作者 | 趙榛封圖 | CSDN付費下載于視覺中國

　　微盟刪庫事件至今發生已快1周時間，根據微盟公告介紹，官方正在緊鑼密鼓的進行著數據恢復工作。本篇文章，聯想數據恢復中心專家趙榛為這次的數據恢復工作做簡單技術分析，幫助更多關心數據恢復這件事的人能夠更好的理解技術原理和時效挑戰等熱點問題。

　　針對人為惡意刪除數據庫

　　人為惡意刪庫在國內IT圈已經不是第一次發生了，此類事件由于其高破壞性、高突發性、高隨機性，給眾多中招企業帶來了不可承受的打擊。

　　從數據恢復技術的角度來講，行業內針對這種問題的解決方案都是根據具體場景來制定的。

　　在技術難度上，Windows系統低于Linux系統和Unix系統，Sql數據庫低于Oracle數據庫和MySql數據庫。

　　數據能否恢復的主要難點：

　　數據被刪除后新寫入的數據量，是否使用SSD

　　數據能否成功被拯救，需要評估數據丟失后數據環境的破壞程度。不同的丟失原因，評估的方向不同，下面主要介紹針對此次丟失原因的評估方向，這就要涉及到操作系統的部分知識了。

　　我們常見的數據儲存介質分為HDD硬盤（機械硬盤）、SSD硬盤（固態硬盤）等，而兩種硬盤處理刪除文件的機制卻大不相同：

　　HDD硬盤：我們之所以可以將刪除的數據重新恢復出來，是因為在操作系統的刪除邏輯里，只是把數據打上了刪除標記，數據并沒有真正從硬盤中刪除。但此時，如果操作系統寫入新的數據，就有很大機率將這些被標記為已刪除的數據覆蓋掉，而一旦發生覆蓋，數據就徹底丟失了。

　　SSD硬盤：由于SSD自身機制原因，為了提高SSD寫入效率，操作系統開發了Trim指令來幫助SSD提效。但這種提效的方式會導致每一次數據被標記為被刪除后，SSD便會在很快的時間里對這一區域做清除操作，徹底銷毀這些數據。此時，除非在系統層面關閉Trim指令，不然SSD針對人為刪除這種情況幾乎是無法恢復數據的。

　　鑒于微盟并沒有直接對外宣布數據丟失，而是花費了幾天時間進行數據搶救和恢復，可以判斷，微盟并非這種情況，以下兩種情況的概率更大。一，使用的是HDD硬盤，二，使用SSD服務器但沒有開啟Trim指令。這兩種情況都為數據恢復留下了一線生機。

　　另外，通過總結之前發生過的人為惡意刪庫事件，可以看出這種破壞多發生在非工作時間，用戶、業務管理者、運維人員很難第一時間發現，難以及時停機或由于業務連續性因素即便發現也無法停機，或多或少會導致數據覆蓋的現象發生，這給數據恢復造成了很大的困難，難以保證將100%的數據完美恢復。

　　當然，在刪庫同時將業務環境也破壞，使整個業務系統癱瘓，這會阻止新數據的寫入，反而對數據恢復成功率和完整性有了很大的幫助。

　　數據恢復實施流程：

　　環境克隆、工具掃描、數據導出、數據整理、數據還原

　　1. 環境克隆：針對LUN做克隆，使整個恢復操作在鏡像版本中進行，避免破壞原數據環境，降低恢復失敗的風險。如果LUN容量大太，無法有同等空間存儲鏡像，也可以克隆每一塊物理硬盤，但克隆完成后需要在恢復環境虛擬重組成RAID陣列，才能對LUN展開恢復。由于多了虛擬重組的步驟，因此會額外增加恢復時間。

　　2. 工具掃描：根據用戶使用的文件系統對文件的組織方式，使用通用或定制開發的工具對LUN進行掃描，尋找被刪除的數據，此過程視LUN容量大小決定掃描所需時間。

　　3. 數據導出：將工具掃描找到的被刪除數據導出到第三方存儲空間，此過程視找到的數據量大小決定導出所需時間。

　　4. 數據整理：對導出的數據庫或非結構化數據做校驗、歸檔。

　　5. 數據還原：將數據庫或非結構化數據重新導入原系統環境，使業務系統重新上線，此過程視需還原數據量大小決定所需時間

　　數據恢復實施難點：數據量規模過大、潛在硬件故障風險

　　1. 數據量規模過大：由于技術方案相對成熟，人工效率不是瓶頸，通過計算硬盤I/O速度，可以大致評估出整個恢復過程的時效。但是數據量規模過大會導致容錯率降低，每一次人為原因或設備原因導致的錯誤都會增加很多額外的恢復時間。同時數據量規模過大還會導致恢復所需資源的增加，對整個恢復的成本造成很大的影響。

　　根據微盟的上市公司公告，微盟有300萬注冊用戶，以及7萬付費用戶，據此估計，微盟被刪的數據體量應該非常大，甚至有可能達到百T級別。如果按照整個恢復過程不出任何錯誤，同時恢復資源完全到位，所以數據并行同步恢復的的狀況來評估，至少也需要5到7天的時間來完成。而每一次微小的差錯都有可能增加1到2天的額外恢復時間。截至當前，微盟仍未能完全恢復數據，想必也是因為數據量規模過大造成的。

　　2. 潛在硬件故障風險：了解數據中心運維的人都知道，企業級設備最怕關機重啟。多年運轉順利的設備，可能因為一次關機維護反而暴發了硬件故障。因此在環境克隆這個階段，有一定幾率會遇到硬盤I/O錯誤或其他硬件類問題，這種故障輕則導致恢復時間延長，重則影響鏡像完整性，給數據恢復的成功率和完整性造成很大的影響。

　　聯想數據恢復中心專家趙榛認為，此次微盟數據修復工作是一個較大的工程。為了爭取數據修復的實效同時保證修復的效果，相信微盟每一步都非常謹慎，爭取在不耗費額外時間的前提下，將丟失的數據找回來。我們目前還很難對最后的結果做預測，但作為從業者，還是由衷的祝愿微盟可以早日渡過這個艱難的時刻。

　　作者簡介：趙榛，聯想云領（聯想商用服務品牌）數據安全實驗室負責人，數據恢復行業技術專家，獲得全國工業和信息化崗位高級數據恢復工程師認證，從事數據恢復工作超過10年，擁有豐富的企業級數據恢復行業經驗和成功案例。