虛擬機(jī)數(shù)據(jù)恢復(fù)—EXT4文件系統(tǒng)下KVM虛擬機(jī)數(shù)據(jù)恢復(fù)案例

虛擬化數(shù)據(jù)恢復(fù)環(huán)境&故障：
KVM是Kernel-based Virtual Machine的簡稱，是一個(gè)開源的系統(tǒng)虛擬化模塊，自Linux2.6.20版本之后集成在Linux的各個(gè)主要發(fā)行版本中。KVM使用Linux自身的調(diào)度器進(jìn)行管理。
本案例中的服務(wù)器操作系統(tǒng)為Linux，文件系統(tǒng)為EXT4。操作系統(tǒng)上的部署的幾臺(tái)KVM虛擬機(jī)被刪除，每臺(tái)KVM虛擬機(jī)包含一個(gè)qcow2格式的磁盤文件和一個(gè)raw格式的磁盤文件，用戶需要恢復(fù)的數(shù)據(jù)是raw格式的磁盤文件。這幾臺(tái)被誤刪除的虛擬機(jī)存放的是數(shù)據(jù)庫，程序代碼等數(shù)據(jù)。

虛擬化數(shù)據(jù)恢復(fù)過程：
1、將故障服務(wù)器上所有磁盤以只讀方式進(jìn)行扇區(qū)級(jí)全盤鏡像，鏡像完成后將所有磁盤按原樣還原到故障服務(wù)器中，后續(xù)的數(shù)據(jù)分析和數(shù)據(jù)恢復(fù)操作都基于鏡像文件進(jìn)行，避免對(duì)原始磁盤數(shù)據(jù)造成二次破壞。
2、基于鏡像文件分析EXT4文件系統(tǒng)，定位被刪除虛擬機(jī)磁盤文件的節(jié)點(diǎn)位置。
3、獲取磁盤文件殘留的索引信息，校驗(yàn)殘留索引信息的正確性，北亞企安數(shù)據(jù)恢復(fù)工程師對(duì)破壞不嚴(yán)重的索引進(jìn)行修復(fù)。
獲取的索引信息：

北亞企安數(shù)據(jù)恢復(fù)——KVM虛擬機(jī)數(shù)據(jù)恢復(fù)

4、索引修復(fù)完成后，解析殘留的各級(jí)索引，從虛擬機(jī)所在的卷中提取虛擬磁盤文件。提取完成后對(duì)磁盤文件的正確性與完整性進(jìn)行校驗(yàn)。
5、根據(jù)虛擬磁盤文件的提取情況，提取卷中未被索引到的自由空間。
6、從自由空間中獲取有效信息，北亞企安數(shù)據(jù)恢復(fù)工程師嘗試修補(bǔ)虛擬磁盤文件（如節(jié)點(diǎn)，目錄項(xiàng)，數(shù)據(jù)庫頁等信息）。
提取出的自由空間：

北亞企安數(shù)據(jù)恢復(fù)——KVM虛擬機(jī)數(shù)據(jù)恢復(fù)

虛擬化數(shù)據(jù)恢復(fù)結(jié)果：
由于索引丟失，提取出的虛擬磁盤文件并不完整。
針對(duì)存放數(shù)據(jù)庫的虛擬機(jī)中數(shù)據(jù)庫文件丟失的情況，可以從自由空間中獲取數(shù)據(jù)庫頁去修補(bǔ)數(shù)據(jù)庫文件，但由于部分頁所在區(qū)域被覆蓋，只能盡量多的去補(bǔ)頁。
針對(duì)存放程序代碼的虛擬機(jī)中節(jié)點(diǎn)和目錄項(xiàng)丟失的情況，若節(jié)點(diǎn)或目錄項(xiàng)有殘留，可以嘗試去補(bǔ)齊節(jié)點(diǎn)和目錄項(xiàng)。部分文件的節(jié)點(diǎn)和目錄項(xiàng)同時(shí)丟失，根據(jù)節(jié)點(diǎn)和目錄項(xiàng)之間相關(guān)聯(lián)的特性，這種情況下無法補(bǔ)齊節(jié)點(diǎn)和目錄項(xiàng)。由于程序代碼文件不具備一定的規(guī)律性，若其數(shù)據(jù)區(qū)丟失，則無法補(bǔ)齊。
部分目錄結(jié)構(gòu)：

北亞企安數(shù)據(jù)恢復(fù)——KVM虛擬機(jī)數(shù)據(jù)恢復(fù)

北亞企安數(shù)據(jù)恢復(fù)——KVM虛擬機(jī)數(shù)據(jù)恢復(fù)

數(shù)據(jù)驗(yàn)證：
在盡最大努力對(duì)虛擬磁盤文件及其中的數(shù)據(jù)庫文件進(jìn)行修補(bǔ)后，由用戶方對(duì)數(shù)據(jù)進(jìn)行驗(yàn)證。經(jīng)過用戶方仔細(xì)驗(yàn)證，發(fā)現(xiàn)有小部分?jǐn)?shù)據(jù)丟失，重要數(shù)據(jù)都在，認(rèn)可數(shù)據(jù)恢復(fù)結(jié)果。本次數(shù)據(jù)恢復(fù)工作完成。

審核編輯 黃宇