+1 (888) 440-2404

Genopretter data og ro i sindet siden 1985®

Genoprettelse af kritiske kommunale data uden at betale løsesum

Genoprettelse af kritiske kommunale data uden at betale løsesum

Kunde:
Kommune

Miljø:
Én Dell PowerEdge RAID og ét Dell SAN; to Synology NAS og en TrueNAS-datalagring med Veeam-backups

Udfordringer ved genoprettelsen:
Slettede backups, delvis overskrivning, nulstilling til fabriksindstillinger og skader på filsystemet

Resultater:
Ti backupdatasæt genoprettet, herunder en backup af en filserver på 34 TB; seks yderligere applikationsbackups genoprettet til 99–100 %

Efter et angreb med INC.ransomware stod en kommune over for et krav om løsesum: dens virtuelle produktionsmaskiner var krypteret, og flere backupsystemer var kompromitteret. De backups, der skulle give en vej til at genetablere driften, var slettet, delvist overskrevet og utilgængelige. At genoprette kommunens kritiske data uden at betale løsesummen krævede, at man fandt brugbare driftsdata i den beskadigede backupinfrastruktur.

DriveSavers genoprettede en backup af en filserver på 34 TB, adgangskontroldata, to virtuelle diske fra webservere og seks yderligere applikationsbackups. Kommunen bekræftede til sidst, at alle nødvendige data var genoprettet, hvilket gav et alternativ til at betale angriberne.

Situationen omkring datatabet

Angrebet ramte både datalagringen til produktion og flere lag af backups. Virtuelle maskiner på et Dell SAN blev krypteret, mens systemerne, der indeholdt backupdata, havde forskellige forhindringer for genoprettelse.

En Dell PowerEdge-server med Veeam forblev tilgængelig, men dens backupvolumen på 20 TB kunne ikke åbnes på normal vis. Fjernevalueringen viste, at omkring 33 % af volumenen var overskrevet med nuller.

Et TrueNAS-system med otte drev, som indeholdt backupkopier, viste et tomt filsystem, efter at indholdet var blevet slettet. En Synology med 24 drev var blevet nulstillet til fabriksindstillinger. En anden, separat Synology indeholdt tilbageværende Veeam-backupfiler, men manglende kernekomponenter forhindrede vellykkede importer.

I betragtning af disse forskellige systemer havde kommunen flere potentielle genoprettelseskilder, men ingen ligetil vej til at genoprette sine kritiske data. Ingeniørerne skulle afgøre, hvad der var tilbage på den underliggende datalagring, og hvilke kilder der kunne levere de backups, kunden havde brug for.

Genoprettelsesprocessen

DriveSavers gennemgik miljøet sammen med kommunen og dens incident response-leverandør og identificerede, hvilke systemer der kunne evalueres eksternt, og hvilke der krævede undersøgelse i laboratoriet. Kommunen fastlagde sine prioriteter, så ingeniørerne først kunne fokusere på de vigtigste datasæt.

Genoprettelse af de prioriterede backups

Den Synology, der var nulstillet til fabriksindstillinger, indeholdt 24 drev konfigureret som to RAID 6-arrays med 12 drev hver. Laboratorieanalysen afslørede skader på BTRFS-filsystemet, men scanninger fandt Veeam-backups af kommunens prioriterede filserver og adgangskontrolsystem.

Ingeniørerne udtrak filserverens backup på cirka 34 TB og adgangskontrollens backup på 46 GB.

Genoprettelse af to webservere

TrueNAS-systemet indeholdt otte drev i en RAID 5-konfiguration med filsystemet ZFS. Scanninger fandt to backups af webservere på cirka 32 GB og 2,1 GB.

Yderligere udviklingsarbejde gjorde det muligt for ingeniørerne at genoprette begge webservernes virtuelle diske med kun mindre skader.

Udvidelse af genoprettelsen

Kommunen anmodede derefter om seks yderligere applikationsbackups, der dækkede software til retsadministration, geografiske informationssystemer og et beskedarkiv.

Ingeniørerne fandt alle seks på den 24-drevs Synology og gennemførte udtrækket. De omfattede backups af GIS-hosting, portal, SQL og web samt backups af retsadministration og beskedarkivering. Tre blev genoprettet fuldstændigt, og tre blev genoprettet til 99 % hver.

Genoprettelsesresultater

Dataene blev leveret i etaper, efterhånden som genoprettelsen skred frem, via elektroniske overførsler og afsendte datalagringsenheder. Kommunen bekræftede, at alle nødvendige data var genoprettet med succes uden betaling af løsesum.

Genoprettede data
v
Prioriteret backup af filserver
Cirka 34 TB udtrukket
Backup af adgangskontrol
46 GB udtrukket
Backup af adgangskontrol
Genoprettet med kun mindre skader
Backups af GIS-hosting, SQL og web
100 % af hver genoprettet
Säkerhetskopior av GIS-portal, domstolsadministration och meddelandearkiv
99 % af hver genoprettet

Gendannelsesoversigt

Vejen til genoprettelse gik via backupdata, der overlevede angrebet, men som ikke længere var tilgængelige gennem normale genoprettelsesmetoder. At finde og udtrække disse data krævede arbejde på tværs af flere datalagringsplatforme, RAID-konfigurationer og filsystemer.

Ved at arbejde sig igennem beskadigede backupsystemer og prioritere kommunens mest kritiske data genoprettede DriveSavers alt, hvad kunden havde peget på som nødvendigt, og forvandlede kompromitterede backups til en vej videre efter angrebet.

Står du i en lignende situation? Kontakt DriveSavers på 1 (888) 282-2227.

Relaterede indlæg

Andy Maus er leder af afdelingen for strategiske partnerskaber og cybergendannelsestjenester hos DriveSavers, hvor han står i spidsen for initiativer, der hjælper organisationer med at gendanne kritiske data efter cyberhændelser, ransomware-angreb og andre sikkerhedsbrud. Han kom til DriveSavers i 2023 efter mere end to år hos Arete Incident Response, hvor han indførte datagendannelsestjenester i virksomhedens gendannelsesportefølje og opbyggede strategiske alliancer med SentinelOne, Dell og Presidio.
Tidligere var han hos Ontrack Data Recovery ansvarlig for det globale salg og støttede komplekse datagendannelser for kunder i 22 lande. Med mere end tre årtier i teknologiindustrien – herunder ledende stillinger hos Dell, Mitel og Level 3 Communications – bidrager Andy med omfattende erfaring inden for håndtering af cyberhændelser, metoder til datagendannelse og tekniske operationer i stor skala.

TwitterFacebookLinkedInInstagram
Tilbage til toppen
Søg