+1 (888) 440-2404

Gjenoppretter data og trygghet siden 1985®

Gjenoppretting av kritiske kommunale data uten å betale løsepenger

Gjenoppretting av kritiske kommunale data uten å betale løsepenger

Kunde:
Kommune

Miljø:
Én Dell PowerEdge RAID og én Dell SAN; to Synology NAS og en TrueNAS-datalagring med Veeam-sikkerhetskopier

Utfordringer ved gjenopprettingen:
Slettede sikkerhetskopier, delvis overskriving, tilbakestilling til fabrikkinnstillinger og skade på filsystemet

Resultater:
Ti sikkerhetskopidatasett gjenopprettet, inkludert en sikkerhetskopi av en filserver på 34 TB; seks ytterligere applikasjonssikkerhetskopier gjenopprettet med 99–100 %

Etter et angrep fra INC.ransomware sto en kommune overfor et krav om løsepenger: de virtuelle produksjonsmaskinene var kryptert, og flere sikkerhetskopisystemer var kompromittert. Sikkerhetskopiene som skulle gi en vei tilbake til driften, var slettet, delvis overskrevet og utilgjengelige. Å gjenopprette kommunens kritiske data uten å betale løsepenger krevde at man fant brukbare driftsdata i den skadde sikkerhetskopiinfrastrukturen.

DriveSavers gjenopprettet en sikkerhetskopi av en filserver på 34 TB, tilgangskontrolldata, to virtuelle disker fra webservere og seks ytterligere applikasjonssikkerhetskopier. Kommunen bekreftet til slutt at alle nødvendige data var gjenopprettet, noe som ga et alternativ til å betale angriperne.

Situasjonen rundt datatapet

Angrepet rammet både datalagring for produksjon og flere lag med sikkerhetskopier. Virtuelle maskiner på en Dell SAN ble kryptert, mens systemene som holdt sikkerhetskopidataene, hadde ulike hindringer for gjenoppretting.

En Dell PowerEdge-server som kjørte Veeam, forble tilgjengelig, men sikkerhetskopivolumet på 20 TB kunne ikke åpnes på vanlig måte. Ekstern evaluering viste at omtrent 33 % av volumet var overskrevet med nuller.

Et TrueNAS-system med åtte disker som inneholdt sikkerhetskopier, viste et tomt filsystem etter at innholdet var slettet. En Synology med 24 disker var blitt tilbakestilt til fabrikkinnstillinger. En annen, separat Synology inneholdt gjenværende Veeam-sikkerhetskopifiler, men manglende kjernekomponenter hindret vellykket import.

Med disse ulike systemene hadde kommunen flere potensielle gjenopprettingskilder, men ingen enkel vei til å gjenopprette de kritiske dataene sine. Ingeniørene måtte avgjøre hva som var igjen på den underliggende datalagringen, og hvilke kilder som kunne gi de sikkerhetskopiene kunden trengte.

Gjenopprettingsprosessen

DriveSavers gikk gjennom miljøet sammen med kommunen og leverandøren av hendelseshåndtering og identifiserte hvilke systemer som kunne evalueres eksternt, og hvilke som krevde undersøkelse i laboratoriet. Kommunen satte opp sine prioriteringer slik at ingeniørene først kunne konsentrere seg om de viktigste datasettene.

Gjenoppretting av de prioriterte sikkerhetskopiene

Synologyen som var tilbakestilt til fabrikkinnstillinger, inneholdt 24 disker konfigurert som to RAID 6-arrayer med 12 disker hver. Laboratorieanalysen avdekket skade på BTRFS-filsystemet, men skanninger fant Veeam-sikkerhetskopier av kommunens prioriterte filserver og tilgangskontrollsystem.

Ingeniørene hentet ut sikkerhetskopien av filserveren på omtrent 34 TB og sikkerhetskopien av tilgangskontrollen på 46 GB.

Gjenoppretting av to webservere

TrueNAS-systemet inneholdt åtte disker i en RAID 5-konfigurasjon med ZFS-filsystemet. Skanninger fant to sikkerhetskopier av webservere på omtrent 32 GB og 2,1 GB.

Ytterligere utviklingsarbeid gjorde det mulig for ingeniørene å gjenopprette begge de virtuelle diskene fra webserverne med bare mindre skader.

Utvidelse av gjenopprettingen

Kommunen ba deretter om seks ytterligere applikasjonssikkerhetskopier som dekket programvare for rettsadministrasjon, geografiske informasjonssystemer og et meldingsarkiv.

Ingeniørene fant alle seks på den 24-disks Synologyen og fullførte uttrekket. Disse omfattet sikkerhetskopier av GIS-hosting, portal, SQL og web, i tillegg til sikkerhetskopiene for rettsadministrasjon og meldingsarkivering. Tre ble gjenopprettet fullstendig, og tre ble gjenopprettet med 99 % hver.

Gjenopprettingsresultater

Dataene ble levert i etapper etter hvert som gjenopprettingen skred frem, gjennom elektroniske overføringer og forsendte datalagringsenheter. Kommunen bekreftet at alle nødvendige data var vellykket gjenopprettet uten at det ble betalt løsepenger.

Gjenopprettede data
Resultat
Prioritert sikkerhetskopi av filserver
Omtrent 34 TB hentet ut
Sikkerhetskopi av tilgangskontroll
46 GB hentet ut
Sikkerhetskopi av tilgangskontroll
Gjenopprettet med bare mindre skader
Sikkerhetskopier av GIS-hosting, SQL og web
100 % av hver gjenopprettet
Sikkerhetskopier av GIS-portal, rettsadministrasjon og meldingsarkiv
99 % av hver gjenopprettet

Gjenopprettingsoppsummering

Veien til gjenoppretting gikk via sikkerhetskopidata som overlevde angrepet, men som ikke lenger var tilgjengelige gjennom vanlige gjenopprettingsmetoder. Å finne og hente ut disse dataene krevde arbeid på tvers av flere datalagringsplattformer, RAID-konfigurasjoner og filsystemer.

Ved å arbeide seg gjennom skadde sikkerhetskopisystemer og prioritere kommunens mest kritiske data gjenopprettet DriveSavers alt kunden hadde pekt ut som nødvendig, og gjorde kompromitterte sikkerhetskopier om til en vei videre etter angrepet.

Står du overfor en lignende situasjon? Ta kontakt med DriveSavers på 1 (888) 282-2227.

Relaterte innlegg

Andy Maus er leder for strategiske partnerskap og tjenester for gjenoppretting etter cyberangrep hos DriveSavers, hvor han leder tiltak som hjelper organisasjoner med å gjenopprette kritiske data etter cyberhendelser, ransomware-angrep og andre sikkerhetsbrudd. Han begynte hos DriveSavers i 2023 etter mer enn to år hos Arete Incident Response, hvor han innførte datagjenopprettingstjenester i selskapets gjenopprettingsportefølje og etablerte strategiske allianser med SentinelOne, Dell og Presidio.
Tidligere, hos Ontrack Data Recovery, hadde han ansvaret for det globale salget og støttet komplekse datagjenopprettinger for kunder i 22 land. Med mer enn tre tiår i teknologibransjen – inkludert lederstillinger hos Dell, Mitel og Level 3 Communications – har Andy omfattende erfaring innen håndtering av cybersikkerhetshendelser, metoder for datagjenoppretting og tekniske operasjoner i stor skala.

TwitterFacebookLinkedInInstagram
Tilbake til toppen
Søk