最近新聞報導:國教署學習歷程檔案(類似高中三年成績單)遺失損毀。計有學校81校、學生7,854人、資料2萬5,210件.
發生原因為某大學團隊為了資安,將系統搬移到新機房運作十餘天之後，因系統更新而重新開機
(因其中有三台硬碟在一開始建立時，模式設定錯誤，系統更新重新開機後，硬碟被還原" "並且沒有做異地備份")
就新聞字義上 OSSLab Geek Lab推判
為了讓重新開機機器恢復到初始資料 (類似還原卡功能),把VM硬碟格式設定為"獨立非持續性".
這樣當關閉或重設虛擬機器時，當下run快照檔將會刪除。
在VMFS6上其快照檔案格式為 vmdk-sesparse.REDO
(當VM關機後 如圖已經驗證過 確實在VM關機狀況下 此檔案立刻會被刪除, 如果是這樣狀況,是當初架設規劃或動到的人規劃錯誤.. )。
其實虛擬化檔案系統VMFS 在thin 格式時候需要做容量回收。
因此vm檔案(VMDK) 在當初意外發生時後,其實有很大機率可以恢復成功.但根據新聞系統 9.5 就開始出問題..到現在已經超過 21天,處理此狀況變得異常複雜。
如果當下把這原始LUN立刻Unmount,確實dd備份好 ,自己處理不行後,把原始LUN再交給專業資料救援公司.相信成功機率一定非常高。
更多VMware救援真實案例
https://www.osslab.com.tw/?s=vmfs
#OSSLab #專業的來 #成績單
硬碟還原卡 在 [問題] 硬碟還原卡or 開機還原軟體對抗勒索毒- 看板AntiVirus 的推薦與評價
1. 硬碟還原卡
工作原理(wiki)
硬碟保護卡安裝在主機板PCI插槽里，在卡上有一片ROM晶片，根據PCI規範，該ROM晶片的
內容在電腦啟動時將最先得到控制權，然後它接管BIOS的INT13中斷，將FAT、啟動區、
CMOS資訊、中斷向量表等資訊都儲存到卡內的臨時儲存單元中或是在硬碟的隱藏磁區中，
用內建的中斷向量表來替換原始的中斷向量表；再另外將FAT資訊儲存到臨時儲存單元中
，用來應付我們對硬碟內資料的修改；最後是在硬碟中找到一部分連續的空磁碟空間，然
後將我們修改的資料儲存到其中。這樣，只要是對硬碟的讀寫操作都要經過硬碟保護卡的
保護程式進行保護性的讀寫，每當我們向硬碟寫入資料時，其實還是完成了寫入到硬碟的
操作，可是沒有真正修改硬碟中的FAT。而是寫到了備份的FAT表中，這就是為什麼系統重
新開機後所有寫操作一無所有的原因了。
2. 開機還原軟體
工作原理
其原理是先將硬碟剩餘的空間切出一個保留區，存放硬碟分割表（partition table）、
檔案配置表（file allocation table，FAT）與異動資料。之後在電腦啟動、作業系統載
入前接管INT 13中斷呼叫，產生一份「假的」硬碟分割表和檔案配置表欺騙作業系統，使
用者所做的任何檔案存取動作，從作業系統來看仍如平常一樣，但實際上新增異動的資料
卻是存放在先前切出來的保留區中，而非原來的分割區。
進行還原時，還原軟體只是將還原點之後新增的資料廢棄，然後將硬碟分割表和檔案配置
表恢復成原來的那一份，而不是將整個硬碟複製回去，因此復原動作才能在幾秒鐘之內完
成。
結論: 安裝 開機還原軟體 把工作中檔案備份成無副檔名的檔案放到隨身碟即可~
可以OK嗎? 各位~ 有推薦的 開機還原軟體嗎? 之前XP時常用 後來就沒用到了~
這樣子應該可以躲過勒索病毒吧~ 素不素?
--
※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 180.217.246.142
※ 文章網址: https://www.ptt.cc/bbs/AntiVirus/M.1494682387.A.C29.html
任何工作資料 重開機前要改成無副檔名放入隨身碟中並多備份一份~ 避免開機被清除~
※ 編輯: david190 (180.217.246.142), 05/13/2017 21:41:20
... <看更多>