Kriittisten kuntatietojen palauttaminen ilman lunnaiden maksamista

lokakuu 21, 2026
Andy Maus
Case-tutkimukset

Kriittisten kuntatietojen palauttaminen

ilman lunnaiden maksamista

Asiakas:
Kunta

Recovery Challenges:
Deleted backups, partial overwriting, factory reset, and file-system damage

Tulokset:
Kymmenen varmuuskopiotietoaineistoa palautettu, mukaan lukien 34 Tt:n tiedostopalvelimen varmuuskopio; kuusi muuta sovellusvarmuuskopiota palautettu 99–100-prosenttisesti

Kunta joutui kiristysohjelman lunnasvaatimuksen kohteeksi: sen tuotantovirtuaalikoneet oli salattu ja useita varmuuskopiointijärjestelmiä oli vaarantunut. Varmuuskopiot, joiden piti tarjota tie takaisin, oli poistettu, osittain ylikirjoitettu tai tehty saavuttamattomiksi. Kunnan kriittisten tietojen palauttaminen maksamatta lunnaita edellytti käyttökelpoisten tietojen löytämistä tuosta vaurioituneesta varmuuskopiointi-infrastruktuurista.

DriveSavers palautti 34 Tt:n tiedostopalvelimen varmuuskopion, kulunvalvontatiedot, kaksi verkkopalvelimen virtuaalilevyä ja kuusi muuta sovellusvarmuuskopiota. Kunta vahvisti lopulta, että kaikki tarvittavat tiedot oli palautettu, mikä tarjosi vaihtoehdon hyökkääjien maksamiselle.

Tiedon menetyksen tilanne

Hyökkäys kohdistui sekä tuotannon tietojen tallennukseen että useisiin varmuuskopiokerroksiin. Dell SAN -tallennusjärjestelmän virtuaalikoneet salattiin, kun taas varmuuskopiotietoja sisältävät järjestelmät asettivat palautukselle kukin erilaisia esteitä.

Veeamia ajava Dell-palvelin pysyi käytettävissä, mutta sen 20 Tt:n varmuuskopiovolyymia ei voitu avata normaalisti. Etäarvioinnissa havaittiin, että noin 33 % volyymista oli ylikirjoitettu nollilla.

Kahdeksan aseman TrueNAS-järjestelmä, joka sisälsi varmuuskopioita, näytti tyhjää tiedostojärjestelmää sen sisällön poistamisen jälkeen. 24 aseman Synology oli palautettu tehdasasetuksiin. Toisessa Synologyssa oli säilyneitä Veeam-varmuuskopiotiedostoja, mutta puuttuvat osat estivät onnistuneet tuonnit.

Kunnalla oli useita mahdollisia palautuslähteitä, mutta ei suoraviivaista tietä kriittisten tietojensa palauttamiseen. Insinöörien oli selvitettävä, mitä taustalla olevalle tietojen tallennustilalle oli jäljellä ja mistä lähteistä asiakkaan tarvitsemat varmuuskopiot voitaisiin saada.

Palautusprosessi

DriveSavers kävi ympäristön läpi kunnan ja sen häiriötilanteiden hallintapalveluntarjoajan kanssa ja tunnisti, mitkä järjestelmät voitiin arvioida etänä ja mitkä vaativat laboratoriotutkimuksen. Kunta määritteli prioriteettinsa, jotta insinöörit saattoivat keskittyä ensin sen tärkeimpiin tietoaineistoihin.

Ensisijaisten varmuuskopioiden palauttaminen

Tehdasasetuksiin palautetussa Synologyssa oli 24 asemaa, jotka oli määritetty kahdeksi 12 aseman RAID 6 -levyryhmäksi. Laboratorioanalyysi paljasti BTRFS-tiedostojärjestelmän vaurioita, mutta skannauksissa löytyivät Veeam-varmuuskopiot kunnan ensisijaisesta tiedostopalvelimesta ja kulunvalvontajärjestelmästä.

Insinöörit purkivat noin 34 Tt:n tiedostopalvelimen varmuuskopion ja 46 Gt:n kulunvalvonnan varmuuskopion.

Kahden verkkopalvelimen palauttaminen

TrueNAS-järjestelmässä oli kahdeksan asemaa RAID 5 -kokoonpanossa ZFS-tiedostojärjestelmällä. Skannauksissa löytyi kaksi verkkopalvelimen varmuuskopiota, joiden koko oli noin 32 Gt ja 2,1 Gt.

Lisäkehitystyö mahdollisti sen, että insinöörit pystyivät palauttamaan molemmat verkkopalvelinten virtuaalilevyt vain vähäisin vaurioin.

Palautuksen laajentaminen

Kunta pyysi tämän jälkeen kuusi muuta sovellusvarmuuskopiota, jotka kattoivat oikeudenkäyntien hallintaohjelmiston, paikkatietojärjestelmät ja viestiarkiston.

Insinöörit löysivät kaikki kuusi 24 aseman Synologysta ja saivat purun päätökseen. Mukana olivat paikkatietojärjestelmän (GIS) isännöinnin, portaalin, SQL:n ja verkkopalvelun varmuuskopiot sekä oikeudenkäyntien hallinnan ja viestien arkistoinnin varmuuskopiot. Kolme palautettiin kokonaan ja kolme 99-prosenttisesti.

Palautustulokset

Tiedot toimitettiin vaiheittain palautuksen edetessä sähköisinä siirtoina ja postitettuina tietojen tallennuslaitteina. Kunta vahvisti, että kaikki tarvittavat tiedot oli palautettu onnistuneesti maksamatta lunnaita.

Palautetut tiedot

Tulos

Ensisijainen tiedostopalvelimen varmuuskopio

Noin 34 Tt purettu

Kulunvalvonnan varmuuskopio

46 Gt purettu

Kulunvalvonnan varmuuskopio

Palautettu vain vähäisin vaurioin

Paikkatietojärjestelmän (GIS) isännöinnin, SQL:n ja verkkopalvelun varmuuskopiot

100 % kustakin palautettu

Paikkatietojärjestelmän (GIS) portaalin, oikeudenkäyntien hallinnan ja viestiarkiston varmuuskopiot

99 % kustakin palautettu

Palautuksen yhteenveto

Tie palautukseen kulki hyökkäyksen kestäneiden varmuuskopiotietojen kautta, joihin ei enää päässyt käsiksi tavanomaisilla palautusmenetelmillä. Näiden tietojen löytäminen ja purkaminen edellytti työtä useilla tietojen tallennusalustoilla, RAID-kokoonpanoissa ja tiedostojärjestelmissä.

Työskentelemällä vaurioituneiden varmuuskopiointijärjestelmien parissa ja asettamalla kunnan kriittisimmät tiedot etusijalle DriveSavers palautti kaiken, minkä asiakas oli todennut tarpeelliseksi, ja muutti vaarantuneet varmuuskopiot tieksi eteenpäin hyökkäyksen jälkeen.

Kohtaatko vastaavan tilanteen? Ota yhteyttä DriveSaversiin numerossa 1 (888) 282-2227.

Andy Maus

Andy Maus toimii DriveSaversin strategisten kumppanuuksien ja kyberpalautuspalveluiden johtajana. Hän johtaa hankkeita, joiden avulla organisaatiot voivat palauttaa kriittisiä tietoja kyberhyökkäysten, kiristysohjelmahyökkäysten ja muiden tietoturvaloukkausten jälkeen. Hän aloitti DriveSaversissa vuonna 2023 oltuaan yli kaksi vuotta Arete Incident Response -yrityksessä, jossa hän toi tietojen palautuspalvelut osaksi yrityksen palautuspalveluvalikoimaa ja solmi strategisia kumppanuuksia SentinelOnen, Dellin ja Presidion kanssa.
Aiemmin hän vastasi Ontrack Data Recovery -yrityksessä maailmanlaajuisesta myynnistä ja tuki monimutkaisia tietojen palautushankkeita asiakkaille 22 maassa. Andyllä on yli kolmen vuosikymmenen kokemus teknologiateollisuudesta – mukaan lukien johtotehtävät Dellillä, Mitelillä ja Level 3 Communicationsilla – ja hänellä on syvällistä kokemusta kyberturvallisuusuhkien torjunnasta, tietojen palautusmenetelmistä sekä laajamittaisista teknisistä toiminnoista.