[心得] 搭配Btrfs快照，中了加密勒索軟體也不怕

[Mowd (mowd.tw)]

    網誌圖文版：https://blog.mowd.tw/p/3045
    =======================================


    在這個電腦病毒猖獗、勒索軟體橫行的年代，如何保護自己電腦的資料不被
    這些惡意程式破壞，是一件相當重要的事情。除了平時保持良好上網習慣，
    不隨便開啟來路不明的網站或應用程式，更重要的是當資料真的遺失時，如
    何將資料完整的救回。我有一位朋友是音樂教室的老闆，前幾天向我求救說
    他音樂成果發表會的資料全部被勒索軟體加密，又沒有備份，檔案都打不開
    了！遇到這種情形，真的只能跟他說聲抱歉，順便推坑請他買台 NAS 來備份
    重要資料，以免下次又遇到同樣狀況。不過如果以為買了 NAS 之後資料就安
    全了，其實也不對，如果能搭配 NAS 的內建的功能讓重要資料隨時自動備份
    ，才能算是萬無一失。

    後來音樂教室老闆聽了我的建議買了 Synology DS216+II，想要知道如何才
    能夠避免電腦因為中了勒索軟體，讓所有檔案都壞掉無法開啟。

    以 Synology DS216+II 為例，這是一台擁有 2 個硬碟插槽的 NAS，除了最
    基本使用 RAID 避免單顆硬碟失效造成資料損毀之外，接下來就讓 Mowd 好
    好介紹如何利用 NAS 內建的功能來保護資料吧！

    備份良方：Samba + Snapshot Replication (Btrfs 快照功能)

    一、設定步驟
        1. 設定儲存空間
        2. 設定共用資料夾
        3. 安裝快照軟體 Snapshot Replication
        4. 設定快照備份
    二、實際演練
        1. 如何知道 NAS 的 IP？
        2. 解決檔案內容被病毒篡改
        3. 解決檔案被勒索軟體加密
    三、小結


    首先介紹一下 Btrfs，Btrfs 是 Synology NAS 新提供的硬碟格式，在資料
    保護的設計與功能上比起原本的 ext4 好上許多，而 Btrfs 的快照功能，能
    夠在幾秒鐘之內將整個共用資料夾的檔案內容全部備份起來，如同替檔案照
    張相片一樣。日後如果檔案損壞了，就可以馬上還原到原來的內容。不過目
    前只有 Intel CPU 的 NAS 機種支援 Btrfs 儲存格式。

    更多 Btrfs 的介紹可以看這邊
    https://www.synology.com/zh-tw/dsm/Btrfs


    前面提到老闆因為都把影片存在自己的電腦，所以一中病毒，所有在電腦裡
    面的資料都被加密了，為了避免以上情形再度發生，我們要利用 Samba 將重
    要資料儲存在 NAS 中，並且搭配 Btrfs 的快照功能備份檔案內容，如此一
    來在檔案遭到惡意加密或是篡改時，就能夠迅速恢復成之前的檔案。接下來
    請跟著下面步驟操作，就不會再讓悲劇重演囉！


    一、設定步驟

    設定儲存空間

    Synology NAS 一買來裝好硬碟和 DSM 系統後，我們需要建立儲存空間來設
    定硬碟空間。

    打開儲存空間管理員，照著以下步驟進行設定。

    這邊可以選擇快速模式，讓 NAS 根據目前硬碟來最佳化設定儲存空間，或是
    選擇自訂模式設定各種 RAID 模式。這邊因為我只用了一顆硬碟來作為設定
    範例，所以選擇快速模式，完畢後按下一步。

    如果是全新的硬碟，可以略過硬碟檢查，如果是使用過的硬碟，建議還是檢
    查一下看是否硬碟有壞軌。

    到這一步要選擇 Btrfs 檔案系統格式，才能夠使用 Btrfs 的快照功能喔！

    最後按下套用，讓 NAS 開始建立儲存空間。

    建立完畢！可以看到我們已經建立了一個 2.62TB 的【儲存空間 1】



    設定共用資料夾

    建立完儲存空間以後，接下來我們要新增共用資料夾，才能夠把檔案放到
    NAS 裡面。

    打開控制台 -> 共用資料夾，按下新增來建立共用資料夾

    我們可以設定這個資料夾的名稱，比如將資料夾命名為【成果發表影片】。
    設定完畢後按下確定。

    在這個畫面可以設定資料夾的使用權限，現在我們只有一個使用者，所以可
    以按下確定後繼續。

    完成了！我們建立了【成果發表影片】的共用資料夾。



    安裝快照軟體 Snapshot Replication

    再來我們要安裝可以設定快照功能的應用程式，打開套件中心，輸入
    snapshot 就能夠找到這個應用程式進行安裝。



    設定快照備份

    安裝完之後就可以打開 Snapshot Replication 這個程式來設定快照，打開
    程式後切到快照分頁，可以看到目前成果發表影片這個共用資料夾還沒有設
    定排程保護，按下設定按鈕之後開始來設定吧！

    快照排程的設定十分彈性，從每天、每小時到最快可以設定每 5 分鐘就拍攝
    快照一次，因為影片不是常常更新，所以可以設定一小時拍攝快照一次就好。

    在這個分頁，我們可以根據快照數量來留下最新幾筆快照，或是根據彈性規
    則來保留快照，不建議設定為永久保留快照，因為一旦快照到達上限就不會
    再拍攝快照，需要手動刪除才可以恢復。下面我們設定的是保留最新 12 個
    小時、最近 3 天、最近 1 週的快照。

    除了排程的快照，我們也可以手動拍攝快照，只要幾秒鐘，就可以備份目前
    共用資料夾內的所有檔案。

    快照拍攝完畢，可以在快照清單看到我們剛剛新增的快照。



    二、實際演練

    接下來就讓我們將檔案放到 NAS 上，練習檔案被病毒篡改或是加密後，如何
    救回原本的檔案。我們用 Windows 來示範，在這之前，我們需要先知道
    NAS 的 IP。

    如何知道 NAS 的 IP？

    開啟控制台的資訊中心，切到網路分頁，如紅框所示，就能夠知道 NAS 的
    IP 位址了

    首先我們要把檔案放到 NAS 上，按下 [Windows] + R 鍵開啟執行視窗，輸
    入兩個反斜線後，後面接著 NAS 的 IP

    打開後會看到我們剛剛新增的共用資料夾【成果發表影片】，點進去這個資
    料夾後，將檔案複製過去。

    下面是【2016音樂成果發表會邀請函.docx】這份 Word 檔案的內容。

    接下來要開始進行演練了！由於這個資料夾設定的快照排程是一個小時，所
    以我們可以照先前步驟手動拍一個快照，或是讓系統每小時自動建立檔案快
    照。

    確定快照已經拍攝完成後，接下來我們就要來模擬檔案被修改或是被加密時
    ，如何恢復原來的檔案。



    解決檔案內容被病毒篡改

    當電腦中了病毒，剛剛才打好的音樂會邀請函，居然變成一片空白了，該怎
    麼辦呢？

    不用擔心，就讓 Synology Btrfs 的快照功能救回原本的檔案。在壞掉的檔
    案上按下右鍵，選擇【內容】

    視窗開啟後，切換到【以前的版本】這個分頁，就可以看到邀請函先前沒有
    被修改的版本，按下還原按鈕後繼續。

    按下還原按鈕之後會出現一個確認視窗，確認之後就可以成功將檔案恢復到
    先前的樣子了！

    總算把辛辛苦苦打好的邀請函救回來啦！
    另外不僅僅是單一檔案，只要是在這個共用資料夾內的文件都可以還原，
    所以也可以在資料夾按右鍵還原所有資料夾內的檔案喔！


    解決檔案被勒索軟體加密

    發現所有檔案變成看不懂的亂碼，就算把檔名改成原本的 Word 檔名也打不
    開，該怎麼辦？

    不用煩惱，在資料備份上我們已經有萬全的準備。首先打開 NAS 上的
    Snapshot Replication，切換到還原選單，並且點選還原按鈕。

    按下還原按鈕之後，會開啟快照列表，裡面會列出先前每小時的自動備份，
    我們可以選擇在資料被加密前的時間點進行還原，接著按下動作按鈕，選擇
    【依原始狀態還原】

    為了預防萬一，在開始還原之前還是可以再拍攝一次快照，按下確定按鈕之
    後就開始還原囉。

    幾秒鐘之後我們再打開資料夾看，一切全部恢復到被加密前的樣子，資料全
    部回來了！

    如果在選擇還原點的時候，不知道哪一個時間點的資料沒有被加密，可以在
    還原時點選瀏覽按鈕，開啟快照瀏覽功能。

    開啟快照瀏覽功能後，就可以在 NAS 的操作介面選擇不同時間點的快照備份
    ，也可以找到正確的快照時間點來還原了。

    在這裡的檔案也可以下載，確認檔案是不是正確的內容。在檔案上按右鍵會
    開啟一個選單，選擇下載就可以將檔案下載到電腦。

    打開來看，沒錯，這就是原本的音樂會邀請函，接下來就可以選擇這個時間
    點恢復快照囉！



    三、小結

    在還沒有使用 NAS 之前，我也是只有使用外接硬碟來備份資料，這樣做的缺
    點就是一旦外接硬碟故障，所有資料還是會不見。買了 Synology NAS 之後
    ，雖然可以搭配 RAID 避免一顆硬碟故障、全部資料不見的情況發生，但難
    免還是會擔心遇到這種會加密檔案的勒索病毒。

    不過有了 Btrfs 以及快照功能之後，再也不必擔心遇到勒索病毒了，只要簡
    單點幾下，馬上就可以把任何檔案從先前的快照備份救回來，不僅如此，因
    為拍攝的快照檔案只有系統能存取，所以快照記錄也不會被勒索病毒加密破
    壞。

    這樣的快照功能會不會很占系統空間呢？完全不會！因為快照所備份的資料
    只有檔案變動的部分，舉例來說一個 100MB 的檔案只修改了 1MB，那麼下次
    快照就只會記錄那修改的 1MB，並不會把整個 100MB 的檔案再複製一份，這
    也是為什麼快照在備份和還原都可以那麼快速的原因之一。

    如果你已經有了 Synology NAS 但還沒開啟快照功能，建議你馬上就可以動
    手設定；如果你或是你的家人朋友正為了檔案備份而苦惱，向你推薦
    Synology NAS 搭配 Btrfs 快照功能，保證是你的最佳選擇！


--
※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 61.230.52.165
※ 文章網址: https://www.ptt.cc/bbs/Storage_Zone/M.1487096015.A.190.html
→ azopper     : 上次NAS中勒索病毒連登入畫面都被綁喔
說的是2014年8月的事件吧
勒索病毒是用一個早在2013年12月就被群暉修正的安全漏洞來入侵
14-8-9 焦點觀察：我看這次群暉的 SynoLocker 入侵事件
https://blog.mowd.tw/p/1071

→ andy199113  : 非常像是廣告文
是推薦 Synology Btrfs 快照的心得分享文
推 kerkerdog   : 這廣告文也太不用心了吧
→ natoran     : 看前面就讓人略過的廣告文
推 skychy      : 現在還有atom C系列cpu變磚的隱憂吧...
是Atom C2000系列的才會有這個問題，目前Synology採用C2000系列的只有：
DS1515+、DS1815+、DS2415+

→ lab0424     : 哈，一看就覺得是廣告文阿@@
→ lab0424     : 這公司很認真經營ptt XD
推 Rusnake5566 : 為什麼沒有噓...給推幫高調^^
→ maniaque    : 葉蒨文的妹妹........
推 chang0206   : 都已經被加密要還原了，這時候還拍快照幹嘛？
也可以不用，不過是我的話可能會想把加密檔案備份下來研究看看
→ Klauhal     : 阿就廣告，文案這麼好分辨
推 ultratimes  : 沒遇過真的可怕的，用虛擬機器去上奇怪網站
→ ultratimes  : 結果是虛擬機外面的本機被綁，可怕吧
→ ultratimes  : 更正確的說虛擬機內外同時被綁
有開到共用資料夾？
另外之前也有聽過一些漏洞，可以讓特殊設計的程式跳脫到外層執行
推 chang0206   : 虛擬機內外同時被綁？不太可能，除非有開共享目錄
→ chang0206   : 然後這些目錄裡面的檔案被加密還有可能
有可能而且有發生過
https://www.quora.com/Can-a-virus-that-is-installed-on-to-a-virtual-machine-tr
a
nsfer-on-to-your-normal-OS
縮網址：https://goo.gl/v1Mc22

→ chang0206   : 你如果只是想備份被加密的檔案，用這個快照？那你
→ chang0206   : 到時候怎麼研究？再還原到被加密的狀態？
可以直接在 NAS 的操作介面用快照瀏覽器把檔案抓下來，不用再還原
推 newtonyd    : 雖然說是廣告 不過蠻實用的 謝謝
推 tonyian     : 走下坡到連廣告文都不修飾了啊？
推 mabao       : 用心整理被說是廣告,難為版大
→ HamalAri    : 原來 "以前的版本" 和 Synology 有關啊！！
掛載在 Samba 上的檔案，搭配 Synology 快照就可以用「以前的版本」還原，沒有錯喔
→ HamalAri    : 另外，你可以瀏覽 snapshot 即代表在 NAS 上是被掛
→ HamalAri    : 載起來的，而且不是以 btrfs subvolume 的形式掛載
→ HamalAri    : 而是掛載包含所有 btrfs subvolume/snapshot 的根目
→ HamalAri    : 錄； 所以這種情況如果是 synolocker 這類的毒當然
→ HamalAri    : 也是沒用的
→ HamalAri    : 業配文是一回事，內容錯誤又質量低幹麻推
#snapshot 是以 readonly 的方式掛載起來的，除非病毒聰明到 re-mount 成 rw
不然是絕對不可能改到快照資料的
/dev/mapper/vg1000-lv on /volume1/成果發表影片/#snapshot type btrfs (ro,relati
m
e,synoacl,nospace_cache,metadata_ratio=50)
如果提出錯誤指正我願意虛心接受，但您以上提出的問題不是事實，所以在此說明
推 newtonyd    : 好強!  把弱點都點出來 這樣好嗎？
推 maniaque    : (想像劇) 師程工:老闆,intel說Atom CPU 有問題耶
→ maniaque    : 師程工:那我們倉庫那一大堆備料跟 NAS成品怎賣???
→ maniaque    : 老闆(想一想):那就推個功能出來,限定Intel CPU NAS
→ maniaque    : 才有這功能,也跟客戶說CPU問題很,這樣客人就會買啦.
→ maniaque    : 才有這功能,也跟客戶說CPU問題很小,這樣客人就會買
推 scottnet    : 介紹詳盡的廣告其實也蠻有參考價值啦
→ HamalAri    : 很棒，Android 手機 rootfs 也 ro ，所以不會中毒
→ HamalAri    : 除非病毒聰明到 re-mount 成 rw
沒有絕對安全的系統，如果有特地鑽 NAS 安全漏洞設計的病毒，或許也沒辦法防止
但在這裡我們討論的是一般情況
而這篇文章也不是說只要有快照功能，資料就絕對沒問題了
做好異地備份才能確保資料安全，但這就不在這篇文章的介紹範圍內了
→ HamalAri    : 你們也不是唯一一家拿快照來廣告對抗病毒的廠商，既
→ HamalAri    : 然大家都這樣做，我也無法說這是廣告不實
未來或許真的會出現針對快照攻擊的病毒，誰知道呢？
但現階段快照功能的確能夠救回被病毒加密的檔案，所以也沒有廣告不實的問題
這只是我針對快照功能分享的心得文章，我也不是群暉的員工，您誤會了
推 glen246     : 陳學長現在應該是待在中研院吧…
推 Bohm        : 對一般USER還是有參考價值 給推
推 chang0206   : 搭配snapshot的確是可以有效處理檔案被加密的問題
→ chang0206   : 所以我不太懂H針對的點是什麼？
→ PUTOUCHANG  : 比起勒索軟體, 消費型低階 NAS 故障對我的風險更高
→ PUTOUCHANG  : RAID 1 沒有同型號的 NAS 所有資料大概都蒸發了
如果 NAS 故障，裡面的硬碟一樣可以取出用普通電腦讀取
詳情可以見 pctine 分享過的文章
https://www.mobile01.com/topicdetail.php?f=494&t=3432010
→ chang0206   : 樓上不會只在NAS存資料吧？
※ 編輯: Mowd (124.219.38.9), 02/17/2017 13:15:30
→ HwangTW     : btrfs在linux中不是已經出有一段時間了嗎@@？
推 chang0206   : 沒有吧？不是一直都在beta ?