диапазоне $200$10 000.
Однако есть прецеденты, когда сумма была намного больше. В 2014 году злоумышленники зашифровали файлы администрации Детройта и потребовали выкуп в размере 2 000 биткойнов, что на тот момент составляло около 800 000 долларов. У этой истории счастливый конец: администрации Детройта не нужна была эта база данных, поэтому она не стала платить.
Иногда перевод средств правильное решение. Офис шерифа округа Диксон в штате Теннесси заплатил 622 доллара в биткойнах хакерам, которые зашифровали файлы с уголовными делами департамента. По словам детектива Джеффа Макклисса, всё свелось к выбору между потерей всех данных и невозможностью выполнять критически важные задачи, в которых мы их использовали, и оплатой 600 с небольшим долларов для их возврата данных. Офису шерифа повезло ему вернули доступ к файлам.

Отказ от оплаты: в каких случаях не стоит идти на поводу


Некоторые эксперты по кибербезопасности призывают не платить выкуп из-за отсутствия гарантий возврата файлов в исходное состояние даже после перевода средств. Кроме того, согласие заплатить вымогателям усугубляет существующую проблему, делая жертву мишенью для дальнейших атак вредоносными программами.
В 2016 году сообщалось, что руководство больницы Канзаса, пораженной программой-вымогателем, заплатило выкуп в надежде на скорейшее возобновление работы, но после перевода средств файлы были расшифрованы лишь частично. При этом киберпреступники потребовали еще денег для расшифровки остальных файлов. В результате больница отказалась платить второй раз, так как это уже не казалось разумным или стратегическим решением.
Что еще хуже, при заражении дефектным штаммом, например Power Worm, вернуть файлы невозможно независимо от предпринимаемых действий. Даже при желании заплатить выкуп в результате этой атаки данные жертвы будут неизбежно уничтожены во время шифрования.
В других случаях, например во время атаки вирусом NotPetya, цель которой заключается не в финансовой выгоде, а в уничтожении данных, даже при накоплении биткойнов для выплаты выкупа вернуть данные не получится.
Согласитесь, что это простое и эффективное решение остановить атаку вируса-вымогателя в самом ее начале, когда зашифровано всего пару сотен файлов, вместо того, чтобы потом иметь дело с полностью зашифрованной системой хранения.

Дополнительные ресурсы и литература


Здесь вы найдете ряд статей о программах-вымогателях, а также ссылки на конкретные разновидности, обнаруженные аналитиками по информационной безопасности Varonis:
Подробнее..
Категории: Информационная безопасность , Хранение данных , Восстановление данных , Блог компании varonis systems , Шифровальщики , Программы-вымогатели , Блокировщики

Перевод Darkside возвращается анализ крупномасштабной кампании по хищению данных

05.04.2021 20:15:29 | Автор: admin

Наша команда недавно провела несколько резонансных расследований атак, приписываемых группировке киберпреступников Darkside. Эти узконаправленные кампании проводились в несколько этапов и длились от нескольких недель до нескольких месяцев, а их целью было хищение и шифрование конфиденциальных данных, включая резервные копии. В этой статье мы рассмотрим замеченные нами тактики, техники и процедуры (ТТП).

О группе Darkside Inc.


Группировка хакеров-вымогателей Darkside выпустила пресс-релиз о своем продукте RaaS (программа-вымогатель как услуга) в августе 2020 года. С тех пор группировка получила известность благодаря профессиональному проведению операций и крупным суммам требуемых выкупов. Хакеры предоставляют жертвам техподдержку в веб-чате, создают сложные системы хранения украденных данных с резервными подсистемами и анализируют финансовую ситуацию жертв перед атакой.

Название группировки Darkside (Темная сторона) вызывает ассоциации с хорошим парнем (или девушкой), которые отреклись от светлой стороны. Мы не можем утверждать, что в группировке работают бывшие специалисты в области ИТ-безопасности, но ее атаки свидетельствуют о глубоком понимании инфраструктуры, технологий безопасности и слабых сторон своих жертв.

Представители данной организации публично заявили, что предпочитают атаковать не больницы, школы, некоммерческие организации и государственные органы, а крупные организации, которые в состоянии заплатить большие выкупы.

Благодаря методу обратного инжиниринга мы выявили, что вредоносное ПО Darkside проверяет языковые параметры устройства, чтобы не атаковать российские организации. Представители группы также отвечали на вопросы форумов на русском языке и сейчас активно набирают в свою команду русскоязычных партнеров.

У группы есть наборы инструментов как для Windows, так и для Linux. У Darkside есть партнерская программа наподобие NetWalker и REvil, которая предлагает всем, кто помогает распространять их вредоносное ПО, 1025% от суммы выкупа.

Анатомия кибератак


Атаки программы-вымогателя Darkside отличаются использованием скрытых приемов, особенно на начальных этапах. После проведения тщательной разведки группа приняла меры для того, чтобы контролируемые устройства и конечные точки не могли определить ее инструменты и способы атаки.

Несмотря на то, что хакеры используют несколько вариантов внедрения в систему, действия внутри нее довольно стандартны, а успешный результат достигается с холодной непоколебимостью.

Тактика скрытности включает:


  • Управление и контроль TOR
  • Избегание узлов, контролируемых EDR
  • Выжидание подходящего времени и откладывание подозрительных действий для более поздних этапов атаки
  • Индивидуальный код и хосты соединения для каждой жертвы атаки
  • Техники обфускации, такие как шифрование и загрузка динамической библиотеки
  • Контркриминалистические методы, такие как удаление файлов журналов


На более поздних этапах атак:


  • Сбор учетных данных, хранящиеся в файлах, памяти и на контроллерах домена
  • Использование файловых ресурсов для распространения инструментов вирусной атаки и хранения файловых архивов
  • Ослабление ограничений доступа к общим файловым ресурсам для упрощения сбора учетных данных
  • Удаление резервных копий, включая теневые
  • Внедрение индивидуального вируса-вымогателя


Первый этап внедрения: поиск слабого звена


Программа-вымогатель Darkside изначально проникает в систему через слабые места: удаленно управляемые учетные записи и системы.

Мы выявили, что группа Darkside использовала скомпрометированные учетные записи подрядчиков для проникновения в инфраструктуру виртуальных рабочих столов (VDI), которая была создана для упрощения удаленного доступа во время пандемии. Хотя сами подрядчики этого не делали.

Хакеры также использовали серверы, а затем оперативно устанавливали дополнительный RDP, который сохраняет доступ, даже если уязвимость сервера устранена.

Ни один из этих вариантов не является новым они выступают предупреждением о том, что опытные злоумышленники способны легко обойти защиту периметра сети. Это иллюстрирует необходимость многофакторной аутентификации для всех учетных записей и оперативного устранения уязвимостей систем, подключенных к Интернету.

Управление и контроль




Хакеры-вымогатели Darkside создали механизмы управления и контроля в основном с помощью клиента RDP, работающего через порт 443, маршрутизируемого через TOR. После установки браузера Tor они изменили его конфигурацию, чтобы он функционировал как постоянная служба, перенаправляя трафик, отправляемый на локальный (динамический) порт с помощью TOR по HTTPS через порт 443. Такие соединения были постоянными, поэтому злоумышленники могли устанавливать сессии RDP на взломанных хостах и через них, облегчая перемещение внутри сети.

Мы обнаружили присутствие пользователей TOR на многих серверах с десятками активных соединений.
Хакеры использовали Cobalt Strike как вторичный механизм управления и контроля. Мы проанализировали десятки настраиваемых стейджеров, которые загружали маяки, подключенные к определенным серверам. Стейджеры (под названием file.exe) устанавливались удаленно на определенных целевых устройствах с использованием WinRM, каждое из которых было настроено по-разному. Стейджеры Cobalt-Strike установили соединение с выделенным сервером C2 для загрузки Cobalt Strike Beacon.

Злоумышленники обычно используют всего несколько серверов C2 для каждой жертвы, но хакеры Darkside настроили каждый маяк для подключения к другому серверу C2 с другим пользовательским агентом. Это может свидетельствовать о том, что Darkside управляет крупной, хорошо налаженной системой хакерских атак.

Для упрощенного распространения стейджеры и исполняемые файлы TOR хранились в общих сетевых папках. Хакеры старались не устанавливать бэкдоры в системах, контролируемых решениями EDR.


Обнаружение загрузки маяка на взломанный сервер

Мы наблюдали, как злоумышленники входят в систему виртуального рабочего стола, используя сразу несколько учетных записей. Каждый раз, когда хакер входил в систему, во взломанных домашних каталогах пользователя создавались файлы .lnk. Действия с файлами .lnk помогли выявить взломанные учетные записи и среды VDI, а также время использования в атаке каждой учетной записи.

Разведка и сбор учетных данных


Вирус-вымогатель Darkside известен тем, что живет за счет жертвы. По нашим наблюдениям, он сканирует сети, запускает команды, создает дампы процессов и крадет учетные данные. Инструменты атаки применялись на хостах с минимальной вероятностью обнаружения и блокировки. Среди широко известных инструментов advanced_ip_scanner.exe, psexec, Mimikatz и другие.

Хакеры предприняли много попыток для получения доступа к дополнительным системам и учетным записям, начиная с первоначальных взломанных хостов, тикет-систем и соединений NTLM. После периода выжидания злоумышленники использовали разведывательный инструмент Active Directory (ADRecon.ps1) для сбора дополнительной информации о пользователях, группах и привилегиях, сохраняя результаты в файле под названием DC.txt. Все инструменты были удалены после использования. Злоумышленники временно сохранили результаты разведки и учетные данные на активном сервере Windows. Среди интересных имен файлов, записываемых и удаляемых на сервере, были такие: Typed_history.zip, Appdata.zip, IE_Passwords.zip, AD_intel и ProcessExplorer.zip.

Помимо сбора учетных данных злоумышленники извлекли учетные данные из папок профиля пользователя, в том числе:
Users\\Appdata\[Roaming\Local]\Microsoft [Credentials\Vault]
Users\\Appdata\Roaming\Mozilla\Firefox\Profiles
Users\\\Appdata\Local\Google\Chrome

Злоумышленники использовали Invoke-mimikatXz.ps1 для извлечения учетных данных с неконтролируемых серверов и сохранили их в файле под именем dump.txt. Эта операция была направлена на очень важную жертву c минимальной вероятностью обнаружения.



Как только злоумышленники получили учетные данные администратора домена, им открылся доступ и к контроллерам домена. На более поздних этапах хакеры осуществили хорошо известную атаку DCSync, при которой злоумышленник выдает себя за правомерного контроллера домена и использует службу репликации каталогов для копирования информации AD и получения доступа к данным паролей всего домена, в том числе KRBTGT HASH.

Сбор данных и стейджинг


Активный сервер Windows также служил концентратором для хранения данных перед их эксфильтрацией. Данные извлекались с сотен серверов с помощью пакетной программы (dump.bat), расположенной в \Desktop\Dump, которая записывала файлы в одно и то же место, сжимая их в архивы 7zip с простыми названиями *.7z.[001]-[999].
Несмотря на то что хакеры накопили повышенные привилегии, мы обнаружили, что они ослабили ограничения файловых систем, чтобы получить доступ к файлам с помощью любой учетной записи пользователя домена. Командный файл, целевые данные и архивы были удалены в течение нескольких часов после их извлечения.

Шифрование


Darkside не внедряет программы-вымогатели до обследования среды, извлечения полезных данных, получения контроля над привилегированными учетными записями и определения всех систем резервного копирования, серверов и приложений. Мы выявили несколько подключений к резервным хранилищам с использованием взломанных учетных записей служб незадолго до шифрования данных. Откладывая фазу шифрования, хакеры получают возможность максимизировать ущерб жертв атаки и свою прибыль.

Код вымогателя передается через установленные бэкдоры (лазейки) (TOR-RDP или Cobalt Strike) и модифицируется отдельно для каждой жертвы. Полезная нагрузка содержит исполняемый файл, уникальное расширение и уникальный идентификатор жертвы, который дает ей доступ к веб-сайту Darkside для произведения оплаты.

Используя уникальные исполняемые файлы и расширения, программа-вымогатель легко обходит сигнатурный поиск. Darkside также предлагает программы-вымогатели другим злоумышленникам под заказ (программа-вымогатель как услуга) и получает часть прибыли от успешных кибератак.

Одна из версий индивидуального кода получила название Homie.exe. По нашим данным, он не только настраивается индивидуально, но и защищен от криминалистического анализа и отладки технологиями для самовнедрения, обнаружения виртуальных машин и динамической загрузки библиотеки. Он также удаляет теневые копии на устройствах жертв.

Вирус-вымогатель Darkside. Этап 1: самовнедрение


При активации вредоносное ПО копируется в папку C:\Users\admin\AppData\Local\Temp\ и вставляет свой код в существующий процесс с помощью команды CMD:



Если вредоносная программа обнаруживает признаки отслеживания или обнаружения запуска на виртуальном устройстве, она сразу же прекращает работу.
Чтобы избежать обнаружения инструментами AV и EDR, программа-вымогатель динамически загружает свои библиотеки, не регистрируя их в разделе импорта:



Импортируются только 3 библиотеки, что свидетельствует о том, что имена других библиотек распознаются динамически во время запуска вредоносной программы без непосредственного импорта.

Вирус-вымогатель. Этап 2: удаление теневых копий


Вредоносное ПО пытается удалить теневые копии на устройстве жертвы обфусцированной командой PowerShell:



Деобфусцированная команда:



Вирус-вымогатель. Этап 3: шифрование файлов


После удаления теневых копий вредоносное ПО сначала останавливает определенные процессы во избежание блокировки файлов, которые могут задерживать шифрование, а затем сама запускает его.

Список процессов:


sql
oracle
ocssd
dbsnmp
synctime
agntsvc
isqlplussvc
xfssvccon
mydesktopservice
ocautoupds
encsvc
Firefox
tbirdconfig
mydesktopqos
ocomm
dbeng50
sqbcoreservice
Excel
infopath
msaccess
mspub
onenote
Outlook
powerpnt
steam
thebat
thunderbird
visio
winword
wordpad
notepad

Во время шифрования вредоносное ПО добавляет строку из 8 символов к зашифрованным именам файлов.



Программы-вымогатели Darkside избегают шифрования файлов со следующими расширениями:
386,adv,ani,bat,bin,cab,cmd,com,cpl,cur,deskthemepack,diagcab,diagcfg,diagpkg,dll,drv,exe,hlp,icl,icns,ico,ics,idx,ldf,lnk,mod,mpa,msc,msp,msstyles,msu,nls,nomedia,ocx,prf,ps1,rom,rtp,scr,shs,spl,sys,theme,themepack,wpx,lock,key,hta,msi,pdb


Программа-вымогатель создает инструкции по выкупу (READMEtxt), чтобы жертва могла связаться с создателем вируса для расшифровки файлов:



Как защититься от опасных злоумышленников в 2021 году



Найдите и устраните слабые звенья до того, как это сделают хакеры


Любая учетная запись, для которой не требуется многофакторная аутентификация, может быть взломана простой атакой методом перебора паролей. Любой подключенный к Интернету сервер с неустраненной уязвимостью источник легкого дохода хакера.

Предотвращайте попытки взлома и устраняйте уязвимости внутри системы


Злоумышленники ищут быстрые способы получить учетные данные администратора домена. Слабо зашифрованные учетные записи служб или администраторов с SPN или, что еще хуже, привилегированные учетные записи со слабыми требованиями к паролю или без них слишком легкие цели.

Во многих организациях злоумышленникам для сбора сведений даже не нужны данные привилегированной учетной записи: обычный сотрудник имеет доступ к гораздо большему количеству информации, чем нужно. Доступ к конфиденциальным данным должны иметь только учетные записи, отвечающие определенным требованиям. Также рекомендуется регулярно отслеживать файловые системы на предмет необычного доступа и изменений.

Пролейте свет на слепые зоны там может быть много интересного


Организации с комплексными инструментами мониторинга быстрее обнаруживают и расследуют подобные атаки. Если у вас есть слепые зоны в основных хранилищах данных, Active Directory, DNS, системах удаленного доступа или веб-соединениях, вам будет сложно определить, какие системы были скомпрометированы и были ли украдены конфиденциальные данные.

Если вы обнаружите вторжение, позвольте Active Directory очертить его радиус


События службы каталогов Active Directory помогают быстро определить взломанные учетные записи и устройства. Выполните запрос Active Directory для поиска признаков перемещения внутри этой учетной записи (или записей).
Подробнее..
Категории: Информационная безопасность , Хранение данных , Антивирусная защита , Восстановление данных , Блог компании varonis systems , Программы-вымогатели , Raas , Darkside

Перевод Архивация по URL

11.03.2021 10:22:28 | Автор: admin

Каждый год несколько процентов материалов, на которые я ссылаюсь, исчезают навсегда. Для человека, который старается не писать без пруфов, это неприемлемо, так что я разработал собственную стратегию борьбы с битыми ссылками. Если коротко коллекция скриптов, демонов и архивных сервисов в интернете просто берёт и бэкапит всё подряд. URLы регулярно выгружаются из логов моего браузера и статей с моего сайта. Все страницы архивируются локально и на archive.org, так что при необходимости они будут вечно доступны из нескольких независимых источников.

linkchecker регулярно проходится по моему сайту в поисках битых ссылок; все обнаруженные потери могут быть либо заменены (если адрес поменялся, но страница всё ещё существует), либо восстановлены из архива. Кроме того, мои локальные архивы криптографически датируются через блокчейн биткойна на случай, если возникнут подозрения в фальсификации.



Вымирание ссылок


Все составные вещи недолговечны. Стремитесь к собственному освобождению с особым усердием.
Последние слова Будды Шакьямуни

Величина вымирания вызывает возмущение. Вот взгляд Википедии:

В эксперименте 2003 года Фетерли (с соавторами) обнаружил, что примерно одна ссылка из 200 исчезает каждую неделю из интернета. МакКоун (с соавторами, 2005) обнаружил, что половина URL, указанных в статьях журнала D-Lib Magazine, не были доступны через 10 лет после публикации, а другие исследования показали даже худшее вымирание ссылок в научной литературе [5] [6]. Нельсон и Аллен [7] изучали вымирание ссылок в цифровых библиотеках и нашли, что около 3 % объектов были недоступны после одного года. В 2014 владелец сайта закладок Pinboard Мацей Цегловский сообщал, что довольно стабильная доля в 5 % ссылок вымирает за год [8]. Исследование ссылок из каталога Yahoo! показало период полураспада случайной страницы в 20162017 годах (вскоре после того, как Yahoo! перестала публиковать этот каталог) около двух лет [9].


Брюс Шнайер вспоминает, что за девять лет у одного его друга сломалась половина ссылок на странице (и не то чтоб в 1998 году дела обстояли лучше), и что он сам порой выкладывал ссылку а через пару дней она уже не работала. Виторио перебрал свои закладки из 1997 года в 2014-ом и обнаружил, что 91% не работает, а половины нет даже в Internet Archive. Эрни Смит взял книгу про интернет из 1994 года и нашёл в ней целую одну работающую ссылку. Internet Archive считает, что среднее время жизни страницы в интернете 100 дней. Статья в Science утверждает, что учёные обычно не вставляют URLы в научные публикации, а когда вставляют 13% не работает через два года. Французская компания Linterweb изучала внешние ссылки во франкоязычной Википедии и обнаружила, что в 2008 году 5% были мертвы. Англоязычная Википедия пережила вспышку битых ссылок в 2010-январе 2011, когда их число выросло от нескольких тысяч до ~110 000 из ~17.5 миллионов. На некогда легендарной Million Dollar Homepage, последняя ссылка на которой была поставлена в январе 2006 и стоила 38 тысяч долларов, к 2017 не меньше половины ссылок были мертвы или захвачены киберсквоттерами (с неё до сих пор идёт трафик, так что некоторые адреса могут иметь ценность). Сайт закладок Pinboard отмечал в августе 2014, что 17% 3-летних ссылок и 25% 5-летних не открываются. И так далее, и тому подобное, и прочее в том же духе.

Ссылки сыплются даже в более-менее стабильных, модерируемых и не разорившихся системах. Хотя Твиттер как таковой прекрасно себя чувствует, 11% твитов времён Арабской Весны не открывались уже через год. А иногда незаметно исчезают сразу огромные объёмы данных: например, администрация MySpace где-то потеряла всю музыку, загруженную с 2003 по 2015, и объявила, что они перестроили MySpace с нуля и решили перенести часть пользовательского контента со старой версии. Правда, часть загрузок 2008-2010 была восстановлена и выложена на IA анонимным исследователем.

Я хочу, чтобы мои данные хотя бы пережили меня; скажем, дожили до 2070. По состоянию на 10 марта 2011 года (прим. пер.: дата выхода первой версии этого текста. Последний апдейт датируется 5 января 2019), у меня на сайте примерно 6800 внешних ссылок, из них 2200 не на Википедию. Даже при минимальной оценке в 3% умирающих ссылок в год, до 2070 доживут немногие. Если шанс выживания данной конкретной ссылки в данный год 97%, то вероятность её не потерять до 2070 равна 0.97^(2070-2011)0.16. 95-процентный доверительный интервал для такого биномиального распределения подсказывает, что ~336-394 ссылки из 2200 будут работать в 2070 году. Если использовать верхнюю оценку смертности в 50% ссылок в год то в 2070 году, скорее всего, не останется ни одной.

Истина где-то между этими двумя экстремумами, но безопаснее исходить из допущения, что все внешние ссылки (кроме разве что Википедии и Internet Archive, специально заботящихся о долгожительстве материалов) рано или поздно накроются. Во всяком случае, не стоит полагаться на то, что всё будет нормально. Если не позаботиться сейчас, то нормально точно не будет.

Если мы хотим заархивировать данную конкретную страницу то всё просто. Нужно либо пойти на Internet Archive и нажать там соответствующую кнопку, либо распечатать страницу в PDF прямо из браузера. Для сохранения более сложных страниц есть специальные плагины, например ScrapBook. Но я захожу и ссылаюсь на огромное количество страниц, так что сохранять каждую из них вручную будет тяжеловато. Нужна система, которая бы автоматически обеспечивала корректные ссылки на все страницы, которые могут мне когда-нибудь понадобиться.

Поиск битых ссылок


Одну весну за другой
цветы излагают Закон,
не говоря ни единого слова,
но уяснив его суть
из срывающего их ветра
Сётэцу

Прежде всего, нужно как можно раньше находить свежеполоманные ссылки. Даже само по себе это позволит хотя бы подставлять материалы из архивов или кеша поисковых систем. У меня для этого используется linkchecker в задаче cron:

@monthly linkchecker --check-extern --timeout=35 --no-warnings --file-output=html \                      --ignore-url=^mailto --ignore-url=^irc --ignore-url=http://.*\.onion \                      --ignore-url=paypal.com --ignore-url=web.archive.org \                     https://www.gwern.net


В таком виде эта команда вернёт кучу ложноположительных сигналов. Несколько сотен якобы битых ссылок будут найдены на одной только Википедии, потому что я ссылаюсь на редиректы; кроме того, linkchecker читает robots.txt и не может проверить заблокированные в нём адреса. Это можно исправить, добавив в ~/.linkchecker/linkcheckerrc "ignorewarnings=http-moved-permanent,http-robots-denied" (полный список классов предупреждений есть в linkchecker -h)

Чем раньше битая ссылка найдена, тем раньше можно что-то с ней сделать. Что именно?

Удалённое кеширование



Всё, что ты постишь в Интернете, будет существовать до тех пор, пока оно тебя позорит, и исчезнет, как только оно тебе понадобится.
с сайта Ycombinator

Можно попросить кого-нибудь другого хранить кэши всех нужных нам страниц. Как раз на такой случай есть несколько веб-архивов:

  1. The Internet Archive
  2. WebCite
  3. Perma.cc (сильно ограничен)
  4. WikiWix (но у него есть конкретная функция бэкапить исходящие ссылки Википедии так что весь остальной интернет его интересует довольно мало).
  5. Archive.is
  6. Pinboard предоставляет архивацию за 25$ в год
  7. Hiyo.jp и Megalodon.jp (но они на японском) Прим.пер.: по состоянию на март 2021 первая ссылка не открывается. Что забавно, локальный архив Гверна честно отдаёт мне сохранённую главную страницу сервиса, но воспользоваться ей уже вряд ли получится.


Есть и другие архивы, но они могут быть недоступны (например, кэш Google хоть я и не верю, что Гугл и правда удаляет все свои кэши, отдавать их пользователям он точно перестаёт) или разнообразные коммерческие / государственные архивы (которые по определению недоступны публике ни для пополнения, ни для использования, и вообще мы про них знаем преимущественно по историям типа знакомый моего знакомого знает одного парня, который работал в некой неназванной федеральной организации, и вот этот парень рассказывал, что у них там есть собственный Wayback Machine).

Кстати, хранить в этих архивах собственный сайт тоже неплохая идея:

  • Бэкапы это хорошо, но локальный бэкап тоже может случайно погибнуть (это я из собственного опыта говорю), так что неплохо бы иметь удалённые копии.
  • Уменьшается пресловутый автобусный фактор: если завтра я попаду под автобус, то кто и как получит доступ к моим бэкапам? У кого будет время и желание в них потом разбираться? А про IA люди в целом понимают, что там и как, к тому же для работы с ним созданы специальные инструменты.
  • Фокус на бэкапе самого сайта отвлекает внимание от необходимости бэкапить то, на что ты ссылаешься. Многие страницы мало чего стоят, если ссылки в них перестали открываться, а скрипты / демоны для архивации можно настроить так, чтобы они автоматически подтягивали всё необходимое.


Первый бот, который я для этого написал, Wikipedia Archiving Bot, просто кидал запросы в WebCite, Internet Archive и Archive.is. Потом он был модифицирован в вики-плагин gitit, который прицепляется к коду сохранения страницы и пытается автоматически сохранить каждую свежедобавленную ссылку (interwiki.hs). Если вам плевать на приватность то Alexa Toolbar тоже умеет в автосохранение на Internet Archive.

В конце концов я написал archiver, простенький демон, который мониторит текстовый файл с URLами. Исходники можно скачать через 
git clone https://github.com/gwern/archiver-bot.git


Archiver состоит из библиотеки, которая по сути является просто обёрткой вокруг соответствующих HTTP-запросов, и исполняемого файла, который берёт список адресов, сообщает Internet Archive, что их не мешало бы сохранить, потом удаляет соответствующую строку из файла и продолжает в том же духе, пока файл не опустеет.

Вызов выглядит так: 
archiver ~/.urls.txt gwern@gwern.net
. Он у меня когда-то крашился по непонятным причинам, так что я завернул команду в while true: 
while true; do archiver ~/.urls.txt gwern@gwern.net; done
. Потом я завернул его ещё и в сессию GNU screen: 
screen -d -m -S "archiver" sh -c 'while true; do archiver ~/.urls.txt gwern@gwern.net; done'
. Ну и запускаем не руками, а через cron, так что в итоге получается:

@reboot sleep 4m && screen -d -m -S "archiver" sh -c 'while true; do archiver ~/.urls.txt gwern2@gwern.net  "cd ~/www && nice -n 20 ionice -c3 wget --unlink --limit-rate=20k --page-requisites --timestamping -e robots=off --reject .iso,.exe,.gz,.xz,.rar,.7z,.tar,.bin,.zip,.jar,.flv,.mp4,.avi,.webm --user-agent='Firefox/4.9'" 500; done'


Локальное кэширование


Удалённые архивы это хорошо, но у них есть один фатальный недостаток: архивные сервисы не поспевают за ростом интернета и большей части материалов там может не быть. Ainsworth et al. 2012 показали, что менее 35% веб-страниц заархивированы хоть где-нибудь, и подавляющее большинство из них сохранены только в одном архиве. К тому же и сами архивы в принципе могут умереть вместе со всем их содержимым. Так что локальное кэширование тоже должно быть.

Самый фундаментальный подход взять кэширующее прокси, которое будет сохранять буквально весь ваш веб-трафик. Например, Live Archiving Proxy (LAP) или WarcProxy будет писать WARC-файлы для каждой посещённой через HTTP веб-страницы. Zachary Vance пишет, что можно настроить локальный HTTPS-сертификат и добраться до содержимого HTTPS-страниц за счёт MitM-атаки на собственный трафик.

Но это довольно тяжеловесное и прожорливое решение, так что хочется чего-то более аккуратного. Например, выгружать из браузера список посещённых страниц и пытаться их заархивировать.

Раньше я использовал скрипт с потрясающе оригинальным названием local-archiver:
local-archiver.sh 
#!/bin/shset -euo pipefailcp `find ~/.mozilla/ -name "places.sqlite"` ~/sqlite3 places.sqlite "SELECT url FROM moz_places, moz_historyvisits \                       WHERE moz_places.id = moz_historyvisits.place_id \                             and visit_date > strftime('%s','now','-1.5 month')*1000000 ORDER by \                       visit_date;" | filter-urls >> ~/.tmprm ~/places.sqlitesplit -l500 ~/.tmp ~/.tmp-urlsrm ~/.tmpcd ~/www/for file in ~/.tmp-urls*; do (wget --unlink --continue --page-requisites --timestamping --input-file $file && rm $file &);donefind ~/www -size +4M -delete



Код не самый красивый, но вроде всё понятно.

  1. Выгружаем адреса из SQL-файла Firefox и скармливаем их wget. Это не самый подходящий инструмент для скачивания сайтов: он не может запускать JS/Flash, скачивать потоковое видео и прочая и прочая. Весь джаваскрипт будет просто скачан в виде файла, который, скорее всего, перестанет исполняться через пару лет, а динамически подгружаемый контент не сохранится. С другой стороны, это не такая уж большая проблема, потому что на практике мне нужен в основном как раз статический контент (а JS по большей части обеспечивает только ненужные свистелки), а видео можно бэкапить руками через youtube-dl. Если страница приватная и без логина не открывается то можно вытащить куки из Firefox специальным аддоном, скормить их wget через ключ --load-cookies и всё будет хорошо. Так что в целом wget мне хватает.
  2. Скрипт дробит список URL на множество файлов и параллельно запускает бэкапы на каждом из них, потому что wget не умеет одновременно качать с нескольких доменов и может подвиснуть.
  3. filter-urls это ещё один скрипт, удаляющий адреса, которые не надо бэкапить. По сути это просто гора костылей:
     #!/bin/shset -euo pipefailcat /dev/stdin | sed -e "s/#.*//" | sed -e "s/&sid=.*$//" | sed -e "s/\/$//" | grep -v -e 4chan -e reddit

  4. Удаляются большие файлы, типа видео / аудио. У меня это обычно подкасты.


Довольно быстро я понял, что у такого решения полно недостатков. Его надо не забывать запускать, оно пишет единственный архив (так что его нельзя поставить в cron, иначе повторяющиеся страницы съедят кучу места на жёстком диске), оно может подвиснуть, страницы могут умереть после посещения, но до сохранения, файлы в 4+ мегабайта могут оказаться полезными PDFками и прочая и прочая. Что особенно важно, я хочу бэкапиться как локально, так и удалённо.

Так что я сел писать archiver, который бы постоянно крутился в фоне и собирал адреса, бэкапил бы в Internet Archive и вёл себя более разумно с большими медиафайлами.

Я добавил туда ещё пару фич: во-первых, он принимает в качестве третьего аргумента произвольную sh-команду, которой будет отдана ссылка. Это полезно, если вам хочется что-нибудь делать со всеми сохранёнными страницами (например, вести логи).

Во-вторых, все страницы криптографически датируются и помечаются, так что если возникнут подозрения в том, что я сфальсифицировал что-то в своём архиве можно будет подтвердить, что он не поменялся с момента создания. Система подробно расписана в приложении, но смысл в том, что специальный сервис посылает копеечную транзакцию на адрес Bitcoin, производный от хэша документа, и при необходимости всегда можно найти в блокчейне доказательство, что в такую-то дату действительно существовала страница с таким-то хэшом.

Расход ресурсов


Кажется, что такой локальный бэкап будет пожирать огромные ресурсы, но на самом деле за год набирается 30-50 Гб. Меньше, если настроить игнорирование страниц более жёстко, больше, если сохранять сайты целиком (а не только посещённые страницы). В долгосрочной перспективе всё это вполне жизнеспособно: с 2003 по 2011 средняя страница увеличилась в 7 раз (что неприятно), но цена хранения за тот же период упала в целых 128 раз. По состоянию на 2011 год, за 80 долларов можно купить минимум пару терабайт, так что гигабайт места на жёстком диске стоит около 4 центов. Получается, что весь бэкап стоит один-два доллара в год. На самом деле больше, потому что всё это надо хранить в нескольких копиях, но всё равно копейки. К тому же нам тут повезло: большая часть документов изначально цифровая и может быть автоматически перенесена с диска на диск или конвертирована в другой формат. Обратная совместимость в браузерах неплохо работает даже с документами из начала девяностых, и даже если что-то не откроется сразу, об этой проблеме можно будет думать, когда и если она действительно возникнет. Разумеется, если нужные данные зашиты в анимацию Adobe Flash или динамически подтягиваются из облака то они пропали, но это всё ещё куда меньшая боль, чем если бы мы пытались сохранять программы и библиотеки (что потребовало бы полного стека двоично совместимых виртуалок или интерпретаторов).

Размер можно и уменьшить: tar-архив, пожатый 7-zip на максимальных настройках, примерно впятеро меньше исходника. Ещё процентов 10 можно убрать, найдя идентичные файлы через fdupes и подменив их на хардлинки (на веб-страницах полно абсолютно идентичного джаваскрипта). Хорошая фильтрация тоже не помешает. Например, за период с 2014-02-25 по 2017-04-22, я посетил 2,370,111 URL (в среднем 2055 в день); после фильтрации осталось 171,446 URL'ов, из которых всего 39,523 уникальных (34 в день, 12,520 в год).

По состоянию на 2017-04-22 архивы за 6 лет весят всего 55 Гб за счёт компрессии, агрессивной фильтрации, удаления больших доменов, которые и так бэкапит Internet Archive, и прочих ручных оптимизаций.

Источники URL


Список страниц, которые надо сохранить, заполняется из нескольких источников. Во-первых, есть скрипт под названием firefox-urls:
firefox-urls.sh 
#!/bin/shset -euo pipefailcp --force `find ~/.mozilla/firefox/ -name "places.sqlite"|sort|head -1` ~/sqlite3 -batch places.sqlite "SELECT url FROM moz_places, moz_historyvisits \                       WHERE moz_places.id = moz_historyvisits.place_id and \                       visit_date > strftime('%s','now','-1 day')*1000000 ORDER by \                       visit_date;" | filter-urlsrm ~/places.sqlite



(filter-urls тот же самый, что и в local-archiver. Если я не хочу сохранять страницу локально, то я и в удалённый архив её не стану отправлять. Более того, у WebCite есть ограничение на число запросов, так что archiver еле справляется с нагрузкой и не надо грузить его ещё и пустой болтовнёй на форчане).

Этот скрипт запускается раз в час по крону:
@hourly firefox-urls >> ~/.urls.txt


Посещённые с последнего запуска адреса оказываются в файле и archiver их увидит при следующем запуске, так что всё, что я читаю, сохраняется навечно. Если у вас Chromium, то существуют аналогичные скрипты от Zachary Vance для извлечения истории и закладок.

Второй и, пожалуй, более полезный источник парсер Markdown. Все ссылки аналогичным образом выдираются из моих документов (link-extractor.hs), отправляются в файл списка, и рано или поздно они отправляются в архивы.

Наконец, иногда я скачиваю полный дамп всего сайта. В принципе я мог бы прокликать все страницы вручную и положиться на мои скрипты, но это не очень удобно. linkchecker по определению проверяет ссылки, так что неудивительно, что он может вернуть список всех URL на сайте и даже построить карту. Правда, среди многочисленных форматов, которые он умеет возвращать, нет простого списка адресов по одному на строчку, так что выхлоп нужно дорабатывать напильником (обратите внимание, что сильно перелинкованные сайты типа википедии лучше так не обходить):

linkchecker --check-extern -odot --complete -v --ignore-url=^mailto --no-warnings http://www.longbets.org | fgrep http | fgrep -v -e "label=" -e "->" -e '" [' -e '" ]' -e "/ " | sed -e "s/href=\"//" -e "s/\",//" -e "s/ //" | filter-urls | sort --unique >> ~/.urls.txt


Что я в итоге делаю с битыми ссылками:



Благодаря связке linkchecker и archiver, на Gwern.net почти нет битых ссылок. Когда они обнаруживаются, у меня уже подготовлено множество запасных вариантов:

  1. Найти работающую версию страницы
  2. Подставить копию из Internet Archive
  3. Подставить копию из WebCite
  4. Подставить копию из WikiWix
  5. Использовать локальный дамп.


Если страница сохранена вместе со всеми необходимыми файлами (wget --convert-links --page-requisites), её можно превратить в пригодный для распространения PDF. Это удобнее, чем полная папка HTML, картинок и CSS, потому что один файл это один файл, его проще передавать и на него проще ссылаться. Лично я пользуюсь wkhtmltopdf, и меня устраивает. Например, мёртвая страница http://www.aeiveos.com/~bradbury/MatrioshkaBrains/MatrioshkaBrainsPaper.html превратилась во вполне читаемый файл.
Подробнее..
Категории: It-инфраструктура , Веб-дизайн , Восстановление данных , Блог компании timeweb , Архив интернета , Бэкапы , Архивирование данных

Что нужно для самовосстановления удаленных рабочих мест?

25.03.2021 14:07:14 | Автор: admin
How close is the reality of self-repairing endpoints?How close is the reality of self-repairing endpoints?

По мере того, как рабочие места во всех странах планомерно переехали из офисов в домашние сети, проблема простоев и восстановления после сбоев стала намного более острой. В этом посте мы поговорим о том, какие технологии позволяют обеспечить возможность самовосстановления рабочего места, а также о преимуществах интегрированных решений для конечных точек.

Хотим мы этого или нет, но мир постепенно двигается к действительно распределенным инфраструктурам. Если до 2020 года речь шла о мобильных устройствах и BYOD, то с началом пандемии лидерами по подключению к корпоративным сетям стали домашние компьютеры.

В одном из прошлых постов (ссылка) мы говорили о результатах исследования Acronis Cyber Readiness Report. Отчет показал, что более трети всех компаний в мире столкнулись с проблемой подключения и управления новыми устройствами. И проблема обеспечения надежной защиты данных на этих часто вообще никак не сконфигурированных для рабочих процессов компьютеров, является не единственной. Оказалось, что обеспечить постоянную доступность удаленного рабочего места тоже непросто особенно с учетом явного смещения фокуса внимания киберпреступности на удаленных работников.

По данным исследования Acronis Cyber Threats 2020 (ссылка), За прошлый год 31% компаний были атакованы каждый день, причем версии вредоносного ПО постоянно обновлялись среднее время жизни одного экземпляра не превышало 4 дня. Подобное положение дел создает реальный риск взлома хотя бы одной системы из корпоративного периметра (который давно уже не периметр, а решето). При этом аналитики из Aberdeen сообщают, что стоимость простоя рабочих мест на протяжении часа даже для СМБ может составлять до $8,600 в час. В случае с крупным бизнесом все еще хуже при неудачном стечении обстоятельств, простой может обойтись в сотни тысяч долларов в час по мнению аналитиков Gartner.

Что с этим делать, если рабочие места теперь физически разбросаны по миру? В идеале хотелось бы, чтобы компьютеры могли самостоятельно привести себя в порядок. Для этого нужно, чтобы на конечном устройстве уже было установлено ПО, которое способно отразить атаку, восстановиться и не допустить повторения инцидента. Может показаться, что все это из разряда фантастики, но на самом деле уже сегодня подобные модели киберзащиты реализованы на практике.

Интеграция компонентов играет ключевую роль

Сама идея автономной киберзащиты с возможностью самовосстановления включает в себя интеграцию компонентов систем безопасности, в том числе использующих искусственный интеллект. Например, корпоративные системы кибербезопасности могут работать вместе со средствами защиты конечных точек. Что интересно, при этом каждый из защитных компонентов помогает повысить эффективность другого.

Самый простой пример интеграция между системой резервного копирования и средствами киберзащиты на базе ИИ. Если в компании регулярно создаются резервные копии, значит искусственному интеллекту можно предложить огромное количество примеров рабочего места или сервера, который находится в нормальном состоянии. Применив к этому набору данных методику машинного обучения, мы можем повысить эффективность обнаружения вредоносной активности, а также лучше распознавать многократно проверенные процессы то есть снизить уровень ложных срабатываний. Такой подход помогает сэкономить время специалистов и сократить время простоя систем.

С другой стороны, восстановление рабочего места из резервной копии в ручном режиме это достаточно затратная по времени задача. Более того, иногда сотрудники, находящиеся в удаленном режиме работы, не могут сделать это самостоятельно, и тогда приходится говорить о дополнительном времени простоя, подключении ИТ-специалистов и так далее.

Но в случае отлаженной интеграции между системой резервного копирования и противодействия вредоносной активности помогает ускорить и упростить этот процесс. Например, после атаки на рабочее место можно автоматически распознать поврежденные файлы и запустить их фоновое восстановление. Также полезно оказывается сканировать уже созданные резервные копии на предмет наличия вредоносных файлов, чтобы не получить сюрприз после восстановления. Учитывая, что скорость генерации новых версий вредоносного ПО растет в геометрической прогрессии, такая проверка может выявить недавно полученные заражения.

Патчи и самовосстановление

Однако восстановление это еще не все. Например, корпоративные пользователи решений Acronis много раз жаловались на то, что восстановить рабочее место в зараженном окружении оказывается невозможно. При попытке удаленно развернуть полнодисковый образ ОС, они почти сразу получали зараженную машину, потому что вирус, червь или троян использовал незакрытую в этом образе уязвимость.

Поэтому, если мы говорим о реальной устойчивости систем к атакам, к потребностям восстановления хочется добавить еще один аспект установку патчей. Это позволяет дополнительно снизить потенциальное время простоя, исключая возможность повторной атаки через те же самые бреши. Сейчас в большинстве случаев этим занимается ИТ-департамент. И существует целый ряд причин, по которым патчинг происходит нерегулярно. Однако при интеграции в общий контур киберзащиты системы патч-менеджмента мы можем автоматизировать этот процесс.

В общем-то именно это стало причиной нашего стремления встроить систему патч-менеджмента в единый контур киберзащиты. На практике все это работает очень просто в случае обнаружения атаки соответствующий модуль проверяет, не появилось ли обновлений безопасности для определенной ОС или ПО, а далее автоматически загружает и устанавливает их.

Как это будет работать на практике?

На самом деле постепенное внедрение комплексных средств киберзащиты приводит к тому, что такой подход уже работает. В числе результатов минимизация простоев, более надежная защита корпоративных данных и, что немаловажно, освобождение ресурсов ИТ-персонала. Ведь если у клиента система сама обнаружила атаку, сама нашла патч и сама восстановилась, тикет в службу поддержки вообще не заводится, а сотрудник просто продолжает работать, когда все действия модулей защиты будут завершены. Если же атака не повлияла на работоспособность системы в целом, то процессы восстановления вообще могут проходить в фоновом режиме.

Расскажите, доводилось ли вам сталкиваться на практике со сложностью восстановления рабочих мест удаленных сотрудников? Есть ли у вас мысли по организации самовосстановления эндпоинтов или, быть может, в вашей компании уже используется такая практика? Поделитесь своими мыслями в комментариях.

Подробнее..
Категории: Резервное копирование , Распределенные системы , Антивирусная защита , Блог компании acronis , Восстановление данных , Endpoint protection , Endpoints , Endpoint backup , Endpoint management

Файловая система BtrFS. Как восстановить данные с BtrFS RAID

05.04.2021 00:18:36 | Автор: admin
В нашей статье вы узнаете, как восстановить данные с программного btrfs RAID ОС Linux. Как его создать, заменить нерабочий диск и восстановить утерянную информацию с поврежденного массива.

image



Обычно для создания RAID массива в ОС Linux используют mdadm и lvm, подробнее об этих системах можно посмотреть в одном из наших видео уроков.



Помимо этих инструментов, о которых рассказано в видео, еще встроенная поддержка RAID есть в файловой системе Btrfs. Она обходится собственными средствами для построения и работы с дисковыми массивами, далее давайте более детально рассмотрим все ее возможности.

Файловая система btrfs


Btrfs это новая файловая система с поддержкой функции копирования при записи (Copy on Write) со встроенной поддержкой RAID. Суть этой замечательной функции состоит в отсутствии перезаписи старых данных при копировании. Это огромный плюс, она значительно упрощает восстановление удаленных файлов после сбоев. Так как любой сбой или ошибка в процессе переписывания никак не повлияют на предыдущее состояние файлов.

ФС хранит метаданные отдельно от данных файловой системы, и вы можете одновременно использовать разные уровни RAID для этой информации, это главное ее преимущество. Также целью этой журналируемой системы, является обеспечение более эффективного управления хранилищем и увеличенной безопасностью целостности данных в ОС Linux.

Перед началом использования btrfs, нам понадобиться доустановить необходимые инструменты управления ФС, выполнив следующую команду:

sudo apt install btrfs-tools

image

Создание точки монтирования


И прежде чем собрать RAID необходимо создать каталог точки монтирования.

Создаем каталог:

Sudo mkdir v /data

Где data это его название.

image

Теперь приступаем к созданию массива.

Как создать RAID5


Создавая массив, не нужно в обязательном порядке размечать носители на разделы, ФС не требует этого. Объединять накопители в массив, можно как целые, так и отдельные разделы, даже объединять носители с имеющимися разделами. Для примера я покажу как создать RAID5 из пяти накопителей.

Чтобы постоянно не вводить пароль root выполните команду sudo -i, после чего все команды будут выполняться от администратора.

image

Для построения массива введите в терминале такую команду:

sudo mkfs.btrfs -L data -m raid5 -d raid5 -f /dev/sdb /dev/sdc /dev/sdd /dev/sde /dev/sdf

где: L метка или имя файловой системы,

Параметр:

  • d устанавливаем тип RAID5 для данных.
  • m устанавливаем тип RAID5 для метаданных.
  • f служит для принудительного создания btrfs, даже если какой-либо из накопителей отформатирован в другой ФС.


image

Теперь, можно монтировать, используя любой из накопителей который входит в состав.

Как смонтировать RAID диск


Я использовал 5 накопителей для создания RAID: sdb, sdc, sdd, sde и sdf. Поэтому я могу смонтировать данные ФС в каталоге data с помощью диска sdb. Открываем управление дисками и монтируем наш носитель, после чего он станет доступным.

image

Или же можно смонтировать диск через терминал.

sudo mount /dev/sdb1 /data

Чтобы проверить введите sudo df -h

Как видите, наш массив смонтирован в каталог /data

image

А чтобы посмотреть информацию о занятом и свободном пространстве массива, вводим:

sudo btrfs filesystem usage /data

image

А для размонтирования массива достаточно ввести:

sudo umount /data

image

Как заменить или добавить накопитель
Для замены накопителя нужно в терминале ввести btrfs replace. Она запускается асинхронно, то есть выполняется постепенно:

  • start для запуска,
  • cancel для остановки,
  • status а для просмотра состояния.

Прежде нужно определить номер поврежденного накопителя:

sudo btrfs filesystem show

image

Затем заменить его на новый:

btrfs replace start <удаляемое устройство или его ID> <добавляемое устройство> <путь, куда смонтирована btrfs>

В моем случае вводим:

btrfs replace start 3 /dev/sdg

где: 3 это номер отсутствующего диска, а sdg код нового накопителя.

image

Как восстановить поврежденный том


Для восстановления Btrfs массива, нужно использовать встроенную опцию монтирования recovery:

sudo mount -o recovery /dev/sdb /mnt

image

Далее начнется процесс восстановления.

Восстанавливаем данные с btrfs RAID5


Даже самая надежная и отказоустойчивая система мажет выйти из строя. Сбой системы, выход из строя накопителя, аппаратной части, повреждение метаданных, случайное удаление, неправильная настройка все это может повлечь за собой поломку RAID и утерю важных данных. Если вы столкнулись с этим воспользуйтесь программой Hetman RAID Recovery. Она способна восстановить любую информацию с нерабочих массивов или носителей, которые входили в массив. Утилита воссоздаст разрушенный RAID, пошагово вычитывая всю известную информацию, далее вы сможете скопировать все найденные данные.

Подключите носители к ПК с установленной Windows, воспользуйтесь виртуальной машиной, или установите ее второй системой.

Программа автоматически просканирует дисковое пространство, и отобразит всю возможную информацию о массиве.

image

Как видите, в нашем случае с btrfs RAID, программа не собирает носители в массив, это связано со спецификой его построения, при этом вся информация хранится в соответствии с типом RAID.

Для начала процесса восстановления откройте менеджер дисков, кликните правой кнопкой мыши по любому из дисков из которых состоял массив и запустите Быстрое сканирование.

image

При сканировании любого из дисков результат будет идентичным, так как они все являются частью одного массива.

По завершении анализа программа отобразит найденные файлы, здесь доступен их пред.просмотр, с помощью которого легче найти нужные изображения или видео.

image

Отметьте файлы, которые нужно вернуть и нажмите Восстановить, укажите путь куда их сохранить и еще раз Восстановить. По завершении все файлы будут лежать в указанной папке.

image

Если в результате быстрого сканирования программе не удалось найти нужных файлов выполните Полный анализ. Данный тип анализа займет больше времени, но при этом найдет всю информацию, которая осталась на диске, даже ту которая была давно удалена с диска.

image

Так как это пятый RAID вся информация остается целой при отсутствии одного накопителя, но, если вышли из строя 2 диска часть информации будет повреждена.

image

Особенности файловой системы btrfs



Btrfs поддерживает сжатие данных. То есть, вся имеющаяся информация на носителях будет автоматически сжиматься. А при обращении к данным, каждый конкретный файл будет автоматически распакован.

Эта функция позволяет значительно экономить пространство на накопителях, а также время на поиски стороннего ПО для сжатия данных. ФС поддерживает 3 основных метода сжатия файлов это zlib, lzo и zstd. Их основное отличие заключается в степени, а также скорости сжатия.

Наша программа поддерживает восстановление сжатых файлов любым из этих трех методов. В интерфейсе программы сжатые тома и файлы отображаются следующим образом, как видите они подсвечены другим цветом.

image

Еще одним из главных преимуществ является создание подтомов (subvolum-ов). Простыми словами на одном накопителе можно создать к примеру 3 разных диска (subvolum-а). Эти подтома способны расширяться самостоятельно, за счет свободного пространства другого тома. Такая возможность при необходимости позволяет расширить один диск за счет другого без сжатия и переноса данных. Эти подтома отображаются в программе следующим образом, это диски внутри основного накопителя.

image

Таким же образом в программе отображены и папки со snap-shot-ами.

Для создания подтомов используйте команду:

btrfs subvolume create /mnt/btrfs/my-subvolume

image

А для просмотра списка подтомов на этом накопителе выполните:

btrfs subvolume list /mnt/btrfs

image

Для монтирования подтома:

mount -o subvol=my-subvolume /dev/sdd2 /mnt/btrfs2

где sdb1 это код диска.

image

Заключение


Существует небольшое количество инструментов для восстановления данных, которые умеют читать btrfs RAID. При выборе стоит учитывать, что в процессе работы информация может затереться, обратите внимание на наличие функции создания образа массива и сканирования с образа. И все же лучшим решением уберечь себя от потери важных данных будет их регулярное резервное копирование.

Полную версию статьи со всеми дополнительными видео уроками смотрите в источнике. Если у вас остались вопросы, задавайте их в комментариях. А также зайдите на наш Youtube канал, там собраны более 400 обучающих видео.
Подробнее..
Категории: Linux , Восстановление данных , Btrfs , Блог компании hetman software , Raid5

Восстанавливаем RAID 5, 1 или 0 при поломке одного или нескольких дисков

15.03.2021 12:08:42 | Автор: admin
В нашей пошаговом руководстве, я расскажу о нескольких методах восстановления информации с программных RAID 5, 0 или 1, которые собраны под Linux.

image



Если один или несколько физических накопителей повреждены, то кажется что восстановить данные просто невозможно. На самом деле это не так, объем информации, который можно достать из массива, сильно зависит от типа RAID и количества сломанных носителей.



Программный RAID крайне ненадежная штука, отключите всего один накопитель и весь массив перестанет определяться системой. Массив с поломанным носителем, можно пересобрать при помощи специальных программ, в наших тестах я буду использовать Hetman RAID Recovery. После запуска, она автоматически определит тип контроллера, название программы или производителя материнской платы, на основе технологий которых был собран RAID. Потом утилита соберет его из оставшихся живых накопителей, просканирует и найдет всю оставшуюся информацию, которую можно будет сохранить в другое место.

Установочный файл программы есть только под ОС Windows. Чтобы запустить ее под Linux понадобиться, либо установить дополнительную систему на компьютер, либо воспользоваться виртуальной машиной под Windows. В нашем случае, я выбрал второй вариант.

image

Восстанавливаем файлы с RAID-1



Тестовый массив первого типа состоит из двух одинаковых накопителей. Этот тип очень надежен сам по себе, так как может состоять из четного количества физических дисков, которые работают как полное зеркало. Если поврежден только один носитель, то все устройство невозможно смонтировать в Linux.

image

Запускаем программу, она нашла и пересобрала устройство, все параметры указаны верно.

image

Так как, живой диск содержит полноценную копию всей информации, то запускаем быстрый анализ, отмечаем нужные нам файлы и каталоги, сохраняем на любой другой диск.

image

Восстанавливаем данные с RAID 5



image

Тип RAID-5 это избыточный массив накопителей с чередованием, без определенного диска четности. Главная особенность этого типа, в том что массив гарантировано будет работать даже при поломке одного диска. Но, при попытке смонтировать его в Linux ничего не вышло. Чтобы исправить ситуацию, необходимо подключить чистый винчестер на место сломанного, или пересобрать с помощью ПО.

Тестовый RAID 5 состоит из 5 физических дисков, один из них гарантированно сломан. Добавляем их в виртуальную машину с Windows, запускаем Hetman RAID Recovery, массив обнаружен и все настройки и свойства указаны верно.

image

Как и положено один накопитель пустой. Так как это RAID 5, то снова запускаем быстрый анализ, находим нужные данные с помощью функции превью и восстанавливаем их. Когда процесс сохранения закончится, все файлы будут находится в выбранном каталоге.

image

Теперь рассмотрим вариант когда повреждены два физических новсителя из пяти. Программа обнаружила RAID, и два винчестера пустые.

image

Восстановить данные с такого массива, задача непростая, запускаем полное сканирование, в зависимости от размеров винчестеров оно может длиться вплоть до суток. В итоге, программа нашла нетронутые данные, но несколько файлов частично или полностью стерты, их не получиться восстановить.

image

Если повреждены два или более физических носителя, RAID 5 становиться полностью неработоспособным, что сулить 100% потерю всех данных. Поэтому наш результат можно считать удовлетворительным.

Как восстановить данные RAID-0


Наш тестовый RAID 0 включает 5 жестких дисков, этот тип один из самых ненадежных. Фактически, это вообще не RAID, так как он не хранит избыточную информацию о хранящихся файлах. Если выйдет из строя хоть один винчестер, то все устройство целиком нельзя монтировать в ОС. Все данные становятся недоступны.

Тип RAID-0 это массив физических носителей с чередованием. Он показывает хорошую производительность благодаря высокой скорости чтения/записи, но отказ оборудования для него будет критическим. Посмотрим, сможем ли мы восстановить хоть часть потерянных данных.

image

Добавляем диски в виртуальную машину и запускаем утилиту. Hetman Partition Recovery со скрежетом смогла правильно определить тип и свойства массива, один диск отображается пустым.

image

Быстрое сканирование бессмысленно, сразу запускаем глубокий анализ. Все живые файлы удалось обнаружить и просмотреть превью, но также много поврежденных данных. Выбираем файлы с помощью превью и кликаем Восстановить.

image

Вывод
Как показали тесты, количество восстанавливаемой информации напрямую зависит от типа массива. Данные с RAID 5 или 1 можно восстановить практически в полном объеме, благодаря зеркалам или избыточности информации. Даже при поломке нескольких жестких дисков, шансы вернуть большую часть нужных файлов достаточно высока.

Выход из строя хоть одного носителя, для RAID 0 становиться критическим. В большинстве случаев вы сможете восстановить только малую часть хранящихся данных. Что касается программы, то она смогла в автоматическом режиме распознать подключенные диски и правильно определить тип массива, что дало возможность уже восстанавливать файлы.

Полную версию статьи со всеми дополнительными видео уроками смотрите в источнике.
Подробнее..
Категории: Настройка linux , Восстановление данных , Массив , Блог компании hetman software , Raid1 , Raid5 , Raid0 , Диск

Как восстановить данные с ApFS сравним самые распространенные программы

17.03.2021 22:16:55 | Автор: admin
В этой статье мы проведем сравнительные тесты самых распространенных программ для восстановления данных с файловой системы ApFS под OS Catalina.

image



ApFS (расшифровывается как Apple File System) это файловая система, разработанная Apple для новых iOS, macOS, tvOS и watchOS, и не является надстройкой или дополнением к HFS+. Компоненты HFS+: журнал, файл распределения, файл каталога, файл переполнения экстентов, файл атрибутов удалены из ApFS полностью. Это переработанная ФС, она используют другую структуру и новую политику защиты данных.

По заверениям разработчиков, она максимально оптимизирована под SSD и Flash-накопители. А также, получила несколько приятных функций: новые алгоритмы шифрования, защита от сбоев, умное использование дискового пространства и функцию клонирования информации. Все это обеспечивает повышенную скорость чтения/записи информации, стабильность работы операционной системы и защиту пользовательских данных. На практике, дополнительная защита появилась, но ее недостаточно.

Алгоритм восстановления.


Фишка ApFS это новый алгоритм чтения/записи, каждый единичный блок данных копируется перед сохранением на диск или подтверждением изменений файла. То есть, файловая система хранит в себе историю изменений всех файлов, а это позволяет найти большое количество структурных блоков данных файла, его кусочков.

Минимальный размер блока данных, которые обрабатывает ApFS таким образом 4096 байт. При обнаружении, они вычитываются, находятся метаданные, а потом их используют для извлечения самих файлов.



Поддерживают ApFS операционные системы Apple начиная с версии High Sierra или более новые. Если установлена Windows, то для доступа к ФС потребуется дополнительное ПО. Утилиты для восстановления данных с ApFS изначально распознают эту файловую систему, поэтому дополнительно устанавливать ничего не нужно.

Приступаем к тестам.


На ПК с OS Catalina, были созданы несколько контейнеров с разделами, потом прогнали программами для восстановления и собрали результаты, которые представлены ниже.

Для проведения тестов были выбраны самые распространенные программы:



Но Disk Drill и Recuva были исключены из тестов, так как у них отсутствует поддержка ApFS в принципе. Если от утилиты Recuva это ожидаемо, то Disk Drill неприятно удивили, так как она является стандартом восстановления данных с Mac устройств. На тестовый накопитель были залиты фото и видео файлы, а затем часть из них были удалены

image

Все тесты проводились на ПК с ОС Windows 10.

Тест Hetman Partition Recovery


Утилита сразу правильно определила накопитель с ApFS. После стандартного удаления файлов достаточно будет провести быстрое сканирование, которое не займет много времени, а результат появится очень быстро.

image

Программа нашла как существующие, так и удаленные файлы с красным крестом на иконках. Можно просмотреть превью всех файлов, структура каталогов полностью сохранена, нужно лишь выбрать файлы и кликнуть на кнопку Восстановить.

image

Тест R-studio


R-studio тоже распознала тестовый диск, проводим быстрое сканирование раздела, и программа не смогла отобразить удаленные файлы.

image

Приходится проводить полный анализ, он занимает значительно больше времени, но результат хороший. R-studio обнаружила все нужные файлы и сохранила структуру каталогов, также доступно превью удаленных данных.

image

Тест Easeus


Утилита от Easeus также корректно определила тестовый накопитель, но правильно отображается только объем, тип файловой системы и название диска не отображается в приложении. Быстрого сканирование в этой программе не предусмотрено, следовательно запускаем полный scan.

image

В результатах, структура диска и имена файлов не сохранены, файлы рассортированы по каталогам согласно типам. Удаленные данные никак не помечены. Пришлось определять это вручную, пересчитывая файлы в каталогах.

image

В остальном, есть возможность просмотреть превью всех файлов, так что их можно восстановить без проблем.

Как видно из тестов, все программы прекрасно справились с поставленной задачей, есть небольшие неудобства, связанные с именами файлов и структурой каталогов.

Удален Суперблок контейнера


Теперь усложним задачу. мы специально затрем суперблок контейнера на тестовом накопителе, который расположен в первых двух секторах. Затираем данные скперблока с помощью HEX-редактора и пробуем восстановить данные.

image

Hetman Partition Recovery


Программа от Hetman сразу обнаружила носитель, правильно указала объем, но файловая система не распознана.

image

Теперь быстрым сканированием ничего не найти, проводим полный анализ, он занимает гораздо больше времени. В итоге, утилита распознает файловую систему и название диска.

image

Partition Recovery сохранила структуру диска и имена файлов, но пометила все данные как удаленные. Программа может показать превью файлов, то есть она справилась со вторым тестом, хотя и за более длительное время.

image

Испытание R-studio


Утилита R-studio корректно отобразила объем диска, но файловая система не определена.

image

Запускаем полное сканирование, программа нашла ApFS, структура каталогов, названия файлов сохранены, то есть программа также хорошо прошла второе испытание.

image

Испытание Easeus


Easeus правильно нашла объем, но файловая система не определена.

image

Запускаем сканирование, программа выдала такой же результат что и в первом тесте. Вся информация найдена, доступно превью для каждого файла, структура не сохранилась. Утилита Easeus также прекрасно справилась с заданием.

image

Таким образом, все три программы показали те же успешные результаты.

Удалены тома, информация о внутренних дисках APFS.


Теперь настало время настоящего серьезного испытания. В добавок к суперблоку будет стерта информация и о внутренних разделах volum-ы (тома).

Тест Hetman Partition Recovery


Объем диска обнаружен корректно, название и файловая система не отображаются.

image

Запускаем полный анализ, результаты как и в предыдущем тесте: для всех файлов доступно превью, следовательно их можно восстановить. Программа прекрасно справилась с заданием.

image

Проверка R-studio


R-studio также правильно распознала диск, файловая система и название не обнаружены.

image

После полного сканирования, также доступно превью всех файлов в полном объеме, следовательно утилита так же хорошо справилась с заданием.

image

Проверка Easeus


Easeus также обнаружила носитель, правильно указала объем, без названия и ФС.

image

Проводим полный анализ, Easeus обнаружила всю информацию, функция превью также показывает каждый файл, следовательно, программа прошла тест. Единственное, чтобы удостовериться что все данные найдены, файлы приходится каждый раз пересчитывать.

image

Это испытание все программы прошил без нареканий.

Удалена карта контейнера


В этом задании, на тестовом диске дополнительно удалили карту контейнера, то есть на накопителе отсутствуют: суперблок, volum-ы, карты контейнера и карты volum-ов.

Тест Hetman Partition Recovery


Программа определила диск и объем, файловая система не распознана. После полного анализа, все файлы найдены, структура сохранена, доступно превью, то есть всю информацию можно восстановить.

image

Тест R-studio


Программа увидела диск, но файловая система не найдена. После полного анализа мастер сканирования не смог обнаружить файловую систему на диске. не удалось найти тестовый диск.

image

После удаления карты объектов контейнера и карты томов, программа просто не может найти информацию на диске. Утилита вывела сообщение об отсутствии файловой системы на носителе, и следовательно не справилась с заданием.

image

Тест Easeus


Утилита Easeus также обнаружила диск, файловая система не распознана. После полного анализа программа показала те же результаты что и в предыдущем тесте.

image

Easeus всегда использует поиск по сигнатурам, при большом объеме диска такой поиск всегда занимает много времени, теряется структура каталогов и имена файлов. Но все же, утилита справилась с поставленной задачей.

Полную версию статьи со всеми дополнительными видео уроками смотрите в источнике.
Подробнее..
Категории: Софт , Восстановление данных , Windows , Блог компании hetman software , Apfs

Сравнение известного ПО, способного восстанавливать данные с накопителей ReFS

20.03.2021 00:14:27 | Автор: admin
ReFS обладает повышенной безопасностью и эффективностью хранения данных по сравнению с другими ранними версиями файловых систем. Однако даже она не способна полностью защитить информацию от потенциальной утери. В случае утраты информации, пользователи могут вернуть данные специальным программным обеспечением. В статье мы провели сравнительный анализ известных программ для восстановления данных на дисках с файловой системой ReFS, сравнив все их возможности.

image



Предисловие


Файловая система ReFS (известная также как Protogon) последняя готовая версия системной службы от разработчиков Windows, получившая многие улучшения, повышающие ее общую работоспособность и отказоустойчивость.

Структурно для своей работы она использует B+-деревья. Главным элементов выступает Каталог, ключом к которому будет номер объекта, а листьями будут записи. Записи содержат сведения о каталоге, индексные сведения об элементах, структурное информационное описание, данные о файле и его фрагменты.

По уровню безопасности файловая система серьезно превышает предшествующие варианты. К сожалению, иногда в ней тоже нужно прибегнуть к операции восстановления файлов, утраченных по разным причинам. Далее мы сравним отдельные виды программного обеспечения для восстановления сторонних разработчиков и поделимся нашим опытом.



Выбор программ для анализа


На сегодняшний день новую системную службу ReFS способны определять и успешно взаимодействовать с ней только несколько популярных ПО. Поэтому в сравнении примут участие лишь некоторые образцы.

На исправный диск с системой ReFS мы поместим разные файлы. Затем часть доступных файлов удалим. Потом соединим наш носитель, на котором было выполнено удаление, к ПК под управлением ОС Windows 10 и выполним тестовый прогон.

image

Поиск файлов после удаления


RStudio


Запустим RStudio. Подключенный носитель ReFS обнаружен, идентифицирован и отображен. Быстрая проверка не позволила восстановить все файлы, а также не показывает содержимое возвращенных.

image

Вариант полного сканирования диска позволил обнаружить утраченные элементы и представил их в окне для дальнейших действий.

image

Программа смогла вернуть утраченные данные, но весь процесс был слишком длительным.

Hetman Partition Recovery


Программа сразу показала диск ReFS и верно определила его имя. Выполним быстрый поиск элементов.

image

Все удаленные файлы обнаружены и отмечены красным крестом. Они показаны вместе в оставшимися на диске. Общая структура накопителя и маркировка элементов сохранена. Просматриваем файлы, отмечаем и восстанавливаем.

image

UFS Explorer


UFS Explorer обнаружила диск, но пометила его как не действующий. Тип системы и имя не определены. Быстрая проверка разочаровала. Потрачено много времени, больше чем в RStudio, и ничего не найдено. Полная проверка также не восстановила искомых файлов.

image

Тест программа не прошла, данные не восстановлены. Поэтому в дальнейших опытах она участвовать больше не будет.

image

Easeus Data Recovery Wizard


Утилита показывает диск, но нет имени и типа системы. Быстрый вариант проверки также недоступен. Полный анализ восстановил не все удаленные файлы. Часть из них программа не нашла. Структура диска и имена объектов отсутствуют. Файлы разделены по папкам согласно своему расширению. Нет маркировки удаленных файлов.

image

Трудно найти восстановленные. Нужно проверить каждую папку, на что тратиться много сил и времени.

Теперь усложним задачу и создадим более сложные условия.

Потерян основной заголовок тома


RStudio


Накопитель обнаружен, но без имени и типа системы. В предыдущем тесте быстрый анализ не впечатлил. Поэтому запускаем сразу полное сканирование диска. В результате диск определен и верно показана файловая система.

image

Форма представления содержимого диска сохранена, удаленные файлы найдены, их можно восстановить и сохранить. Программа удачно завершила испытание.

image

Hetman Partition Recovery


Программа показывает тестовый диск, но нет его имени, а система определена в формате NTFS.

image

Полное сканирование диска помогло полностью восстановить удаленные файлы. Также по завершению анализа файловая система диска и его имя показаны правильно. Структурное представление содержимого тома сохранено, все файлы находятся в своем первичном местоположении.

image

Утилита Easeus


Диск показан в перечне дисков, но без имени и типа файловой системы.

image

После анализа программа повторила прежний результат. Файлы лежат в папках согласно своим расширениям, содержимое без названий и перемешано, структура отсутствует, место хранения поменяно, часть файлов не отображается.

image

Тест завершен, но результаты уступают другим образцам.

Утрачена доступная копия основного заголовка


RStudio


Файловая система диска не определяется, имя отсутствует. Однако после полного анализа накопителя его имя и тип системы указаны верно.

image

Структурированная подача содержимого сохранена, наименования всех объектов указаны правильно, файлы восстановлены, их можно запомнить на любой сторонний диск.

image

ПО Hetman Partition Recovery


Программа повторила предшествующий данному опыту результат. А именно диск при подключении был маркирован как NTFS. После анализа все файлы обнаружены, имя диска и его тип отмечены верно, форма и порядок подачи содержимого сохранены, имена правильные, место нахождения файлов установлено согласно первичному расположению. Нужно только отметить нужные файлы и сохранить.

image

Инструмент от Easeus


Как и в раннем тесте программа не показывает имя диска и его тип. По итоговому сканированию утилита нашла не все файлы, а часть из них даже не отображает, что соответственно делает доступ невозможным.

image

Восстановление не полное, у программы только третий результат.

Утрачен доступ к суперблокам в томе


ПО RStudio



Удаление всех суперблоков не повлияло на работу программы. Диск, как и прежде, не имеет имени, файловая система неизвестна. Завершив полное сканирование диска, программа показала недостающие сведения.

image

Можно отметить восстановленные файлы, ознакомиться с их наполнением и сохранить по желанию на любой диск.

image

Инструмент Hetman Partition Recovery


Также, как и ранее, инструмент от компании Hetman определяет формат диска и маркирует его меткой NTFS.

image

Произведя полное сканирование носителя, мы получили следующие результаты: все утраченные данные возвращены, структурная форма носителя сохранена, имя диска и его тип теперь записаны верно, все элементы под своим именем и на своих местах. Осталось только выбрать искомые файлы и сохранить.

Утилита от Easeus


В программе показывается только непосредственно накопитель и подается его емкость. Полный анализ носителя, как и ранее, восстанавливает не все файлы, и к тому же часть из них недоступны (содержимое не определено).

image

Как и прежде, утилита уступает двум другим программам.

Отсутствуют чекпоинты


Инструмент RStudio


Отсутствующие чекпоинты не позволили программе показать имя диска и помешали определить его файловую систему. Но как полное сканирование было выполнено, пропавшие сведения о накопители стали доступны.

Однако после перехода к содержимому диска оказалось, что данных нет. Носитель был пустой и содержал лишь несколько логов.

image

Последний тест оказался программе не под силу. При данном виде повреждений восстановить удаленные файлы программой RStudio не получится.

Hetman Partition Recovery


Запустив программу после стирания всех чекпоинтов мы наблюдали, что первоначальное имя диска не определено, сведения о системе не верные, хотя программа и находит диск среди подключенных устройств.

image

Полное сканирование оправдало наши ожидания. Все объекты были восстановлены, а сведения о диске отображались верно.

image

Формат представления, структурная форма, имена и расположение элементов соответствовали первоначальным значениям. Файлы были восстановлены и готовы к записи на любое устройство.

ПО Easeus


Итоговое значение тестовой проверки было аналогично предшествующим результатам. Имя диска и тип файловой системы не определены, структура накопителя и названия файлов потеряны. Маркировка существующих и удаленных файлов никак не различается.

image

Как и прежде, малая доля данных недоступна, структура расположения каталогов и файлов изменена. Перераспределение файлов при значительных емкостях современных накопителей серьезно усложнит конечный поиск и восстановление. Что не является облегчающим моментом.

Вывод


Завершив все виды тестов можно сделать простой вывод. Полностью справились с заданиями Hetman Partition Recovery и Easeus Data Recovery Wizard. Утилита RStudio не смогла пройти последний тест, поэтому она занимает третье место.

Полную версию статьи со всеми дополнительными видео уроками смотрите в источнике. Если у вас остались вопросы, задавайте их в комментариях.
Подробнее..
Категории: Восстановление данных , Файловая система , Жесткий диск , Топ , Блог компании hetman software , Refs

Файловая система HFS тестируем программы для восстановления данных

22.03.2021 00:17:09 | Автор: admin
Основным элементом управления дисковым пространством накопителей, обеспечивающим безопасное хранение данных, выступает файловая система. На устройствах компании Apple это HFS+, также известная как Mac OS Extended. Она является следующим улучшением предшествующей версии HFS.

image

Файловая система HFS+ (Mac OS Extented)


Совокупный ряд обновлений системы привел к повышению надежности файловой структуры. HFS+ использует узловой древовидный формат файловой основы совместно с обязательной записью сведений о произошедших изменениях. В выделенном месте на накопителе система располагает особую часть служебной информации, которая содержит данные обо всех элементах, расположенных на диске. А также важные сведения, необходимые для полноценной загрузки и функционирования HFS+.

image

Новый вариант построения системы осложняет операции восстановления данных, так как информация об объектах мгновенно обновляется при внесении каких-либо изменений (удалении, сбое, поломке и т.д.). И не каждое программное обеспечение, представленное сегодня на рынке, способно вернуть востребованные файлы. Поэтому далее мы рассмотрим несколько программ, которые умеют возвращать файлы с накопителей формата HFS+ и проведем их сравнительный анализ.


Список задействованных приложений


Перечень приложений, которые будут участвовать в тесте будет включать все известные марки программ. Основным требованием к приложениям было условие, что участники сравнения должны поддерживать процесс восстановления с дисков HFS+. К ним относятся такие продукты Hetman, R-Studio, Easeus, DiskDrill, UFS Explorer.

В ОС MacOS мы на носитель записали разные объекты, наиболее часто используемые пользователями, а именно снимки, видеоролики, офисные тексты. Потом некоторые из них мы стерли. Подключили диск к другому компьютеру, на котором уже были все испытуемые программы, и произвели проверку их возможностей. Полученные результаты мы представили далее.

image

Примечание. Recuva данную файловую систему не распознает, поэтому в тестах мы ее не задействовали.

Вариант простого удаления


С данным видом теста с тем или иным успехом успешно справились все перечисленные приложения. Более подробно итоговые результаты имеют следующий вид.

Приложение Hetman Partition Recovery в главном окне диск HFS+ определен верно и корректно указано его имя. После простого анализа (на выбор представлено 2 вида сканирования и мы выбрали самый быстрый) удаленные объекты были найдены, внутренний порядок полностью сохранен, названия файлов имеют исходные значения, содержимое отображается. Искомые файлы восстановлены.

image

Утилита RStudio носитель HFS+ успешно определен, указаны имя диска и тип используемой системы. Выполнив быстрый анализ, программа RStudio нашла стертые файлы, но отсутствовала одна папка (1Movie), часть элементов представлена в нескольких копиях, а некоторые файлы числились удаленными, хотя действий с ними мы не производили. Файлы восстановлены за исключением одного каталога.

image

Программа Easeus Data Recovery Wizard диск найден, верно определены тип системы HFS+ и имя носителя. В утилите присутствует только вариант полной проверки накопителя. По ее завершению все удаленные элементы обнаружены и восстановлены. Однако программа не выделяет какой-либо меткой восстановленные файлы. Часть элементов имеет копии. Придется тратит время и проверять весь массив данных, чтобы найти нужные файлы.

image

Утилита DiskDrill представляет в выделенном поле программы правильный объем носителя, но отмечает его тип как HFS с неизвестным именем. Выбор быстрого варианта исследования диска результатов не дал. В окне показаны только существующие файлы. После обширного сканирования содержимое носителя распределено по разным каталогам, согласно своему расширению. Восстановленные файлы не выделены, их общее количество неизвестно, внутреннее наполнение файлов не показывается.

image

Программа UFSExplorer имя носителя не указано, но система отмечена верно. Вариант простого сканирования отсутствует. Полный анализ восстановил удаленные файлы, отобразил верно организационное построение и маркировку объектов, обеспечил пред просмотр всего содержимого по выбору, кроме текстовых файлов (вызывает сомнение способность удачно восстановить документы).

image

Краткие предварительные оценки всех образцов после первого теста перечисленные образцы смогли возвратить удаленные объекты, продукты от Hetman и Easeus показали лучший результат в сравнении с оставшимися, которые имеют отдельные недочеты.

Поврежден, удален или отсутствует заголовок тома


Мы намерено усложнили задачу. Сперва стерли заголовок тома, а потом запустили тестовую проверку утилит.

Приложение Hetman информация о носителе отображена верно. Быстрый вариант сканирования нашел все удаленные файлы, правильно отобразил организационный порядок элементов на диске, подготовил объекты к восстановлению, при выборе показывает содержание файлов.

image

Утилита RStudio также все характеристики накопителя указаны верно. Однако, как и в первом тесте, RStudio не вернула папку 1Movie и представила несколько копий отдельных каталогов. Хотя все остальные файлы восстановила.

image

Программа Easeus корректно представила сведения о диске в полном объеме. Итог сканирования полностью повторяет результаты из прошедшего теста. Все файлы возвращены, однако нет разделения и некоторая доля файлов представлена вместе со своими копиями.

image

DiskDrill как и ранее, ограниченные сведения о носителе. А после сканирования, широкий разброс файлов по разным папкам, формат представления нарушен, ознакомиться с содержимым многих документов невозможно. Слабые результаты вынуждают нас отказаться от дальнейшего теста данной утилиты.

image

UFSExplorer неполный набор данных о диске, отсутствует имя носителя. Также, как и ранее, восстановил все файлы, вернул правильную дисковую структуру, но возникли проблемы с отображением текстов.

image

Дополнительно стерта копия заголовка в метаданных HFS+


С новым вызовом программы справились следующим образом.

Приложение Hetman урезана информация о носителе, не определен тип, нет имени. Задействуем полный вариант сканирования. Несмотря на недостаток метаданных, итоговое построение носителя правильно, файлы восстановлены и отображаются при обращении.

image

Программа RStudio частично отображает сведения о диске, нет его названия, не определен тип. После анализа сведения представлены в полном объеме. Но восстановлены, как и прежде, не все файлы. Нет отдельного каталога с видео 1Movie и дополнительно отсутствует директория с файлом doc.

image

Утилита Easeus тоже не полные сведения о диске, неизвестны имя и тип системы. Но после сканирования программе удалось восстановить удаленные файлы, однако, как и в прошлых испытаниях, возникли дополнительные копии некоторого содержимого.

image

UFSExplorer диск неизвестен, нет никаких сведений. После дискового анализа программа нашла удаленные элементы, хоть и не способна представить содержимое текстовых документов.

image

Потеря части метаданных
В заключительной тестовой проверке приложений для восстановления мы сымитируем критические повреждения файловой системы носителя, а именно сначала удалим древовидные узлы верхнего уровня, а потом вдобавок сотрем еще и узлы второго уровня Index Node. И в первом, и во втором тесте каждая из программ показала схожий результат.

Программа Hetman диск показан, но сведения о нем отсутствуют. После полного сканирования накопитель идентифицирован, внутренняя структурная форма представления содержимого восстановлена, все файлы возвращены, отображаются при нажатии и готовы для сохранения.

image

RStudio диск неизвестен, но после сканирования все сведения представлены. Приложение успешно восстановило удаленные элементы кроме, ситуация повторилась, содержимого директорий 1Movie и doc. Остальные файлы просматриваются при обращении, внутренняя форма накопителя возвращена к исходному состоянию.

image

Easeus накопитель найден, но данных о нем нет. Программный анализ также полностью восстановил утраченные элементы, их можно при необходимости просмотреть, но все равно присутствуют дополнительные лишние копии отдельных объектов.

image

UFSExplorer вид носителя не определен, параметры его неизвестны. После сканирования структурная композиция содержимого принимает первичный вид, файлы восстановлены, их можно сохранить, только все равно нет отображения содержимого некоторых текстов.

Вывод


Четыре из пяти программ успешно справились с проверкой возможностей. Каждая, в большей или меньшей степени, смогла восстановить удаленные файлы. Были отдельные моменты при выводе некоторых элементов для ознакомления, но, в целом, тест основной четверкой приложений пройден, за исключением DiskDrill.

Полную версию статьи со всеми дополнительными видео уроками смотрите в источнике.
Подробнее..
Категории: Восстановление данных , Топ , Блог компании hetman software , Диск , Hfs+

RAID 5 с LVM под Linux и как с него восстанавливать информацию

23.03.2021 00:21:32 | Автор: admin
В данном руководстве мы рассмотрим способ создания в ОС Linux программного LVM RAID. А также представим простое решение, позволяющее вернуть утраченную информации с LV RAID 5 после случайного удаления или непредвиденной неисправности накопителей.

image



LVM (означает Менеджер логических томов) это функция ОС Linux, благодаря которой можно объединить несколько разделов одного или нескольких накопителей в единый непрерывный логический раздел (том). А LVM RAID это отдельный метод сбора LV раздела, который объединяет несколько физических носителей, но они получают дополнительную защиту данных как RAID массив.

Драйвера DM будут использоваться для управления физическими устройствами LVM, а драйвера MD для размещения информации на носителях. LVM управляет скрытыми логическими томами (DM), которые находятся между видимыми разделами (LV) и носителями.

В нашем случае, мы будем создавать RAID 5. Чем он отличается от других типов массивов, вы узнаете посмотрев этот видеоурок.



Размечаем физические диски, создаем LV RAID группу.


В терминале Linux вводим команду: lvcreate, и создаем LV RAID.

image

Если в системе не установлен компонент LVM, то прописываем команду: sudo apt install lvm2.

image

Все команды нужно выполнять от имени root, поэтому вводим: sudo -i, чтобы не вводить пароль root постоянно.

image

Теперь разметка дисков через стандартную дисковую утилиту Linux, выбираем тип ФС и форматируем.

image

Или выполняем через терминал: fdisk /dev/sdb.

image

Указываем параметры:

  • n создает новый раздел,
  • p устанавливает для раздела значение основной,
  • 1 присваивает номер.

Дважды жмем Ввод, соглашаясь со значением первого и последнего секторов.

image

Далее, нужно задать настройки LVM. Каждый в своей строке применяем атрибуты:

  • t запускает процесс по изменению типа нового раздела,
  • 8e устанавливает значение LVM.


image

Убедимся, что новый раздел имеет нужный тип. Наберите в командной строке атрибут p. Система обработает запрос и представит в табличной форме итоговые сведения. Искомое устройство будет маркировано значением sdb1 с типом системы Linux LVM. Потом записываем установленные изменения, используя атрибут w. Теперь повторите для каждого диска, который будет входить в LVM.

image

Далее вводим: pvcreate /dev/sdb1.

image

Повторяем команду для каждого диска, заменив sdb1 на другое имя, в нашем случае sdc1, sdd1, sde1, sdf1.

image

Теперь собираем в единую группу: vgcreate и перечисляем все входящие носители:

vgcreate vg1 /dev/sdb1 dev/sdc1 dev/sdd1 dev/sde1 dev/sdf1. Где vg1 имя группы.

image

Создаем программный LVM RAID 5


Вводим команду: lvcreate -n lvr5 type raid5 -L 10G -i 4 vg1

image

Где атрибуты означают:

  • -n присваивает тому имя.
  • type raid5 задает тип массива.
  • -L устанавливает граничный размер для логического тома (у нас его величина равна 10 ГБ).
  • -i указывает количество устройств, которые будут задействованы в хранении пользовательских данных. Сюда не входит дополнительное устройство для хранения блоков четности. Число должно быть 2 или больше, так как минимальное количество дисков для данного типа три.
  • vg1 объясняет системе, откуда ей следует взять нужное количество дискового пространства (указывается конкретный том или целая группа).

После выполнения новый массив RAID 5 на виртуальной группе LVM будет создан. Теперь нужно отформатировать массив смонтировать. Форматируем RAID 5 в ext4: mkfs -t ext4 /dev/vg1/lvr5

image

Где, файловая система ext4, название группы vg1, имя тома lvr5.

Монтируем RAID 5 массив в систему, вводим команду: mkdir /mnt/lvr5, и вторую: mount -t ext4 /dev/vg1/lvr5 /mnt/lvr5.

image

Теперь массив смонтирован и готов к работе.

image

Проверяем статус LVM RAID


Выполняем команду: lvs -a -o name,copy_percent,devices vg1

image

На терминале будет выведена вся доступная информация об подключенных физических носителях и группах томов.

image

Как восстанавливать данные с LVM RAID массива
В нашем случае, мы создавали LVM RAID 5, такой тип массива хранит дополнительную избыточную информацию, что хорошо сказывается на сохранности данных. То есть при поломке одного или даже двух физических дисков, большинство файлов все равно можно будет восстановить в нетронутом виде.

Производители NAS, к своим устройствам, предоставляют собственное ПО для восстановления данных с их массива. Но так как мы использовали программный RAID, то нам понадобится По от сторонних разработчиков. Главные критерии выбора оного: поддержка нужных файловых систем, низкоуровневый чтение диска, а также наличие автоматического и ручного RAID конструктора. Программа должна пересобрать массив заново и позволить смонтировать его в систему, а далее остается только провести анализ и сохранить все живые данные.

LVM является одной из множества технологий Linux, которая позволяет достичь большой гибкости в управлении дисковым пространством. Эта функция, объединённая с RAID, хорошо защищает данные от возможной потери, обеспечивает простой способ хранения, управления и совместного использования пользовательских файлов в хранилище.

Полную версию статьи со всеми дополнительными видео уроками смотрите в источнике.
Подробнее..
Категории: Восстановление данных , Lvm , Блог компании hetman software , Raid5

Как заказать восстановление данных RAID массива через Интернет

23.03.2021 22:13:14 | Автор: admin
Сломался жесткий диск, случайно удалили отчет или проект, над которым работали целый год, или компьютерный вирус уничтожил все данные? Теперь нужно восстанавливать потерянную информацию, а это потребует много времени и специализированных знаний. Но есть способ ускорить процесс, можно заказать восстановление через интернет.

image



Самостоятельное восстановление данных не легкий процесс. Нужно установить причину, подобрать правильное ПО под вашу конфигурацию и проблему, потом попытаться прочитать удаленные данные и надеяться на хороший результат. Все это занимает уйму драгоценного времени, а также не исключает возможные потери данных в процессе.



Уже сейчас можно заказать удаленное восстановление данных у специалистов через Интернет. Современные технологии и высокоскоростное соединение позволяют выполнить самый сложные процедуры на большом расстоянии. Это гораздо облегчает процесс, вам всего лишь необходимо установить несколько программ на ваш ПК, связаться со специалистом и полностью описать проблему.

Перед заказом услуги, нужно подготовить свой компьютер, чтобы специалист мог получить доступ к вашему ПК. Без предварительной подготовки ничего не получиться.

Как извлечь диски


Первое что нужно сделать это извлечь диски из устройства, далее подключить к ПК с операционной системой Windows и установленной программой Hetman RAID Recovery.

Если это специализированное устройство NAS, просто вытащите лоток с накопителем.

image

Если это ПК или сервер, откройте боковую крышку найдите диски.

image

Отключите их от блока питания и материнской платы, выкрутите несколько болтов которыми он крепится к корпусу и вытащите из посадочного места.

image

Если диски подключены к контроллеру, отсоедините кабель, далее подсоедините к SATA порту материнской платы.

image

image

Для RAID массива, собранного на операционных системах Linux или MacOS можно воспользоваться виртуальной машиной, подробное видео смотрите по ссылке.



Как подключить диски к ПК и что делать если недостаточно питания или SATA портов


Прежде чем доставать диски вы должны подсчитать количество накопителей из которых состоит массив и проверить достаточно ли SATA портов на материнской плате ПК, к которому они будут подключены в дальнейшем и хватит ли мощности и выходов питания.

SATA порт имеет следующий вид.

image

А вот так выглядит разъем питания.

image

Их количество ограничено характеристиками материнской платы, а также блока питания.

Что делать если SATA портов на материнской плате недостаточно


В том случае если носителей больше чем портов, можно временно отключить дисковод или другое устройство, которое не потребуется в процессе восстановления. Если SATA по-прежнему недостаточно можно воспользоваться расширителем.

image

Существует большое количество моделей таких устройств, главное их отличие это количество дополнительных портов. Для подключения расширителя установите его в разъём PCIe материнской платы ПК.

Недостаточно питания


В случае с недостающими разъёмами питания тоже есть различные переходники и разветвители. К примеру, вот такой разветвитель, который позволяет с одного MOLEX разъёма получить 4 или 5 SATA. Один носитель потребляет не большое количество энергии (в режиме полной загрузки не более 20Вт, в зависимости от объёма накопителя) поэтому обычного блока на 400-500 Ватт должно хватить для подпитки около 10 носителей.

image

При наличии еще одного ПК можно запитать часть дисков от него, этот способ подойдет к примеру, если нет в наличии дополнительных разветвителей, или если мощности блока питания одного компьютера недостаточно. Носители подключаются к материнской плате первого ПК, а питание к ним идет со второго.

Для перехода к следующему пункту нужно убедиться, что все правильно подключено. Для этого запустите ПК, проверьте видит ли он все подключенные к нему накопители. Откройте управление дисками (кликните правой кнопкой мыши по меню Пуск Управление дисками). При правильном подключении все устройства должны отображаться в этом окне.

image

Следующий шаг настройка управления компьютером через Интернет.

Как установить и настроить TeamViewer


Для организации подключения удаленного восстановления утерянных данных с RAID нужно установить программу TeamViewer. Данная утилита позволят удаленно на расстоянии управлять другим компьютером через интернет.

image

Откройте официальный сайт, скачайте бесплатную версию программы. Для установки запустите только что скачанный файл. Отметьте пункт Установка по умолчанию, а затем Принять далее.

Откройте официальный сайт, скачайте бесплатную версию программы. Для установки запустите только что скачанный файл. Отметьте пункт Установка по умолчанию, а затем Принять далее.

image

Дождитесь окончания процесса установки, в следующем окне выберите как хотите использовать TeamViewer для личного пользования, кликаем Завершить. На этом процесс установки закончен.

image

Найдите ярлык программы на рабочем столе ПК, запустите ее. Для разрешения управления вашим ПК вы должны сообщить сотруднику ваш ID пароль.

image

После выполнения всех этих шагов ваша система будет готова к процессу удаленного восстановления утерянной информации через интернет. Напишите на этот адрес и свяжитесь с нами по email.
Подробнее..
Категории: Восстановление данных , Интернет , Удаленное управление , Блог компании hetman software

Самые распространенные причины потери разделов диска и как их восстановить

24.03.2021 00:15:52 | Автор: admin
В нашей статье мы перечислили самые распространенные причины сбоя работы разделов жестких дисков и как не допустить их. Также, расскажем что делать если вы все-таки попали в такую ситуацию, как вернуть критически важные файлы и папки.

image



При переустановке или переходе на новую ОС, банальное удаление логического тома, неумелое использование утилит работы с дисками, физическое повреждение носителей, появление битых секторов и так далее. Все это только небольшой перечень возможных причин, вследствии которого разделы диска могут стать не читаемыми. Самая распространенная проблема логическая ошибка таблицы разделов.

Таблица разделов это специальный файл с настройками, в нем прописаны данные о всех логических разделах конкретного жесткого диска, включая: размер томов, название, файловую систему, а также указатели на начало и конец каждого раздела. Если раздел становится недоступным, то это не всегда означает что все хранящиеся файлы стерты. При удалении информации с диска, данные остаются невредимыми, они просто помечаются операционной системой как удаленные и находятся на том же месте где и были. В любом случае, даже если ОС успела уже переписать какие-то данные, все равно остается шанс восстановить хоть часть файлов.

Что не следует делать


Допустим, вы попали в ситуацию, когда один или несколько разделов перестали отображаться операционной системой, она предлагает их отформатировать или вообще, место которое они занимали стало неразмеченным пространством. В этом случае, если нужно вернуть какие-то файлы с этих логических дисков, вам не стоит делать того что говорит ОС.

Не нужно создавать новые разделы поверх старых, и ни в коем случае не стоит записывать новые данные. Первым делом, желательно вообще прекратить любые операции с диском, чтобы избежать дальнейших ошибок. Нужно разобраться что послужило причиной такой ситуации. Иначе, дальнейшая работа может привести к полной перезаписи файлов на диске.

Причины сбоя разделов носителей


1. Ошибка таблицы разделов



image

Для нормального использования носителя, его для начала нужно разметить, чтобы ОС могла понять в которые именно области можно записывать информацию. Поскольку накопители имеют большой объём их обычно разбивают на несколько логических разделов, каждому из которых присваивается своя буква. После разметки диска на него записывается таблица разделов, которая помогает операционной системе его распознать. Если она каким-либо образом будет повреждена или потеряна, это приведет к потере раздела. После чего вы не сможете записывать и читать данные с него.

image

Существует несколько структур разбиения диска MBR, которая применялась еще чуть ли не с момента появления жестких дисков, и современная система GPT. Некоторые ОС используют свою структуру, к примеру, в MacOs можно использовать таблицу APM (Карта разделов Apple). Поэтому, если взять накопитель с таблицей разделов одной ОС и подсоединить к ПК с другой то информация скорей всего будет недоступной. Чтобы прочитать информацию вам понадобится сторонний софт.

Hetman Partition Recovery без труда справится с подобной задачей. Программа автоматически определит файловую систему логического тома, проведет сканирование и вы сможете просмотреть содержимое диска и сохранить нужные файлы на другой носитель.

image

Также изменение схемы разделов без переформатирования диска невозможно. В такой ситуации вся информация конечно же будет утеряна, восстановить ее становится гораздо сложнее но все еще возможно.

2. Файловая система на поддерживается ОС


Существует довольно много разных файловых систем, они отличаются друг от друга внутренней структурой. Есть универсальные файловые системы, большинство ОС распознают их без проблем. А также существуют уникальные файловые системы, разработанные под определенные ОС. К примеру, если отформатировать накопитель с файловой системой Ext4 в Linux записать на него данные, а затем подключить к ПК c Windows, он не распознает диск, и предложит его инициализировать, в результате чего информация будет утеряна. Если вы случайно согласились на инициализацию, при подключении диска назад к ОС Linux вы ничего на нем не увидите накопитель будет пустой.

image

Открыв такой накопитель с помощью Partition Recovery и проанализировав, вы сможете достать из него найденную информацию.

3. Случайное удаление раздела


Нельзя исключать и человеческий фактор. Каждому свойственно ошибаться и в некоторой степени эти ошибки неизбежны.

image

После загрузки операционная система вывела сообщение об необходимости отформатировать раздел для возможности дальнейшего использования. Вы согласились, после форматирования вся информация на диске оказалась стерта. То есть, при управлении жестким диском можно по ошибке удалить раздел, использовать команду diskpart чтобы очистить не тот носитель, или выполнить другие операции, которые могут привести к подобным проблемам. В этой ситуации без специальной утилиты восстановить данные невозможно.

После загрузки операционная система вывела сообщение об необходимости отформатировать раздел для возможности дальнейшего использования. Вы согласились, после форматирования вся информация на диске оказалась стерта. То есть, при управлении жестким диском можно по ошибке удалить раздел, использовать команду diskpart чтобы очистить не тот носитель, или выполнить другие операции, которые могут привести к подобным проблемам. В этой ситуации без специальной утилиты восстановить данные невозможно.

4. Неправильная работа с дисковыми утилитами


Во процессе работы с Partition Manager или любой другой подобной программой, был отмечен не тот диск. Случайное удаление одного раздела привело к сбою остальных, в итоге логические тома всего накопителя стали недоступны. При проведении операций расширения или объединения разделов пропало электричество (питание) или зависла операционная система, в результате весь жестких диск оказался недоступен. При разбиении на разделы, ОС записывает определенную информацию в начале диска: размер, название, файловая система, по какому смещению находится его начало, размещение логических томов и т.д. Если несколько секторов где находится эта информация будет повреждена, то ОС получит доступ к информации, следовательно, не сможет отобразить разделы носителя. В итоге, все файлы и папки останутся на прежнем месте, но ОС не сможет их прочитать.

image

Еще, некоторые дисковые утилиты могут не поддерживать некоторые файловые системы. Следовательно, если продолжить с ним работу в этом менеджере, программа может затереть его таблицу, после чего вернуть информацию будет не просто. Hetman Partition Recovery с легкостью справится с любой из этих проблем, прочитает диск, найдет утерянные разделы и вернет с него всю оставшуюся информацию.

5. Форматирование или изменения файловой системы


Существует два вида: полное или быстрое. Быстрое форматирование это перезапись (сброс) загрузочного сектора и таблицы ФС. Все пространство на диске просто отмечается как пустое, но все данные остаются на своих местах, только больше не отображается ОС.

image

Полное форматирование все пространство перезаписывается нулями, соответственно старая информация перезаписывается и восстановить ее уже не получится.

image

При разбиении носителя на логические тома, в первом разделе может быть записана критически важная информация об остальных разделах. Если выполнить полное форматирование первого тома, то данные об остальных может быть стерта, следовательно они могут стать недоступны. Еще при конвертации ФС, к примеру, с FAT в NTFS, служебные данные могут получить повреждения.

image

Даже выполняя конвертацию без потери файлов с помощью командной строки, нельзя точно быть уверенным что после этих действий не пострадает второй раздел накопителя.

6. Создание или удаление томов.


При выполнении операций: создание, удаление, объединение логических дисков, или разделении существующих, тоже может произойти потеря нужных разделов. Так как, все информация остается невредимой, то ее можно все еще можно восстановить с помощью программ для восстановления данных.

image

7. Битые сектора и физические повреждения


Обычный жесткий диск делиться на дорожки, каждая из которых разделена на определенные сектора. Если ОС не может прочитать конкретный сектор или записать в него данные как обычно, то он отмечается как поврежденный или битый. Если количество битых секторов превысит определенное значение, весь диск может полностью выйти из строя, запись и чтения из такого носителя будет невозможным.

image

Однако, если поврежден один или несколько секторов, информацию можно прочесть. Но если на них лежала критически важная информация о разделах, система может больше не отображать диск в проводнике. В таком случае без стороннего софта не обойтись.

8. Сбой питания или операционной системы


Что касается внешних накопителей если произойдет сбой или аварийное отключение питания в момент записи информации, разметки или форматировании накопителя. В этом случае жестких диск могут появиться логические ошибки, система попросит отформатировать том для дальнейшего использования. Может записаться только часть информации, следовательно прочитать и нормально использовать такие файлы не получиться. Чтобы их прочитать нужно будет восстанавливать структуру, которая может закончиться потерей всех файлов без вариантов восстановления.

image

Чтобы предотвратить повреждение съемного носителя после записи стоит воспользоваться безопасным извлечением, особенно для внешнего накопителя. Потому что, для внешнего жесткого диска очень важно сохранить питание до полной парковки считывающих головок, чтобы они не оставили царапин на зеркальной поверхности диска при переноске.

9. Не присвоена буква диска


Такая проблема присутствует в ОС Windows, она не может назначить букву для внешнего ЖД или флешкам. Если буква не присвоена, то весь том будет скрыт от ОС, или если буква диска изменилась, то обращение к нему по старому адресу вызовет ошибку.

image

Если буква не присвоена автоматически, то вам придется выполнить эту операцию вручную. Открываем Управление дисками, находим нужный том, нажмите правой кнопкой мыши и в меню выбираем Изменить букву или путь к диску, далее нажимаем Добавить, выбираем нужную букву из открывающегося списка, подтверждаем операцию.

Восстанавливаем данные с поврежденного раздела


Утилита Hetman Partition Recovery поможет восстановить информацию с нерабочего или поврежденного раздела, независимо от описанных выше причин. Программа прочитает всю поверхность тома, даже при поврежденной таблице. Глубокий анализ поиск данных по сигнатурам, поможет найти и восстановить файлы и папки даже после серьезных физических или логических ошибок. Она автоматически просканирует диск и отобразит все оставшиеся данные, вам лишь останется ее восстановить.

image

Если в результате быстрого сканирования программе не удалось ничего найти выполните полный анализ. Отметьте файлы, которые нужно вернуть и нажмите Восстановить, укажите место куда их сохранить и еще раз Восстановить. По завершении они будут лежать в указанной папке.

image

При повреждении таблицы файловой системы накопителя если программе не удалось автоматически найти утерянные разделы воспользуйтесь функцией поиска дисков.

image

Запустите программу, откройте вкладку Менеджер дисков, нажимаем ПКМ по нужному носителю, который содержит утерянные логические диски, далее кликаем по Найти диски. В открывшемся диалоге укажите тип файловой системы, или несколько, если накопитель содержал несколько разделов с разными ФС. После чего нажимаем кнопку Найти.

image

По завершении процесса программа отобразит все удаленные разделы в этом окне, и они появятся в менеджере. Осталось только просканировать и восстановить нужные файлы.

Заключение


Разбивка носителя на логические тома помогает лучше хранить файлы и управлять ими. Но прежде чем выполнять какие-либо действия с дисками, не забудьте создать бэкап критически важных файлов, чтобы уберечь себя от их потери. И помните даже в самой безнадежной, казалось бы, ситуации, всегда можно найти решение проблемы. Главное точно знать, что делать и правильно подобрать инструменты.

Полную версию статьи со всеми дополнительными видео уроками смотрите в источнике.
Подробнее..
Категории: Восстановление данных , Жесткий диск , Блог компании hetman software , Потеря данных , Причины , Разделы диска

Как восстановить данные с RAID5 созданного на NAS QNAP TS-412

24.03.2021 22:11:36 | Автор: admin
Вы случайно удалили часть информации, отформатировали диск или NAS полностью вышел из строя? Прочитайте в нашей статье как, в таких случаях, восстановить данные с RAID массива на NAS QNAP TS-412.

image



QNAP NAS хранилище это система состоящая из нескольких жестких дисков. Для повышения надежности хранения информации такие устройства предоставляют возможность создавать RAID массивы различных уровней. Но даже с самыми надежными системами хранения данных могут произойти непредвиденные ситуации, такие как случайное удаление данных, форматирование накопителя его повреждение, сбой системы, выход из строя контроллера или другой аппаратной части устройства и т.д. В результате чего может быть утеряна важная информация.

image

Восстановление удаленных файлов из сетевой корзины


Если NAS работает нормально, а вы случайно удалили часть важных файлов их можно попытаться восстановить из сетевой корзины.

image

Настроить или проверить включена ли сетевая корзина, можно открыв Панель управления Сетевая корзина.

image

Здесь проверите включена ли данная опция.

image

Затем проверьте активирована ли она для конкретной папки с которой были удалены данные. Кликните по этой ссылке общие папки затем найдите в списке нужный каталог и нажмите кнопку Изменить свойства. Здесь должна стоять отметка Включить сетевую корзину.

image

Итак, опция сетевой корзины у нас активирована, а это значит, что удаленные данные лежат в этой папке и их можно вернуть.

image

Откройте File Station и перейдите в каталог где лежали удаленные файлы, здесь вы увидите папку со следующим названием @Recycle в ней лежат все удаленные файлы из данного каталога.

image

Нужно лишь отметить их и нажать Восстановить, после чего они снова появятся в этой папке.

image

Замена QNAP


Если ваш QNAP перестал включаться, возможно устройство вышло из строя. Но что же делать с информацией, которая осталась на диске. Достать файлы просто подключив накопители к ПК не получится. Можно попытаться заменить само устройство, но и это не гарантирует что после настройки нового сервера информация останется на дисках.

Вытащите диски из устройства, обязательно запомните их порядок так как это понадобиться в процессе восстановления.

image

Обычно лотки для дисков имеют заводскую маркировку.

image

Затем вам нужно поместить накопители в новый QNAP, соблюдая их правильный порядок. Если повреждение не повлияло на запоминающие устройства или их содержимое, скорее всего, ваша новая система будет работать как до повреждения.

Вы должны учитывать, что новое устройство может перезаписать данные, которые остались на этих носителях.

Поэтому лучше сразу воспользоваться специализированным софтом для восстановления информации. Воспользуйтесь программой Hetman RAID Recovery, с ее помощью можно восстановить утерянные файлы как с отдельных носителей, так и с рабочих RAID-массивов. Даже в том случае, если несколько носителей будут повреждены, а хранящиеся данные не распознаются, утилита прочитает сохранившуюся информацию с остальных живых носителей.

Как работать с Hetman RAID Recovery


Рассмотрим пример, у нас есть NAS устройство с четырьмя дисками, три из них составляют RAID 5 массив.

image

Что касается файловой системы, то все носители в устройствах QNAP уже много лет форматируются в EXT FS. Сымитируем ситуацию, когда сломался контроллер или любая другая аппаратная часть устройства.

image

Перед началом процесса восстановления вы должны позаботится о наличии накопителя с объёмом большим или равным всей информации, которая находится на RAID массиве.

Далее подключите диски к компьютеру с операционной системой Windows.

image

Обычно при подключении носителей может возникнуть проблема с недостаточным количеством SATA портов или разъёмов питания. Есть различные разветвители и расширители портов, подробнее смотрите в нашем видео.



Убедитесь в правильном подключении и загрузите ПК. Скачайте Hetman RAID Recovery с официального сайта, потом установите, а далее запустите программу.

При запуске утилита автоматически просканирует носители, а также попытается собрать RAID, потом отобразит всю доступную информацию. Кликните по иконке массива ПКМ, из списка выбираем Открыть.

image

Сначала проведем быстрый анализ дисков. Если сами носители и информация на них не повреждены, то этого будет достаточно, чтобы вернуть информацию с RAID. Если по завершении быстрого анализа утилита не смогла обнаружить нужные файлы, то выполните полный анализ.

image

Необходимые нам данные расположены в каталоге Multimedia, именно туда они были загружены через веб-интерфейс устройства.

image

Отмечаем файлы один за другим, которые необходимо восстановить, далее нажимаем кнопку Восстановить. Указываем каталог сохранения файлов и повторно жмем Восстановить. После чего все восстановленные данные будут сохранены в ранее указанном каталоге.

image

Много пользователей интересуются как восстановить массив если отказал один носитель? Теоретически, для RAID 5 нужно заменить сломанный накопитель и все должно работать нормально.

Однако, время от времени, что-то идет не так и при восстановлении, может возникнуть сбой или другая неприятная ситуация, которая гарантированно приведет к потере важных файлов. QNAP использует драйвер Linux md-raid, чтобы управлять массивом. Если эти записи повреждены, то операционная система больше не сможет получить доступ к томам. Для пользователя такая ситуация выглядит как потеря всей информации.

Hetman RAID Recovery способна ее восстановить, даже при повреждении md записей, а также при поломке одного или нескольких накопителей.

Заключение



image

Важно помнить, что лучшим способом предотвращения потери данных, является резервное копирование. QNAP поддерживает множество сторонних программ для резервного копирования информации и дисков на внешние устройства хранения, удаленные серверы и облачные службы резервного копирования.

Полную версию статьи со всеми дополнительными видео уроками смотрите в источнике.
Подробнее..
Категории: Восстановление данных , Жесткий диск , Блог компании hetman software , Raid5 , Qnap ts-451

Восстановление RAID томов в Windows Storage Spaces Parity, Чередование, Зеркало, Составной

25.03.2021 00:06:26 | Автор: admin
Отказал аппаратный RAID5, собранный под Windows Storage Spaces, на ОС Windows Server 2019? Вы переустановили ОС, один или несколько дисков не работают, весь массив стал недоступен? В обзоре мы расскажем, как заставить его работать и восстановить данные.

image



Встроенная в Windows Server технология для создания аппаратного RAID позволяет защитить ваши файлы от случайной утери. Данная функция используется, чтобы уберечь информацию в случае сбоя одного или нескольких дисков, в зависимости от конфигурации массива. Но все же, к сожалению, проблемы потери данных, с которыми сталкиваются пользователи этих систем далеко не всегда связаны с неисправностью дисков: сбои в программном обеспечении, некорректная настройка конфигурации пула, повреждение метаданных, случайное форматирование, удаления и т. д. Все это приводит к потере важной информации, после чего у пользователей возникает вопрос как достать или восстановить файлы с такого массива.

image

Чтобы вернуть информацию, нужно воспользоваться специальным ПО для восстановления данных, которое поддерживает такой тип RAID. Утилита Hetman RAID Recovery поддерживает почти все известные форматы RAID массивов, она поможет без труда восстановить удаленные данные. Программа поддерживает все популярные файловые системы. Она автоматически исправит любые ошибки логической структуры жестких дисков, просканирует дисковое пространство и отобразит содержимое.

Переустановка Windows Server или сбой в аппаратной части ПК


Сбой в работе операционной системы, например, в процессе обновления, может повлечь за собой появление критической ошибки, после которой ОС перестанет загружаться. В этом случае, самым простым решением остается ее переустановка. Но как быть с RAID5 массивом и всей хранящейся на нем информацией?

После переустановки ОС может не распознать содержимое накопителей, то есть в управлении дисками она отобразит их как чужие.

image

Попробуйте сделать их импорт. Кликаем по иконке накопителя ПКМ, далее нажимаем Импорт чужих дисков.

image

Указываем группу и Ок.

image

В следующем окне система отобразит список томов, которые она нашла на этих носителях, нажимаем Ок подтверждаем операцию. После все накопители появятся в проводнике.

image

Случаются ситуации, когда импорт заканчивается неудачей и некоторые массивы как в нашем случае с RAID 5 по-прежнему остаются недоступными.

image

Или же после аппаратного сбоя и других непредвиденных ситуациях была повреждена часть метаданных. Или идет процесс бесконечной ресинхронизации, при которой диск остается недоступным для чтения или записи. Вы случайно удалили часть данных или отформатировали накопитель.

image

В этом случае вам поможет утилита Hetman RAID Recovery. Она автоматически просканирует выбранные носители, выведет все доступные данные, которые смогла найти. В окне программы отображаются правильные параметры массива. Осталось просканировать логический том и восстановить найденную информацию.

image

Кликаем ПКМ по иконке раздела, выбираем быстрый анализ.

image

Просматриваем результаты сканирования, если утилита не смогла найти нужные данные, то запустите полный анализ носителя.

image

После завершения сканирования, в результатах вам нужно отметить файлы, которые вы хотите восстановить, нажимаем кнопку Восстановить. Пропишите путь к каталогу сохранения, обязательно укажите другой носитель, флэшку или сетевой диск, еще раз кликаем Восстановить.

image

Когда процесс сохранения будет завершен, вы найдете все файлы в ранее указанном каталоге.

Поломка одного накопителя


В том случае если один или несколько носителей повреждены, а Hetman RAID Recovery не смогла расшифровать точные правильные параметры RAID5 массива, то на помощь придет встроенный RAID-конструктор.

image

Выберите пункт Создание вручную Далее, укажите известные вам параметры, которые использовались при создании RAID5. Укажите тип массива, размер, порядок блоков, выберите носители, которые входили в ваш массив, обязательно укажите порядок расположения.

image

Недостающие заполните пустыми, кликнув по кнопке с плюсиком.

image

После заполнения всех известных параметров нажмите Далее. Теперь заново собранный массив будет отображаться в менеджере дисков.

image

Кликаем по иконке ПКМ чтобы запустить анализ устройства. Далее, как в выше описанном примере, отмечаем нужные файлы и папки, которые вы хотите восстановить, нажимаем кнопку Восстановить.

image

Даже если несколько дисков, входящих в этот RAID5, повреждены, то программа все равно способна восстановить с него данные. Но так как отсутствие более чем одного накопителя, для данного типа RAID является критическим, часть данных может быть повреждена.

image

Максимальное количество отсутствующих дисков повреждения файлов определяется типом Storage Spaces RAID.

  • Простые (stripe) требуют наличия всех дисков,
  • Зеркальные (miror) и с применением четности (parity) могут компенсировать отсутствие одного диска,
  • Трехсторонние зеркальные способны продолжать работу после одновременного отказа двух дисков.

Заключение


При отсутствии большего количества дисков, чем позволяет конфигурация хранилища, файлы могут оказаться поврежденными или недоступными из-за отсутствия информации о избыточности. В таком случае восстановить утерянные файлы в полном объёме весьма затруднительно. Для предотвращения потери, не забывайте регулярно делать резервное копирование важных файлов.

Полную версию статьи со всеми дополнительными видео уроками смотрите в источнике.
Подробнее..
Категории: Восстановление данных , Raid , Блог компании hetman software , Windows storage spaces , Wsp , Parity

Гайд для новичков. Как восстановить данные с iSCSI LUN диска QNAP TS-412

23.04.2021 00:07:18 | Автор: admin
В этой статье для новичков, мы обсудим как вернуть данные со iSCSI LUN на примере устройства QNAP TS-412. Как восстановить сетевой диск или достать данные с поврежденного сетевого устройства.

image



Хотя протокол iSCSI и является достаточно старым, он не теряет свою популярность в построении сетевых хранилищ. Это протокол для взаимодействия и управления системами хранения между серверами и клиентами.

Данный протокол используется для передачи данных по сети и позволяет видеть сетевой носитель как локальный физический, в то время как на самом деле хранилище данных находиться на другом устройстве. Такие носители называют LUN-ами.

LUN это номер логического объекта. Другими словами, это сетевой диск или его раздел, который имеет свой номер в сети iSCSI. Данный функционал доступен в Synology, QNAP и других серверных устройствах.

Как восстанавливать?


Если вы случайно удалили iSCSI LUN, или удалили данные с него, или же просто не можете получить доступ к файлам, хранящимся на вашем NAS, без стороннего софта для восстановления данных вам не обойтись. Программных решений для восстановления данных со iSCSI накопителей немного. Если вам нужна проверенная утилита, которая способна восстановить информацию с таких дисков воспользуйтесь Hetman RAID Recovery.

Сперва давайте разберем как восстановить утерянный сетевой накопитель.

Прежде чем приступать к процессу восстановления позаботьтесь о наличии накопителя с объёмом превышающим или равным тому сетевому носителю, с которого будете восстанавливать информацию.

Подключите носитель к операционной системе Windows, затем скачайте, установите и запустите Hetman RAID Recovery, просканируйте нужный носитель.

image

По завершению анализа вам нужно найти следующую папку @iSCSI.

image

Внутри каталога будут лежать все ваши iSCSI LUN носители в виде образов. По размеру определите нужный накопитель, отметьте все важные данные и нажмите Восстановить.

Укажите место куда сохранить и еще раз кликните по кнопке, по завершению процесса файл будет лежать в указанной папке.

image

Файл перестал быть разреженным, фактически занимаемое место увеличилось до полного размера в 330 Гб.

image

Теперь есть несколько решений для того, чтобы достать из него информацию:

Первый восстановить работоспособность сетевого носителя c QNAP.
И второй загрузить образ в нашу программу, просканировать его и вернуть нужные данные.

Как восстановить работоспособность сетевого диска


Для первого решения вам понадобиться подключить пустой накопитель к устройству QNAP, загрузить его и создать новый виртуальный диск. С таким же размером, как и предыдущий. А затем скопировать файл на этот накопитель.

image

Для копирования образа подключите оба носителя к компьютеру с операционной системой Linux либо воспользуйтесь другими инструментами для доступа к файловой системе QNAP.

image

Смонтируйте и откройте новый носитель в файловом менеджере, на смонтированном диске в корне вы найдите папку с таким именем iscsi.img.

image

Переименуйте данный каталог к примеру, в iscsi.img2, а затем создайте папку с таким же именем iscsi.img.

image

Далее нужно скопировать наш файл в только что созданный каталог. Для этого воспользуемся терминалом, так как нам нужно преобразовать данный образ в разреженный. Сделать это можно, выполнив команду копирования cp.

Открываем терминал и вводим следующую команду:

cp /media/lin/1/iSCSI-q330-606d5c77.000 /media/lin/38c8b452-81c2-4347-afb4-49d71eaf7e6e/@iscsi.img/iSCSI-q330-606d5c77.000 --sparse=always

где:

  • /media/lin/1/iSCSI-q330-606d5c77.000 путь к образу.
  • /media/lin/38c8b452-81c2-4347-afb4-49d71eaf7e6e/@iscsi.img/iSCSI-q330-606d5c77.000 путь куда нужно скопировать образ.
  • И аргумент --sparse=always преобразует его в разреженный.


image

При большом объёме образа, процесс копирования займет довольно продолжительное время.

В терминале не отображается никакой информации о статусе процесса копирования, эту информацию можно посмотреть в системном мониторе, здесь отображается объём скопированной информации, по которому можно, приблизительно, определить, как скоро закончится процесс.

Ну вот файл успешно скопирован на новый носитель, для проверки выполним команду:

du -h iSCSI-q330-606d5c77.000

image

Открываем данный каталог в терминале и вводим команду с именем.

Как видите образ занимает на диске меньше 200 Мб, хотя его видимый размер составляет 330Гб. 1Гб, 10Гб. 5Гб.

du -h --apparent-size iSCSI-q330-606d5c77.000

Это подтверждение того, что при копировании он был преобразован в разреженный.

После успешной операции копирования нужно подправить конфигурационный файл, заменить имя нового сетевого накопителя на нужное.

Подключите носитель к устройству QNAP и загрузите его. С помощью Winscp или другой утилиты настройте соединение с сервером. Укажите ip, логин, пароль, и нажмите войти.

image

Программа Winscp по умолчанию не видит скрытые файлы, так как каталог может быть скрыт сначала нужно включить их отображение. Откройте настройки Панели Показывать скрытые файлы.

image

Затем перейдите по такому пути /mnt/HDA_ROOT/.config, найдите файл с названием iscsi_trgt.conf и откройте его. Здесь нужно найти строку LunMetapath и заменить имя нового LUN на имя того файла, который мы восстановили (iSCSI-q330-606d5c77.000).

iSCSI-330q-606d9e8b

image

Число 001 что в конце означает, сколько частей имеет ваш ISCSI. В моем случае он состоит из одного накопителя.

Далее сохраните изменения. Если у вас несколько носителей нужно изменить все их имена.

Перезагружаем QNAP и ждем пока он загрузится. После загрузки откройте инициатор iSCSI, и подключите диск повторно. После чего накопитель появится в проводнике со всеми данными.

image

Как вернуть данные из файла образа iSCSI


Для второго решения нужно скормить файл в программу Hetman RAID Recovery.

Откройте утилиту, перейдите во вкладку Сервис и нажмите Монтировать. Укажите путь к образу, чтобы программа его отобразила в поле образы. Укажите здесь Все файлы, затем отметьте его и нажмите Открыть.

image

В менеджере появится смонтированный носитель. Кликните по нему правой кнопкой мыши и нажмите Открыть, выберите Полный анализ, укажите файловую систему и нажмите Далее, и по завершении Готово. Как видите программа нашла и отобразила данные, которые лежали на сетевом носителе. Чтобы их вернуть, отметьте нужные и нажмите Восстановить, укажите путь куда их сохранить и кликните еще раз по кнопке. По завершении все они будут в указанной ранее папке.

Как видите второй способ намного проще. Если LUN не был удален, а вышло из строя NAS устройство, достаточно просто смонтировать образ в программу и восстановить информацию.

Полную версию статьи со всеми дополнительными видео уроками смотрите в источнике. А также зайдите на наш Youtube канал, там собраны более 400 обучающих видео.
Подробнее..
Категории: Восстановление данных , Iscsi , Блог компании hetman software , Lun

Как восстановить данные с RAID 50 контроллер HP P410 Smart Arraу. Гайд для новичков

25.04.2021 00:12:13 | Автор: admin
Гайд для новичков по восстановлению данных с аппаратного RAID 50, который собран на контроллере HP P410. Также расскажем, как собирать такой RAID, заменить неисправный носитель и что предпринять если контроллер HP P410 перестал работать.

image



Сам по себе RAID 5 один из самых надежных типов массивов, в то же время, производительность у него не на столь высоком уровне. Но, если объединить несколько таких групп, мы получим RAID 50, который показывает высокий уровень производительности. А также более высокую эффективность использования места RAID массива по сравнению с обычным пятым типом.

По уровню производительности RAID50 приблизится к десятому типу массивов, но его надежность все равно будут меньше, чем у десятого. Этот тип сохранить сто процентную производительность даже после поломки одного носителя в каждой группе. В этой статье я покажу пошаговую инструкцию по созданию подобных массивов, замене поломанных дисков и как восстановить с них случайно удаленную информацию.

Как собрать RAID50 в BIOS контроллера и с помощью программы


Чтобы собрать RAID50 вам понадобиться как минимум шесть дисков. Контроллер HP P410 позволяет собрать дисковый массив с помощью БИОСа и специальной утилиты.

Чтобы попасть в БИОС контроллера во время загрузки, после инициализации устройства нажмите клавишу F8.

image

Далее, если все носители пустые и не состояли в других массивах откройте пункт Create Logical Drive. Если с этих накопителей ранее уже собирался RAID его нужно сперва удалить так как в процессе построения контроллер может их не отобразить.

image

Для этого перемещаемся ниже до пункта Delete Logical Drive, чтобы открыть его жмем Enter. Здесь клавишами навигации вверх/вниз выбираем не нужные нам носители и удаляем их F8, а также F3 для подтверждения. После записи конфигурации нажмите Enter.

image

Теперь переходим непосредственно к процессу создания RAID 50. Переходим в пункт Create Logical Drive пробелом отмечаем все накопители, из которых будем собирать наш будущий массив.

image

Жмем клавишу Tab для перехода к следующему разделу настройки, устанавливаем отметку напротив нужного типа, выбираем из скольких групп будет состоять, в мом случае с двух, так как у меня всего 6 дисков. Установив все настройки жмем Enter, после чего будет выведена информация, размер, тип и так далее.

image

Для подтверждения записи конфигурации нажмите F8 и Enter для продолжения. Чтобы посмотреть информацию о массиве откройте View logical Drive, если все верно, жмем клавишу Esc для выхода из меню настроек и дальнейшей загрузки.

image

Далее нужно лишь зайти в управление дисками и разметить его, присвоив ему букву и выбрав файловую систему.

image

Собираем массив с помощью HP Array Configuration Utility


Для того чтобы собрать массив из загруженной операционной системы, воспользуйтесь утилитой HP Array Configuration Utility или HPE Smart Storage Administrator, скачать ее можно с официального сайта производителя контроллера.

На вкладке Configuration выберите ваш контроллер, в правой части окна нажмите Create Array.

image

Отметьте носители, из которых будет состоять ваш будущий RAID и нажмите Ok.

image

Далее кликните по Create logical Drive, выбираем тип, число групп, размер блока, если нужно задайте определенный размер, активируйте кеширование, а затем Save для подтверждения. Массив создан, осталось его разметить в управлении дисками.

image

Как заменить диск


Для замены поломанного носителя достаточно просто заменить его на такой же новый рабочий накопитель, после чего ребилд должен начаться автоматически. Чтобы определить какой именно накопитель не работает, в утилите разверните вкладку с устройствами хранения, по серийному номеру посмотрите какого из дисков нет в списке.

image

Если, есть дополнительный слот для подключения, можно вставить новый носитель без замены и назначить его запасным. После чего контроллер автоматически определит битый диск и начнет ребилд с новым носителем. Назначить носитель запасным можно в BIOS, в разделе Create Logical Drive. В этом пункте отметить его как запасной.

Процесс ребилда можно проконтролировать в HPE Smart Storage Administrator.

Как восстанавливать данные


Если контроллер перестал работать, то без его замены, просто так, не удастся получить доступ к хранящейся информации. Если заменить контроллер не удалось, или его необходимо заказывать, а данные нужны уже вчера, то вам следует воспользоваться специализированной утилитой imageHetman RAID Recovery. Программа вычитает все доступные на дисках данные о контроллере и сможет пересобрать разрушенный RAID.

Для этого, нужно подключить все носители, которые входили в массив напрямую к материнской плате ПК, загрузите ОС и запустите программу.

Прежде чем приступать к процессу восстановления вы должны позаботиться о наличии накопителя с размером равным или большим объёму восстанавливаемой информации. Еще в процессе подключения накопителей может возникнуть вопрос с недостаточным количеством SATA портов и разъёмов питания. Для этого есть различные переходники и расширители, которые обычно стоят не дорого.

image

Программа отображает все доступные о RAID данные.

image

Кликаем по иконке диска ПКМ и запускаем Быстрое сканирование. Отмечаем нужные файлы и каталоги и нажимаем Восстановить. Далее, указываем путь для их сохранения, опять кликаем Восстановить. Когда процесс сохранения завершиться, все файлы будут лежать указанном вами каталоге.

image

Если Быстрое сканирование не помогло, и большинство файлов восстановить не удалось, то запустите Полный анализ.

Восстановление без двух дисков, как собрать в RAID конструкторе


Если программа не смогла правильно определить тип массива в автоматическом режиме, RAID можно пересобрать вручную с помощью RAID-конструктором. Для этого вам понадобиться вспомнить всю информацию о вашем массиве.

Выберите пункт Создание вручную и нажмите Далее, затем укажите тип массива, порядок блоков, размер блоков, количество носителей в группе, выберите сами накопители и укажите их порядок, недостающие заполните пустыми.

Указав все параметры нажмите Добавить. Теперь он появится в менеджере дисков. Осталось его просканировать и вернуть оставшиеся данные.

image

Этот тип RAID остается на сто процентов работоспособным при поломке одного накопителя из группы. То есть если вышло из строя всего два диска, по одному из каждой группы, то он остается работоспособным. Программа способна вернуть информацию даже без двух дисков, но, если это накопители из одной группы, часть файлов будет повреждена.

Полную версию статьи со всеми дополнительными видео уроками смотрите в источнике. А также зайдите на наш Youtube канал, там собраны более 400 обучающих видео.
Подробнее..
Категории: Восстановление данных , Сборка , Блог компании hetman software , Raid50

Как восстановить RAID 5 собранный на контроллере материнской платы? Гайд для новичков

26.04.2021 00:06:32 | Автор: admin
В этой статье для новичков, я расскажу о том, как восстановить данные с аппаратного RAID, который создан при помощи встроенного контроллера на материнской плате компьютера. Что делать если один диск перестал работать, или сама материнская плата вышла из строя.

image



Технология RAID позволяет в несколько раз повысить скорость чтения\записи данных на диск, а также обеспечивает определенный уровень отказоустойчивости накопителей. Именно поэтому, эту технологию широко используют разного рода организации, от малых офисов до огромных корпораций. В основном, на RAID хранят крайне важные данные, для обеспечения сохранности. Но в то же время, на Земле нет ничего вечного, и массивы не исключение. Повлиять на сохранность данных могут самые разные факторы: сбой ОС, отключение питания, поломка оборудования, человеческий фактор и т.д.

Главный вопрос в этом случае как вернуть работоспособность, или как скопировать важные файлы? О том что делать в таких ситуациях и пойдет разговор в этой статье.

Как заменить вышедший из строя диск


При выходе из строя одного диска, перед загрузкой операционной системы будет отображена информация состояния RAID, где вы увидите, что он поврежден. В моем случае это пятый тип.

image

Чтобы заменить нерабочий накопитель на новый откройте меню Intel Rapid Storage Technology. Для этого при загрузке нажмите сочетание клавиш Ctrl+I.

Здесь вы увидите список всех ваших носителей, по серийному номеру сможете определить какой из дисков не работает.

image

Выключите компьютер, а затем отключите этот накопитель. Потом подключите на его место рабочий носитель, перезапустите ПК. Откройте меню Intel RST, после чего вам будет предложено исправить поврежденный массив, добавив новый диск для ребилда.

image

Для выбора нужного носителя выделите его нажмите Enter, после чего статус измениться на Rebuild. И внизу выведено сообщение о том, что Тома со статусом Rebuild будут перестроены в операционной системе. Жмем 6 для выхода, продолжаем загрузку операционной системы.

image

Случайно исключили не те диски из массива. Reset Disk to Non-RAID


Если вы случайно указали не тот носитель для ребилда или исключили его из RAID, то после загрузки ОС весь массив будет поврежден, также все хранящиеся данные будут недоступны. Для того чтобы достать данные из поврежденного массива воспользуйтесь утилитой Hetman RAID Recovery.

Это программное обеспечение поддерживает все типы RAID, и способно вернуть информацию с нерабочих массивов или накопителей, из которых он состоял. Она вычитает параметры массива и информацию о материнской плате, на которой он был построен. Далее пересоберет разрушенный массив заново и восстановит информацию.

Программа сразу определяет параметры массива и в автоматическом режиме пересобирает его. Детальная информация отображается внизу окна утилиты.

image

Прежде чем приступать к процессу восстановления вы должны позаботится о наличии накопителя с достаточным объёмом для восстанавливаемой информации.

Кликаем ПКМ по иконке раздела и выбираем Быстрое сканирование. Когда процесс сканирования будет завершен, останется лишь отметить нужные файлы или каталоги, кликнуть на Восстановить. Потом, указываем путь сохранения восстановленных файлов и подтверждаем операцию. По завершению все файлы будут лежать в указанном каталоге.

image

Если быстрый поиск не показал нужные результаты, то запустите Полный анализ. Этот процесс займет больше времени, но позволит найти всю доступную информацию, которая осталась на носителях, в том числе и удаленные файлы.

Что делать если вышла из строя материнская плата


Вследствие сбоя аппаратной части, или прямой поломки материнской платы, если вы подключите накопители к другому ПК, то без сторонних программ для восстановления информации вам обойтись не удастся. Потому как другой контроллер на материнской плате не сможет определить параметры массива. А ОС в управлении дисками предложит их инициализировать или отформатировать.

image

Ни в коем случае не стоит этого делать, так как это гарантировано удалит все оставшиеся данные на носителях. Утилита автоматически пересоберет RAID, позволит просканировать диски и восстановит нужные файлы.

Удаление в меню Intel Rapid Storage Technology. Delete Volume


Hetman RAID Recovery вернет ваши данные даже в том случае если вы полностью удалите RAID в меню Intel RST.

image

При таком сценарии программа определила тип разрушенного массива и автоматически собрала его. Достаточно просто просканировать его и вернуть нужные файлы.

image

Если программе каким-то образом не удалось автоматически собрать разрушенный массив, нужно сделать это вручную через RAID конструктором.

Укажите тип Создание вручную и нажмите Далее, здесь нужно указать все параметры массива.

Тип массива, размер блоков, порядок, из скольких носителей он состоял, выбрать их из списка и указать правильный порядок. Недостающие нужно заполнить пустыми. После ввода всех параметров нажмите Добавить и он сразу же появится в менеджере дисков. Останется лишь просканировать и восстановить нужные файлы.

image

Пятый RAID остается работоспособным даже после поломки одного накопителя, но если перестали работать 2 диска он стает полностью нерабочим и достать из него нужные файлы не получится. С помощью нашей программы вы сможете восстановить информацию без двух или более носителей, но часть данных будет повреждена.

Полную версию статьи со всеми дополнительными видео уроками смотрите в источнике. А также зайдите на наш Youtube канал, там собраны более 400 обучающих видео.
Подробнее..
Категории: Восстановление данных , Материнская плата , Блог компании hetman software , Raid5

Категории

Последние комментарии

  • Имя: Макс
    24.08.2022 | 11:28
    Я разраб в IT компании, работаю на арбитражную команду. Мы работаем с приламы и сайтами, при работе замечаются постоянные баны и лаги. Пацаны посоветовали сервис по анализу исходного кода,https://app Подробнее..
  • Имя: 9055410337
    20.08.2022 | 17:41
    поможем пишите в телеграм Подробнее..
  • Имя: sabbat
    17.08.2022 | 20:42
    Охренеть.. это просто шикарная статья, феноменально круто. Большое спасибо за разбор! Надеюсь как-нибудь с тобой связаться для обсуждений чего-либо) Подробнее..
  • Имя: Мария
    09.08.2022 | 14:44
    Добрый день. Если обладаете такой информацией, то подскажите, пожалуйста, где можно найти много-много материала по Yggdrasil и его уязвимостях для написания диплома? Благодарю. Подробнее..
© 2006-2024, personeltest.ru