計算機本身就是一套物理與邏輯結(jié)構(gòu)極其嚴謹?shù)南到y(tǒng)，我們或是說整個IT從業(yè)人員，對于計算機來說無異于管中窺豹。
大多數(shù)時候，我們因為各種主觀原因忽略了事情的多面性，或是說我們總有不能掌控全局的時候。所以有時候，如果找的數(shù)據(jù)恢復工程師不夠?qū)I(yè)，也有可能會造成數(shù)據(jù)安全事故。
下面說兩起典型的因為數(shù)據(jù)恢復工程師帶來的數(shù)據(jù)恢復安全事故。
事故1：2014年某月，南方某城，客戶因為要克隆存儲，將 Dell R720 上的6塊磁盤帶到當?shù)匾患覕?shù)據(jù)恢復公司進行磁盤鏡像，然后把鏡像完成的磁盤在另一臺同樣的dell R720服務(wù)器導入RAID配制信息，這樣就有兩臺一樣數(shù)據(jù)的服務(wù)器了。
1.過程
鏡像完成后，把磁盤插入第二臺服務(wù)器中，有兩塊磁盤標志為新盤，無RAID信息，數(shù)據(jù)無效。（原是6塊磁盤組成的RAID5）
原6塊磁盤插入原服務(wù)器中，也有兩塊磁盤標志為新盤，無RAID信息，數(shù)據(jù)無效。數(shù)據(jù)事故形成。
2.分析原因
當?shù)氐臄?shù)據(jù)恢復工程師，在鏡像中使用 win7 系統(tǒng)，而且是關(guān)機插上磁盤后再開機。
客戶的系統(tǒng)為 XenServer 虛擬化系統(tǒng)，第一個分區(qū)從 2048扇區(qū)開始，分區(qū)表格式為 GPT 分區(qū)，RAID塊大小為64KB，按照RAID5的結(jié)構(gòu)推算，RAID5的第一塊磁盤和最后一塊磁盤同時存在分區(qū)表，而 win7 系統(tǒng)在啟動系統(tǒng)時會自動掃描GPT分區(qū)表，并修正錯誤，客戶原始的GPT分區(qū)是描述整個RAID的，變成單塊磁盤后win7系統(tǒng)會把GPT分區(qū)表自動修復成單塊磁盤的容量描述，并在單塊磁盤的最后寫入GPT分區(qū)表的備份。
客戶的RAID卡為 Dell 的 H710 RAID卡，H710 RAID卡會在每塊磁盤最后的 520MB 空間存儲RAID信息，win7 系統(tǒng)把GPT分區(qū)表的備份寫入最后關(guān)鍵的 16KB 空間。
因為有兩塊磁盤有GPT分區(qū)表，就是說有兩塊磁盤的RAID信息被破壞，導致RAID失效。
3.解決過程
重組RAID，鏡像出數(shù)據(jù)?？蛻粼?wù)器上重建RAID，在 winPE 或 Linux CD 系統(tǒng)下鏡像回原存儲，再修改被 win7破壞的 GPT 分區(qū)表。
4.事故預防
鏡像數(shù)據(jù)時盡量使用 windows 2008 R2 系統(tǒng)，因為windows 2008 R2 系統(tǒng)新插的磁盤被標志為脫機模式，只讀不可寫，并且不要在 win系統(tǒng)的磁盤管理器里面使用 “重新掃描磁盤”。盡量使用磁盤的熱插撥功能，不要插上磁盤后再開機。
事故2：2014年某月，北京。
因為客戶誤刪除一個 Sql server 數(shù)據(jù)庫，客戶和北京某數(shù)據(jù)恢復公司聯(lián)系后，將服務(wù)器的 4塊磁盤撥出，帶到該公司進行數(shù)據(jù)恢復。
1.過程
數(shù)據(jù)庫的數(shù)據(jù)被大量覆蓋，恢復出來的數(shù)據(jù)完全不可用，修復也失去意義。數(shù)據(jù)恢復宣告失敗?？蛻魧⒋疟P帶回單位后，重新插入服務(wù)器，發(fā)現(xiàn)系統(tǒng)無法進入系統(tǒng)，進入RAID卡，發(fā)現(xiàn)所有磁盤是認成新的磁盤，無RAID信息，此RAID上還有客戶其它數(shù)據(jù)庫和應(yīng)用程序。數(shù)據(jù)事故形成。
2.分析原因
數(shù)據(jù)恢復公司是使用IBM某型號RAID卡來連接用戶的SAS磁盤，再連上后系統(tǒng)仍無法識別，只得使用LSI 的 MegaRAID Storage Manager 軟件將客戶磁盤的RAID信息清空后，本地系統(tǒng)才識別客戶的4塊磁盤，也是因為清掉了用戶磁盤的RAID信息，導致客戶原先完好的RAID失效。
3.解決過程
重組RAID，鏡像出數(shù)據(jù)?？蛻粼?wù)器上重建RAID，在 winPE 或 Linux CD 系統(tǒng)下鏡像回原存儲。
4.事故預防
再連接用戶的單個SAS或SATA磁盤時，盡量使用SAS HBA 卡，不要使用RAID卡。
平時這種事故少有發(fā)生，是因為數(shù)據(jù)恢復這行業(yè)所接觸的RAID全是壞的RAID，清不清除RAID信息已影響不大，如果RAID是好的，只是邏輯上的事需要恢復數(shù)據(jù)，如 誤刪除、格式化、文件系統(tǒng)損壞，這時清掉RAID信息，就會進行二次數(shù)據(jù)事故。
見議使用 LSI/Dell/HP/IBM 的 SAS 6GB HBA卡（支持3TB/4TB/6TB磁盤，而且完全沒有RAID功能，不認任何RAID，也不需要清除RAID信息），如果接口不方便，也可使用dell 的 H200或 H310 RAID卡，但前題是要把 dell h200/h310 RAID卡刷成HBA 卡（感謝 黃廟芳 提供HBA的固件）。
關(guān)于達思數(shù)據(jù)恢復與取證中心
達思科技，國家級高新技術(shù)企業(yè)，天津市國家保密局涉密載體數(shù)據(jù)恢復唯一協(xié)作單位，國家保密局常用辦公設(shè)備存儲部件敏感信息檢查系統(tǒng)項目課題承接單位，數(shù)據(jù)恢復與取證行業(yè)著名品牌，在國內(nèi)乃至全亞洲數(shù)據(jù)恢復技術(shù)領(lǐng)先！達思科技的全稱是達思凱瑞技術(shù)(北京)有限公司，成立于2007年8月，注冊資金1500萬元。達思科技是一家以數(shù)據(jù)恢復與取證技術(shù)研發(fā)為核心的國家級高新技術(shù)企業(yè)，公司擁有自主知識產(chǎn)權(quán)的數(shù)據(jù)恢復與取證軟件30多種。公司下設(shè)研發(fā)中心、數(shù)據(jù)恢復與取證服務(wù)部、服務(wù)器RAID數(shù)據(jù)恢復應(yīng)急中心等。
關(guān)注達思公司微信服務(wù)號或訂閱號，獲取更多信息：
數(shù)據(jù)恢復熱線：400-700-0017
總部：達思凱瑞技術(shù)（北京）有限公司
