Odzyskiwanie danych z NAS QNAP i macierzy RAID

RAID (macierz dyskowa) łączy kilka dysków w jedną przestrzeń. Dane i informacje kontrolne są rozkładane między nośniki według schematu, który zależy od poziomu macierzy.

• RAID 1: te same dane na dwóch dyskach, jak w lustrze. Działa dalej po awarii jednego z nich.
• RAID 5: dane i parzystość (informacja pozwalająca odtworzyć brakujący fragment) rozłożone na co najmniej trzech dyskach. Znosi utratę jednego nośnika.
• RAID 6: dwa niezależne bloki parzystości i co najmniej cztery dyski. Znosi utratę dwóch nośników.
• RAID 10: pary lustrzane połączone w jedną przestrzeń. Przetrwa awarię po jednym dysku z każdej pary, ale nie obu dysków tej samej pary.

Nadmiarowość chroni przed awarią sprzętu, a nie przed pomyłką człowieka. Usunięcie folderu, nadpisanie pliku czy zaszyfrowanie danych trafia jednocześnie na wszystkie dyski macierzy. Prawdziwa kopia zapasowa leży na osobnym nośniku, w miarę możliwości poza samym urządzeniem.

• Awaria jednego dysku, a potem kolejnego, zanim macierz odzyskała pełną nadmiarowość.
• Nieudana odbudowa (rebuild), czyli odtwarzanie danych na nowym dysku z zawartości pozostałych. Ten proces mocno obciąża wszystkie nośniki i potrafi ujawnić słabość następnego.
• Przypadkowa ponowna inicjalizacja woluminu (utworzenie go od nowa w miejscu poprzedniego) albo przywrócenie ustawień fabrycznych, które zależnie od wybranej opcji może obejmować również woluminy.
• Przerwana aktualizacja firmware (oprogramowania urządzenia), po której NAS nie startuje lub nie montuje woluminu.
• Zanik zasilania podczas zapisu, po którym wolumin jest niedostępny albo zgłasza błędy.
• Usunięty folder udostępniony, także gdy kosz sieciowy (folder, do którego NAS przenosi skasowane pliki) był wyłączony lub opróżniony.
• Atak szyfrujący pliki, przy którym możliwości ocenia się indywidualnie, bez zapowiedzi odszyfrowania.

Każde z tych zdarzeń zostawia na dyskach inne ślady, dlatego liczy się dokładna kolejność tego, co się wydarzyło.

• Nie inicjalizuj dysków ani woluminu i nie twórz nowej macierzy na tych samych nośnikach.
• Nie uruchamiaj odbudowy, jeśli nie wiesz, który dysk jest naprawdę aktualny. Odbudowa oparta na nieaktualnym dysku może nadpisać właściwe dane.
• Nie zmieniaj kolejności dysków w kieszeniach. Jeśli wyjmujesz dyski, oznacz każdy numerem kieszeni, z której pochodzi.
• Nie uruchamiaj narzędzi, które zapisują zmiany na dyskach, w tym sprawdzania i naprawy systemu plików proponowanego przez panel urządzenia.
• Nie przywracaj ustawień fabrycznych w nadziei, że NAS sam odnajdzie dane.
• Nie trzymaj włączonego NAS-a, w którym dysk stuka, piszczy lub cyklicznie znika z listy.
• Nie podłączaj dysków z macierzy do komputera na próbę. System może zaproponować ich inicjalizację, a jedno kliknięcie zmienia zawartość nośnika.

Po ataku szyfrującym odłącz NAS od sieci, aby zatrzymać dalsze zmiany, i skontaktuj się z nami przed kolejnymi krokami.

Każdy dysk oceniamy osobno: sprawdzamy, czy jest wykrywany, czytamy parametry SMART (zapis samodiagnostyki dysku) i obserwujemy stabilność odczytu. Nośnik z objawami mechanicznymi wymaga oddzielnej decyzji, zanim przejdziemy dalej.

Jeżeli stan dysków na to pozwala, wykonujemy kopie sektor po sektorze i kolejne kroki prowadzimy na kopiach, nie na oryginałach. Na ich podstawie odtwarzamy parametry macierzy: kolejność dysków, wielkość bloku, sposób rozkładu parzystości i miejsce, w którym zaczynają się dane. Następnie analizujemy warstwy nad macierzą, czyli menedżer woluminów (warstwę dzielącą przestrzeń macierzy na woluminy) i system plików, a na końcu sprawdzamy pliki ze wskazanych folderów.

Urządzenia QNAP występują w różnych wariantach systemu i mogą korzystać z różnych typów woluminów, zależnie od modelu i konfiguracji. Strukturę danych oceniamy więc osobno w każdym przypadku. Jesteśmy niezależnym serwisem, niezwiązanym z producentem; nazwa QNAP służy tu wyłącznie do opisu rodzaju urządzenia.

• model NAS-a, liczbę dysków i ich kolejność w kieszeniach,
• poziom RAID, jeśli go znasz, oraz informację, czy wolumin był szyfrowany,
• opis zdarzenia i kroków wykonanych już po awarii,
• zrzuty ekranu lub treść komunikatów z panelu urządzenia, jeśli masz do nich dostęp,
• listę folderów i rodzajów plików, które chcesz odzyskać w pierwszej kolejności.

Zawartość szyfrowanego woluminu staje się czytelna dopiero po użyciu klucza lub hasła, które należą do Ciebie. Nie prosimy o nie w formularzu zgłoszenia. Jeśli okażą się potrzebne do uzgodnionych prac, przekażesz je wyłącznie kanałem ustalonym wcześniej z nami.