Odzyskiwanie danych z NAS Synology, QNAP i WD My Cloud — laboratorium w Warszawie

Synology, QNAP i WD My Cloud dają wygodę, centralny dostęp do danych i często pozorne poczucie bezpieczeństwa. Problem zaczyna się wtedy, gdy urządzenie przestaje wstawać, wolumen pokazuje błąd, RAID przechodzi w degraded, a po restarcie udziały znikają. Właśnie w takich sytuacjach najwięcej szkód robią działania "na próbę": restart za restartem, aktualizacja oprogramowania układowego, operacja modyfikująca wolumen albo odbudowa RAID uruchomiona bez pełnej diagnozy.

Bezpieczna praca z NAS zwykle wymaga ustalenia, czy problem dotyczy samych dysków, konfiguracji RAID, systemu plików, snapshotów, czy zmian wprowadzonych już po awarii. Najpierw zabezpieczamy nośniki i odtwarzamy logikę wolumenu bez pogarszania stanu danych; szybkie uruchomienie urządzenia nie jest tu najważniejsze.

Z jakimi awariami NAS trafia do laboratorium najczęściej

• status "degraded" lub "offline" po awarii jednego z dysków,
• problem z wolumenem po aktualizacji DSM / QTS,
• brak dostępu do udziałów mimo widocznych dysków,
• ransomware, zaszyfrowane udziały lub logiczne uszkodzenie danych,
• błędna migracja, problemy po wymianie dysku albo reset urządzenia,
• WD My Cloud albo podobny NAS widoczny w sieci, ale bez dostępu do plików.

Czego nie robić po awarii NAS

1. Nie uruchamiaj odbudowy RAID, jeżeli nie masz pewności, że problem dotyczy tylko jednego jednoznacznie uszkodzonego dysku.
2. Nie aktualizuj systemu w trakcie incydentu.
3. Nie inicjuj ponownie wolumenu i nie zgadzaj się na automatyczne operacje naprawcze, jeśli nie wiesz, co zmieniają. Nie zmieniaj też kolejności dysków w zatokach: informacja o ich pierwotnym położeniu jest potrzebna do ustalenia konfiguracji macierzy i prawidłowej rekonstrukcji wolumenu.
4. Nie zakładaj, że skoro NAS się włącza, to dane są bezpieczne.
5. Nie traktuj snapshotów jako jedynej ochrony — po niektórych incydentach one też bywają uszkodzone lub zaszyfrowane.

Jak wygląda bezpieczne odzyskiwanie danych z NAS

Odzysk zaczyna się od ustalenia, czy problem leży w fizycznych nośnikach, logice macierzy, systemie plików czy samej warstwie NAS. W zależności od przypadku potrzebne bywa obrazowanie dysków, rekonstrukcja RAID, analiza ext4, btrfs lub innych struktur, a czasem także praca na materiale po incydencie bezpieczeństwa. Rekonstrukcji nie prowadzi się na oryginalnych dyskach bez potwierdzenia parametrów układu.

W praktyce najpierw zabezpiecza się nośniki i parametry układu, potem odtwarza logikę wolumenu, a dopiero na końcu przechodzi do odzysku plików. To właśnie odróżnia procedurę laboratoryjną od pochopnych działań wykonywanych w panelu administracyjnym z nadzieją, że NAS sam wróci do działania.

Kiedy sprawę warto eskalować od razu

• na NAS-ie są dane kilku działów albo kopie zapasowe całej firmy,
• pojawiły się błędy dysków lub zanik wykrywania,
• problem wystąpił po aktualizacji lub zaniku zasilania,
• ktoś już podejmował próby odbudowy RAID lub modyfikacji wolumenu,
• w grę wchodzi ransomware, incydent bezpieczeństwa albo dane osobowe.

NAS Synology, QNAP albo WD My Cloud przestał działać?
Opisz model urządzenia, liczbę dysków, status macierzy i dokładny komunikat błędu. Urządzenia i dyski z NAS przyjmujemy po wcześniejszym kontakcie w Warszawie na Białołęce lub wysyłkowo.

Co przygotować przed kontaktem z laboratorium

W przypadku NAS bardzo pomaga uporządkowanie kilku informacji jeszcze przed wysyłką urządzenia lub samych dysków. Zanotuj model obudowy, liczbę nośników, kolejność ich slotów, nazwę wolumenu, ostatnie komunikaty z panelu oraz to, czy ktoś wcześniej próbował odbudowy RAID, aktualizacji lub resetu. Jeśli nośniki mają trafić do nas z innego miasta, skorzystaj z instrukcji wysyłki dysków z RAID/NAS do laboratorium.

Jeżeli urządzenie jeszcze się uruchamia, nie wykonuj nowych operacji administracyjnych "na próbę". Zamiast tego zrób zdjęcia komunikatów, zapisz logi i zabezpiecz nośniki w kolejności, w jakiej pracowały w macierzy. To znacznie skraca drogę do właściwej diagnozy i zmniejsza ryzyko, że późniejsza analiza będzie musiała odtwarzać historię incydentu z fragmentów pamięci i logów.

Kiedy awaria NAS przestaje być incydentem ograniczonym do użytku domowego

Jeżeli na urządzeniu były jedyne kopie zdjęć, projektów, dokumentacji firmowej albo nagrań z monitoringu, sytuacja szybko przestaje być incydentem ograniczonym do użytku domowego. Wtedy każdy dodatkowy zapis, odbudowa albo operacja naprawcza z poziomu panelu może zmniejszać szanse na bezpieczne odzyskanie danych. Jeśli awaria dotyczy macierzy lub serwera, przejdź do odzyskiwania danych z RAID; dla nośników serwerowych osobną ścieżką są dyski SAS. W wielu przypadkach lepiej zatrzymać działania i skonsultować scenariusz niż przyspieszać awarię.