虛擬化故障：
一臺服務(wù)器中虛擬機數(shù)據(jù)文件丟失，hyper-v服務(wù)受到影響，服務(wù)器無法正常使用。
北亞企安數(shù)據(jù)恢復(fù)中心的硬件工程師對服務(wù)器進行物理故障排查，未發(fā)現(xiàn)服務(wù)器存在物理故障。服務(wù)器數(shù)據(jù)恢復(fù)工程師對操作系統(tǒng)進行檢測也沒有發(fā)現(xiàn)問題，也無被攻擊/感染的跡象。對文件系統(tǒng)進行進一步分析，發(fā)現(xiàn)元文件創(chuàng)建時間與數(shù)據(jù)丟失時間一致，服務(wù)器數(shù)據(jù)恢復(fù)工程師初步確定數(shù)據(jù)丟失的原因是分區(qū)格式化、文件系統(tǒng)重寫。
根據(jù)檢測結(jié)果繼續(xù)反推數(shù)據(jù)丟失原因，發(fā)現(xiàn)數(shù)據(jù)丟失當(dāng)天及以前日期的系統(tǒng)日志不存在，但服務(wù)日志、審核日志完整，未見破壞痕跡。這進一步驗證了服務(wù)器數(shù)據(jù)丟失與人為操作有關(guān)。服務(wù)器數(shù)據(jù)恢復(fù)工程師對系統(tǒng)日志進行更深一步的分析，發(fā)現(xiàn)日志文件被覆蓋，無法恢復(fù)。

虛擬化數(shù)據(jù)恢復(fù)過程：
1、將故障服務(wù)器上所有數(shù)據(jù)以只讀方式全部鏡像。后續(xù)的數(shù)據(jù)分析和數(shù)據(jù)恢復(fù)操作都基于鏡像文件進行，避免對原始磁盤數(shù)據(jù)造成二次破壞。
對底層數(shù)據(jù)進行掃描，找到大量未被覆蓋的文件索引、文件系統(tǒng)目錄項等信息。北亞企安數(shù)據(jù)恢復(fù)工程師針對本案例實際情況編寫一個小程序，掃描和提取所有文件索引項。
正常情況下，服務(wù)器的文件索引項固定為1KB，呈連續(xù)分布狀態(tài)，每個文件索引項對應(yīng)一個相應(yīng)的目錄（或文件）。但是數(shù)據(jù)恢復(fù)工程師對提取出來的文件索引項進行分析，發(fā)現(xiàn)這些文件索引項多數(shù)以16或8KB對齊，呈不連續(xù)且無規(guī)律狀態(tài)分布。這種情況下是無法找到所需的文件內(nèi)容的。
2、在所有提取出來的文件索引項中搜索“VHD”文件記錄，將與之連續(xù)的文件索引項提取出來。查看這段提取出來的文件索引項中是否有指向下一段文件索引項的記錄或者是H20屬性。如果有，則根據(jù)文件索引項中的特征去匹配下一段文件索引項；如果沒有，則跳過這段文件索引項。根據(jù)以上方法基本能查到大多數(shù)的文件索引項片段。缺失的文件索引項片段有可能被破壞了，但是可以從數(shù)據(jù)備份盤中去查找缺失的文件索引項片段。通過以上方式基本可以搜索到大部分的文件索引項，從而拼接成為一個完整的目錄項結(jié)構(gòu)。
3、將重建好的目錄結(jié)構(gòu)與服務(wù)器原有的文件系統(tǒng)目錄結(jié)構(gòu)進行替換，修改部分校驗值。使用北亞企安自主開發(fā)的工具對重建的目錄結(jié)構(gòu)進行解析和計算，這時就可以看到服務(wù)器內(nèi)丟失的數(shù)據(jù)了。
服務(wù)器數(shù)據(jù)恢復(fù)工程師在恢復(fù)出的數(shù)據(jù)中隨機拷貝出一個VHD文件，在數(shù)據(jù)恢復(fù)專用服務(wù)器上附加此VHD文件，檢查VHD中的數(shù)據(jù)完整性。
4、經(jīng)初步驗證，恢復(fù)出來的數(shù)據(jù)沒有發(fā)現(xiàn)異常。在北亞企安數(shù)據(jù)恢復(fù)專用服務(wù)器上搭建一個新的hyper-v虛擬化環(huán)境，將恢復(fù)出的數(shù)據(jù)導(dǎo)入到虛擬化環(huán)境中。由用戶方管理員對數(shù)據(jù)恢復(fù)結(jié)果。經(jīng)過驗證，確認恢復(fù)出來的數(shù)據(jù)完整有效。
5、將恢復(fù)出的數(shù)據(jù)遷移回用戶方的hyper-v環(huán)境中并啟動虛擬機，所有數(shù)據(jù)正常，本次數(shù)據(jù)恢復(fù)工作完成。


審核編輯 黃宇