+1 (888) 440-2404

Återställer data och sinnesro sedan 1985®

Återställning av kritisk kommunal data utan att betala lösen

Återställning av kritisk kommunal data utan att betala lösen

Kund:
Kommun

Miljö:
En Dell PowerEdge RAID och ett Dell SAN; två Synology NAS och en TrueNAS-datalagring med Veeam-säkerhetskopior

Utmaningar vid återställningen:
Raderade säkerhetskopior, delvis överskrivning, fabriksåterställning och skador på filsystemet

Resultat:
Tio säkerhetskopieringsdatamängder återställda, inklusive en säkerhetskopia av en filserver på 34 TB; sex ytterligare applikationssäkerhetskopior återställda till 99–100 %

Efter en attack med INC.ransomware ställdes en kommun inför ett lösenkrav: dess virtuella produktionsmaskiner var krypterade och flera system för säkerhetskopiering var komprometterade. De säkerhetskopior som skulle ha gett en väg tillbaka till verksamheten hade raderats, delvis skrivits över och gjorts oåtkomliga. Att återställa kommunens kritiska data utan att betala lösen krävde att användbar verksamhetsdata hittades i den skadade infrastrukturen för säkerhetskopiering.

DriveSavers återställde en säkerhetskopia av en filserver på 34 TB, åtkomstkontrolldata, två virtuella diskar från webbservrar och sex ytterligare applikationssäkerhetskopior. Kommunen bekräftade till slut att all nödvändig data hade återställts, vilket gav ett alternativ till att betala angriparna.

Situationen kring dataförlusten

Attacken drabbade både datalagringen för produktion och flera lager av säkerhetskopior. Virtuella maskiner på ett Dell SAN krypterades, medan systemen som innehöll säkerhetskopieringsdata hade olika hinder för återställning.

En Dell PowerEdge-server som körde Veeam förblev åtkomlig, men dess säkerhetskopieringsvolym på 20 TB gick inte att öppna på vanligt sätt. Fjärrutvärderingen visade att cirka 33 % av volymen hade skrivits över med nollor.

Ett TrueNAS-system med åtta diskar som innehöll säkerhetskopior visade ett tomt filsystem efter att dess innehåll raderats. En Synology med 24 diskar hade återställts till fabriksinställningar. En annan, separat Synology innehöll kvarvarande Veeam-säkerhetskopior, men saknade kärnkomponenter förhindrade lyckade importer.

Med tanke på dessa olika system hade kommunen flera potentiella återställningskällor men ingen enkel väg till att återställa sin kritiska data. Ingenjörerna behövde avgöra vad som fanns kvar på den underliggande datalagringen och vilka källor som kunde ge de säkerhetskopior kunden behövde.

Återställningsprocessen

DriveSavers gick igenom miljön tillsammans med kommunen och dess incidenthanteringsleverantör och identifierade vilka system som kunde utvärderas på distans och vilka som krävde undersökning i laboratorium. Kommunen fastställde sina prioriteringar så att ingenjörerna först kunde fokusera på de viktigaste datamängderna.

Återställning av de prioriterade säkerhetskopiorna

Den Synology som hade återställts till fabriksinställningar innehöll 24 diskar konfigurerade som två RAID 6-arrayer med 12 diskar vardera. Laboratorieanalysen identifierade skador på BTRFS-filsystemet, men skanningar hittade Veeam-säkerhetskopior av kommunens prioriterade filserver och åtkomstkontrollsystem.

Ingenjörerna extraherade filserverns säkerhetskopia på cirka 34 TB och åtkomstkontrollens säkerhetskopia på 46 GB.

Återställning av två webbservrar

TrueNAS-systemet innehöll åtta diskar i en RAID 5-konfiguration med filsystemet ZFS. Skanningar hittade två säkerhetskopior av webbservrar på cirka 32 GB och 2,1 GB.

Ytterligare utvecklingsarbete gjorde det möjligt för ingenjörerna att återställa båda webbservrarnas virtuella diskar med endast mindre skador.

Utvidgning av återställningen

Kommunen begärde därefter sex ytterligare applikationssäkerhetskopior som omfattade programvara för domstolsadministration, geografiska informationssystem och ett meddelandearkiv.

Ingenjörerna hittade alla sex på den 24-diskars Synologyn och slutförde extraheringen. Dessa omfattade säkerhetskopior av GIS-hosting, portal, SQL och webb, samt säkerhetskopiorna för domstolsadministration och meddelandearkivering. Tre återställdes fullständigt och tre återställdes till 99 % vardera.

Återställningsresultat

Datan levererades i etapper allteftersom återställningen framskred, genom elektroniska överföringar och skickade datalagringsenheter. Kommunen bekräftade att all nödvändig data hade återställts utan att något lösen betalats.

Återställd data
Resultat
Prioriterad säkerhetskopia av filserver
Cirka 34 TB extraherat
Säkerhetskopia av åtkomstkontroll
46 GB extraherat
Säkerhetskopia av åtkomstkontroll
Återställda med endast mindre skador
Säkerhetskopior av GIS-hosting, SQL och webb
100 % av varje återställd
Sikkerhetskopier av GIS-portal, rettsadministrasjon og meldingsarkiv
99 % av varje återställd

Återställningsöversikt

Vägen till återställning gick via säkerhetskopieringsdata som överlevde attacken men som inte längre var åtkomliga med vanliga återställningsmetoder. Att hitta och extrahera denna data krävde arbete över flera datalagringsplattformar, RAID-konfigurationer och filsystem.

Genom att arbeta sig igenom skadade system för säkerhetskopiering och prioritera kommunens mest kritiska data återställde DriveSavers allt som kunden identifierat som nödvändigt och förvandlade komprometterade säkerhetskopior till en väg framåt efter attacken.

Befinner du dig i en liknande situation? Kontakta DriveSavers på 1 (888) 282-2227.

Relaterade inlägg

Andy Maus är chef för strategiska partnerskap och cyberåterställningstjänster på DriveSavers, där han leder initiativ som hjälper organisationer att återställa kritiska data efter cyberincidenter, ransomware-attacker och andra säkerhetsöverträdelser. Han började på DriveSavers 2023 efter mer än två år på Arete Incident Response, där han införde dataräddningstjänster i företagets återställningsportfölj och byggde upp strategiska samarbeten med SentinelOne, Dell och Presidio.
Tidigare, på Ontrack Data Recovery, ansvarade han för den globala försäljningen och stödde komplexa dataåterställningar för kunder i 22 länder. Med mer än tre decennier inom teknikbranschen – däribland ledande befattningar hos Dell, Mitel och Level 3 Communications – har Andy omfattande erfarenhet av hantering av cyberincidenter, metoder för dataåterställning och storskaliga tekniska verksamheter.

TwitterFacebookLinkedInInstagram
Tillbaka till toppen
Sök