Recuperación de Información en RAIDs

Transcripción

1 Recuperación de Información en RAIDs Grupo de Investigación de Informática Forense Universidad FASTA Ing. Hugo Curti Ing. Juan Ignacio Iturriaga Ing. Ariel Podestá Ing. Bruno Constanzo

2 Indice Introducción RAID Entorno de pruebas Proceso sugerido Conclusiones y trabajo futuro

3 Introducción Proyecto PURI en sistemas distribuidos Los arreglos RAID se utilizan en ambientes donde hay altas exigencias para el hardware Capacidad de almacenamiento Redundancia e integridad de los datos Velocidad de lectura/escritura Usualmente servidores de archivos, de bases de datos, backups, etc.

4 RAID Redundant Array of Independent Disks Varias configuraciones, las más comunes son RAID 0, RAID 1, RAID o RAID 5 Puede haber discos spare Para nuestro análisis, nos enfocamos en RAID 5

5 RAID (2) RAID 5: N discos bandeados En cada banda, N-1 chunks de datos 1 chunk de paridad (XOR) Buena performance, distribuye la paridad y no genera sobrecarga en un solo disco Soporta el fallo de uno de los discos y puede reconstruir el arreglo entero si se lo reemplaza

6 RAID (3) RAID 5: Si se corrompe o se borra el superbloque RAID, se pierde la información del orden de los discos, el bandeado y la paridad Efectivamente el arreglo se vuelve inutilizable Ese es el caso que simulamos en nuestras pruebas

7 Entorno de pruebas Utilizando una distribución Linux y el software mdadm, creamos un arreglo de discos RAID 5 por software Cada disco es una imagen creada con dd con un nombre aleatorio El tamaño de chunk, offset para la partición y distribución de la paridad se determinan en forma aleatoria Sobre éste volumen, formateamos una partición NTFS En ésta partición se crean 4 archivos grandes (10Mb) con datos y se calculan sus MD5 para verificación de la reconstrucción correcta Además, se crean ~17000 archivos pequeños (aaa, aab, aac, zzx, zzy, zzz) para poblar la MFT

8 Entorno de pruebas (2) Una vez creados los archivos, se desmonta la unidad y se eliminan los superbloques RAID de cada disco. A partir de éste momento, es como si hubiéramos realizado imagenes de un conjunto de discos que pertenecieron a un RAID, pero no conocemos nada que nos pueda asistir en la reconstrucción El primer paso para la reconstrucción es renombrar las imagenes de disco para llevar un manejo más amigable Luego comienza la reconstrucción propiamente dicha

9 Proceso sugerido Si bien en particular trabajamos con NTFS, el proceso debería poder aplicarse a otros filesystems En primer lugar buscamos las estructuras remanentes del sistema de archivos: La cabecera NTFS, que se encuentra al principio y al final del sistema de archivos La cabecera de los registros FILE de la MFT En base a la cabecera NTFS establecemos en qué disco comienza el filesystem Mirando los números de archivo de los registros FILE podemos establecer en qué dirección crece el volumen dentro del arreglo RAID

10 Proceso sugerido (2) De ésta forma podemos ir viendo como se distribuyen los datos y en dónde nos encontramos con bandas de paridad. Disco A Disco B Disco C Disco D Disco E P P P P P De todos modos en la práctica hay distribuciones de paridad que se utilizan con más frecuencia que otras, por ejemplo algunos fabricantes prefieren Left- Symmetric o utilizan una distribución propia.

11 Proceso sugerido (3) El objetivo del ejercicio es reducir las probables distribuciones de los discos de N! a un número más razonable. Para 5 discos, son 120 permutaciones posibles, sin embargo no son raros los arreglos de 9 o 10 discos, donde ya son cientos de miles o millones de permutaciones....y hay servidores con espacio para 24, 36 o 48 discos en RAID Un vez que se pudo reducir las distribuciones a un conjunto testeable, se reconstruye el RAID por medio de un filesystem FUSE al que se le indica el orden de los discos Si logramos montar el disco, es muy probable que hayamos obtenido el orden correcto......de todas formas verificamos los archivos a los que calculamos su MD5

12 Conclusiones y trabajo futuro Un arreglo RAID desordenado es un desafío, pero es posible reconstruirlo realizando un análisis sobre las estructuras del sistema de archivos Si bien específicamente vimos un ejemplo con NTFS, utilizando las estructuras de otro filesystem y la forma en que se distribuyen, es posible realizar la reconstrucción también en esos casos FAT tiene una estructura más simple Ext 3 y Ext 4 tienen superbloques e inodos que también se prestan a un análisis similar

13 Preguntas Muchas gracias!