Diagnosi
Un ransomware trasforma il RAID in un problema logico
Un RAID può sopravvivere al guasto di un disco, ma non protegge dalle scritture malevole. Il ransomware agisce a livello logico: cifra, rinomina, cancella o sostituisce file sul volume accessibile. La ridondanza riproduce allora lo stato errato sull'insieme.
Il primo errore è trattare l'incidente come un semplice guasto hardware. Aggiungere un disco, ricostruire, riavviare il server o ripristinare d'urgenza può modificare lo stato iniziale. Le tracce utili possono scomparire prima ancora che inizi la diagnosi.
Bisogna distinguere diversi livelli: dischi fisici, controller RAID, file system, snapshot, backup, log e file cifrati. Ciascuno può contenere una parte della risposta oppure aumentare la confusione se viene modificato troppo presto.
La pagina sul recupero dati da sistemi RAID presenta il servizio. Qui l'attenzione è rivolta al ransomware e alla conservazione degli elementi utili.
Il rischio cresce quando il RAID ospita macchine virtuali, database o condivisioni. Il ransomware può modificare grandi contenitori e non soltanto documenti visibili. I dati sembrano talvolta presenti, ma il contenuto interno è inutilizzabile.
Diagnosi
Isolare senza cancellare le tracce
Dopo il rilevamento bisogna isolare il sistema dalla rete per fermare gli accessi attivi. Isolare non significa reinizializzare. Pulizie automatiche, reinstallazioni e ripristini immediati vanno evitati finché lo stato non è documentato.
Log, date di modifica, nomi ed estensioni dei file, nota di riscatto e account usati possono aiutare a definire il perimetro. Quando possibile, queste informazioni devono essere copiate o fotografate senza modificare i volumi.
I dischi del RAID devono essere identificati e mantenuti nel loro ordine. Estrarre un'unità, cambiare alloggiamento, forzare un'importazione o accettare una ricostruzione può modificare i metadati. Anche se l'obiettivo è ripartire in fretta, conta preservare lo stato iniziale.
L'articolo sui limiti del RAID ricorda che la ridondanza non sostituisce un backup. Dopo un ransomware, il limite diventa immediato.
Vanno conservate anche le informazioni di configurazione: scheda controller, ordine dei dischi, tipo di RAID, volumi, snapshot ed esportazione delle impostazioni se disponibile. Senza questi elementi, la ricostruzione richiede più tempo e aumenta l'incertezza.
All'inizio basta spesso un rilievo semplice: foto di ogni alloggiamento, etichette dei dischi, stato dei LED, messaggio del controller e ora delle ultime azioni. Va raccolto prima di spostare o sostituire, perché dopo è difficile ricostruirlo.
Diagnosi
Controllare backup, snapshot e versioni
I backup sono spesso la soluzione migliore, ma devono essere controllati prima del ripristino. Possono essere cifrati, cancellati, troppo vecchi, incompleti o connessi al sistema compromesso. Una copia accessibile dal server potrebbe essere stata colpita.
Gli snapshot possono aiutare se la catena è integra. Possono però essere stati eliminati, corrotti o dipendere dallo stesso storage. Non bisogna presumere che siano sani senza verifica.
Ripristinare troppo presto può sovrascrivere tracce utili o mescolare stati diversi. Prima bisogna stabilire il periodo dell'attacco, i dati prioritari, lo stato dei backup e il livello di fiducia nell'ambiente di ripristino.
La documentazione dell'incidente aiuta a strutturare le informazioni. Nel caso del ransomware deve comprendere sistemi colpiti, date, account, backup disponibili e azioni già svolte.
I backup vanno verificati in un ambiente isolato. Ripristinare sulla stessa rete o sullo stesso server può esporre nuovamente i dati, nascondere l'origine dell'incidente o sovrascrivere una versione ancora utile. Il controllo deve precedere il ritorno in produzione.
La verifica non si limita all'apertura di qualche file. Deve coprire periodo, esclusioni, coerenza dei database, macchine virtuali e permessi necessari. Un backup visibile può non bastare se mancano i dati aziendali critici.
Diagnosi
Evitare ricostruzioni affrettate
Un RAID degradato dopo ransomware richiede particolare attenzione. Se un disco era già instabile prima dell'attacco, il volume può sommare guasto hardware e cifratura logica. Ricostruire senza analisi può aggravare entrambi.
Bisogna evitare di inizializzare un nuovo volume, creare un nuovo RAID con gli stessi dischi o forzare la riparazione del file system. Queste operazioni possono scrivere su metadati utili.
Quando il volume resta parzialmente accessibile, occorre ordinare i dati per priorità. Database, file aziendali, esportazioni contabili, macchine virtuali e cartelle clienti non richiedono lo stesso ordine. Una lettura mirata può essere più prudente di una scansione completa.
Datastrophe cerca prima di comprendere lo stato del RAID e poi quello logico dei dati. Un recupero utile può combinare copia fisica, ricostruzione RAID, ricerca di versioni e controllo dei backup.
Se sono presenti macchine virtuali, bisogna indicare quali siano prioritarie. Una VM di produzione, un file server e un server di test non hanno lo stesso valore. La gerarchia concentra gli sforzi sui contenitori più utili.
Occorre inoltre segnalare eventuali strumenti di cifratura, antivirus o pulizia avviati dopo l'attacco. Anche se legittimi, possono cancellare file temporanei, spostare elementi in quarantena o cambiare le date usate nella diagnosi.
Diagnosi
Preparare un caso utilizzabile
Bisogna preparare configurazione RAID, numero e ordine dei dischi, modelli, sintomi, data della scoperta, estensioni create dal ransomware e backup disponibili. Questi elementi riducono l'incertezza.
Vanno preservati anche i supporti associati: dischi di backup, NAS, server di virtualizzazione, esportazioni, snapshot e log. Un elemento secondario può contenere una versione più sana del volume principale.
L'obiettivo corretto non è necessariamente recuperare l'intero volume. Può essere più utile restituire i dati prioritari, verificarne l'integrità e ricostruire poi un ambiente pulito separato dal sistema compromesso.
Un RAID dopo ransomware va trattato come un incidente sui dati, non soltanto informatico. Il metodo più affidabile consiste nell'isolare, preservare, documentare e verificare prima di qualsiasi ricostruzione o ripristino.
Dopo il recupero bisogna separare l'analisi della vecchia infrastruttura dalla costruzione di un ambiente sano. Rimettere in servizio il volume originale senza conoscere l'estensione dell'attacco può annullare il lavoro e compromettere i dati ripristinati.
Diagnosi
Fonti tecniche primarie e limiti
Perimetro documentale — ransomware preservare recupero dati: Per RAID ransomware preservare recupero dati, le fonti primarie utilizzate sono Linux MD administration guide. Evidenza fisica — ransomware preservare recupero dati: Definiscono i concetti pertinenti di conservazione, struttura di archiviazione e convalida, ma non dimostrano lo stato fisico effettivo, il comportamento del controller, la disponibilità delle chiavi o la coerenza applicativa del dispositivo ricevuto. Evidenza del controller — ransomware preservare recupero dati: Questi aspetti richiedono misure sul gruppo originale e verifiche su copie.
Diagnosi
Richiedere una diagnosi controllata
Gruppo completo — ransomware preservare recupero dati: Per diagnosticare RAID ransomware preservare recupero dati, fornire il dispositivo o il gruppo completo, alimentatori e interfacce associati, ordine ed etichette dei membri, cronologia dei sintomi ed elenco preciso dei dati prioritari. Cronologia dell’incidente — ransomware preservare recupero dati: Le credenziali autorizzate vanno trasmesse tramite un canale protetto separato; non riavviare la sorgente solo per ottenere una nuova schermata.
Responsabilità del laboratorio — ransomware preservare recupero dati: Datastrophe esegue direttamente diagnosi, controlli di integrità e recupero nel proprio laboratorio con il proprio personale. Diagnosi gratuita — ransomware preservare recupero dati: Diagnosi e preventivo sono gratuiti. Limite del trasporto — ransomware preservare recupero dati: Il trasporto privato di andata e ritorno è incluso; il corriere sposta esclusivamente il pacco sigillato e non accede né tratta i dati.
Elenco controllato — ransomware preservare recupero dati: Prima di qualsiasi pagamento, il cliente riceve il prezzo proposto e un elenco verificato. Classi di verifica — ransomware preservare recupero dati: Ogni elemento è classificato, nell’ordine, come recoverable_verified, partial, detected_unverified o unrecoverable. Momento del pagamento — ransomware preservare recupero dati: Solo gli elementi recoverable_verified, aperti e giudicati utilizzabili, vengono presentati come recuperabili. Esito non verificato — ransomware preservare recupero dati: Il pagamento avviene dopo l’accettazione dell’elenco e del prezzo.
Esito non verificato — ransomware preservare recupero dati: Se non viene verificato alcun dato utilizzabile, il recupero non riesce oppure il cliente rifiuta elenco o prezzo, non è dovuto alcun costo standard. Ricambio eccezionale — ransomware preservare recupero dati: L’unica eccezione riguarda un ricambio raro, costoso e non rimborsabile, ordinabile soltanto dopo l’accettazione di una proposta separata, esplicita e quantificata.