Recuperação de dados de servidores

Quando é necessário recuperar dados de um servidor?

A necessidade de recuperação pode surgir de diferentes situações. Nem sempre existe um único arquivo perdido. Em ambientes corporativos, um problema no armazenamento pode afetar volumes inteiros, sistemas de arquivos, bancos de dados ou máquinas virtuais.

Entre os cenários que podem exigir uma análise especializada estão:

• Falha física ou lógica do servidor;
• Corrupção do sistema de arquivos;
• Volume inacessível;
• Falha em discos ou conjuntos de armazenamento;
• Problemas em RAID;
• Exclusão ou perda de arquivos corporativos;
• Corrupção de bancos de dados;
• Falhas em máquinas virtuais;
• Problemas em VMDK, VHD ou VHDX;
• Indisponibilidade de servidores virtualizados;
• Falhas em NAS ou SAN;
• Dados afetados por ransomware;
• Servidor criptografado após ataque;
• Backup indisponível, incompleto ou comprometido;
• Falhas durante processos de manutenção ou migração.

O ponto central é entender o que aconteceu com os dados antes de tentar recuperá-los.

Uma intervenção inadequada pode alterar estruturas de armazenamento e dificultar análises posteriores. Por isso, cada caso precisa ser avaliado de acordo com a tecnologia utilizada, o tipo de falha e o estado atual do ambiente.

Recuperação de servidores físicos

Servidores físicos concentram diferentes componentes responsáveis pela disponibilidade das informações: discos, controladoras, volumes, sistemas operacionais, aplicações e estruturas de armazenamento.

Quando ocorre uma falha, a primeira preocupação normalmente é fazer o servidor voltar a funcionar. Porém, dependendo da causa, simplesmente reinstalar o sistema ou inicializar novamente o ambiente pode não ser a melhor decisão.

A recuperação de dados de um servidor começa pela identificação do cenário.

A análise pode considerar:

• Discos rígidos e SSDs;
• Volumes e partições;
• Estrutura do sistema de arquivos;
• Configuração de armazenamento;
• RAID;
• Dados existentes e áreas acessíveis;
• Integridade dos arquivos;
• Bancos de dados;
• Sistemas e aplicações armazenados no ambiente.

O objetivo é determinar quais informações ainda estão disponíveis e quais caminhos podem ser utilizados para recuperar os dados necessários à operação.

Recuperação de dados em servidores virtualizados

A virtualização modificou a forma como muitas empresas armazenam e executam seus sistemas. Em vez de depender diretamente de um servidor físico para cada aplicação, diferentes máquinas virtuais podem compartilhar a mesma infraestrutura.

Isso também muda a forma de investigar uma perda de dados.

Um problema no armazenamento de um ambiente virtualizado pode afetar simultaneamente várias máquinas virtuais, aplicações e serviços.

A Defense TI considera cenários envolvendo ambientes como:

• VMware;
• Hyper-V;
• Máquinas virtuais;
• VMDK;
• VHD;
• VHDX;
• Datastores;
• Storage;
• Servidores virtualizados.

Em determinados casos, a recuperação não significa simplesmente restaurar um arquivo. É necessário analisar a estrutura virtual para identificar os dados disponíveis e avaliar a possibilidade de reconstrução do ambiente.

Recuperação de servidores após ransomware

Um dos cenários mais críticos ocorre quando um servidor é atingido por ransomware.

Nesse tipo de incidente, arquivos podem ser criptografados e permanecer fisicamente armazenados no ambiente, porém inacessíveis aos sistemas e usuários.

A situação pode envolver:

• Servidor de arquivos criptografado;
• Compartilhamentos indisponíveis;
• Banco de dados afetado;
• Máquinas virtuais criptografadas;
• Servidores Windows comprometidos;
• Backup atingido pelo ataque;
• Extensões de arquivos alteradas;
• Criptografia parcial ou extensa dos dados.

A recuperação precisa ser tratada em conjunto com a resposta ao incidente.

Antes de simplesmente apagar o ambiente comprometido, é importante preservar informações relevantes para análise e entender a extensão do incidente.

Dependendo do caso, a recuperação pode envolver diferentes fontes e técnicas, como análise dos dados existentes, fragmentos de backup, cópias disponíveis, áreas não criptografadas e investigação da estrutura dos arquivos.

A própria estrutura de recuperação da Defense TI contempla análise de dados, reconstrução de máquinas virtuais e investigação de ambientes afetados por ransomware.