《计算机信息安全技术》第10章 数据备份与恢复

第10章数据备份与恢复10.1数据备份概述10.2系统数据备份10.3用户数据备份10.4网络数据备份10.5数据恢复

10.1数据备份概述

数据备份与恢复技术就是如何把遭到破坏和丢失的数据还原为正常的和可用的数据。数据备份就是将数据以某种方式加以保留，以便在系统需要时重新恢复和利用。对一个完整的信息安全体系而言，数据备份工作是必不可少的重要组成部分，其作用主要体现在如下两个方面：1．在数据遭到意外事件破坏时，通过数据恢复还原数据。2．数据备份是历史数据保存归档的最佳方式。与备份有关的常用术语：1．本地备份。在单机的特定存储介质上进行的备份称为本地备份。2．异地备份。将文件备份到与本地计算机物理上相分离的存储介质上称为异地备份。3．可更新备份。备份到可读写的存储介质上。4．不可更新备份。备份到只读存储介质上。5．完全备份。对包括系统应用程序和数据库等一个备份周期内的所有数据进行全部备份。6．差分备份。只备份上次完全备份以后有变化的数据。

7．增量备份。只备份上次备份以后有变化的数据。8．按需备份。是针对不同的数据内容和对数据安全性理解，有选择的备份数据。9．动态备份。利用工具软件，定时自动备份指定文件，或者文件内容变化后随时自动备份。10．镜像备份。就是把备份目标的整个磁盘区直接拷贝到存储区，一般采取压缩的方式存储数据。

10.2系统数据备份

系统数据备份主要是针对计算机系统中的操作系统、设备驱动程序、系统应用软件及常用软件工具等。10.2.1磁盘阵列RAID技术我们可以把RAID理解成一种使用磁盘驱动器的方法，它是将一组磁盘驱动器用某种逻辑方式联系起来，作为逻辑上的一个大容量磁盘驱动器来使用。由于可有多个驱动器并行工作，提高了存储容量和数据传输率，还可以提高数据的可靠性。

RAID的具体实现可以通过硬件也可以靠软件方法来完成，如WindowsNT/2000/XP操作系统就提供RAID软件功能。目前磁盘阵列模式有RAID0～RAID7。常用的磁盘阵列有5种模式：RAID0、RAID1、RAID0+1、RAID3、RAID5。1．RAID0模式：在进行数据存取时，能同时对这几个磁盘进行存储访问，提高磁盘的整体数据传输速度。2．RAID1模式：每一个磁盘驱动器都有一个对应的镜像磁盘驱动器，实现数据的自动备份。3．RAID0+1模式：为RAID0和RAID1的组合，既提高了驱动器读取速度，又保障了数据的安全性。4．RAID3模式：是把数据分成多个“块”，按照一定的容错算法，存放在N+1个硬盘上，第N+1个硬盘上存储的数据是校验容错信息，当这N+1个硬盘中的一个硬盘出现故障时，从其它N个硬盘中的数据也可以恢复原始数据，并可以继续工作，当更换一个新硬盘后，系统可以重新恢复完整的校验容错信息。

5．RAID5模式：也采用多块硬盘并行存储的模式，但在写入数据时总在其中的某块硬盘上写有该组数据的校验和，即使某一块硬盘损坏，其数据也可以通过其他硬盘上的数据恢复出来。在实际应用中，选择RAID级别时主要考虑三个因素：安全、性能和成本。10.2.2系统还原卡系统还原卡可以在硬盘非物理损坏的情况下，让硬盘系统数据恢复到预先设置的状态。还原卡的基本原理是在计算机启动时，首先接管BIOS的INT13中断，将FAT、引导区、CMOS信息、中断向量表等信息都保存到卡内的临时储存单元中，或在硬盘的隐藏扇区中作为第一个备份，用自带的中断向量表来替换原始的中断向量表；再将FAT等信息保存到临时储存单元中作为第二个备份，用来应付系统运行时对硬盘上的数据修改；最后是在硬盘中找到一部分连续的空间，以便将要修改的数据保存到其中。现在的还原卡大多集成在10M/100M网卡中，实现了网络还原功能。利用网络还原卡可在完全无人值班的情况下定时自动维护；可以让计算机自动定时网络拷贝；可以实现远程遥控开机和关机等。

10.2.3克隆大师Ghost

克隆大师NortonGhost是最著名的硬盘备份工具，Ghost对现有的操作系统都有良好的支持。

Ghost不仅具有单机硬盘备份与还原功能，还支持在网络环境下硬盘的备份与还原。用户可以实现在局域网、对等网内同时进行多台计算机硬盘克隆操作，能快速实现为网内所有计算机安装操作系统和应用程序。

还可以利用（AutoInstallBuilder）组件将已安装好的程序打包分发，实现为多台计算机同时更新应用程序。

Ghost可以将一个硬盘中的数据完全相同地复制到另一个硬盘中，它还提供硬盘备份、硬盘分区等功能。可以在DOS或Windows下直接运行Ghost.exe文件。1.硬盘备份

Ghost对硬盘进行备份是按照簇方式将硬盘上的所有内容全部备份下来，并可采用映像文件形式保存在另外一个硬盘上。

在需要恢复整个硬盘数据时，就可以利用这个映像文件，还原原硬盘上的所有数据。在硬盘或分区备份、复制之前应该做好如下准备工作：清除原硬盘或分区中“垃圾”文件，如清空回收站，对硬盘进行碎片整理。不要将有坏道的硬盘作为原盘使用，这样可以提高硬盘备份效率。硬盘备份过程请看教材和课堂演示。

2．硬盘恢复请看教材和课堂演示。3．复制硬盘请看教材和课堂演示。4．复制分区请看教材和课堂演示。5．分区备份请看教材和课堂演示。6．分区恢复请看教材和课堂演示。7．映像文件检查请看教材和课堂演示。8．硬盘工作状态检查请看教材和课堂演示。10.2.4其他备份方法1．利用主板BIOS提供的备份工具；2．利用杀毒软件的备份功能；3．操作系统的备份功能。

10.3用户数据备份

用户数据备份是针对具体应用程序和用户产生的数据。将用户重要数据与操作系统分别存储在不同的分区或其它存储器上是保护数据、提高工作效率非常有效的方法。许多操作系统和应用程序在默认状态下都将存放应用数据的位置定义到系统文件目录下（如C盘下）。由于操作系统非常容易受到计算机病毒等破坏，所以，在安装完系统和应用程序后，最好通过手工将用户数据存放到指定的数据分区上。

实际上，用户数据备份的重要性要远远大于系统数据备份的重要性，因为系统数据丢失一般是可以恢复的，而用户数据丢失一般是不可弥补的。一般应用程序都带有用户数据备份功能，在使用用户数据之前一定要学会使用用户数据备份方法。下面简单介绍两个同步备份文件工具软件SecondCopy2000和FileGenie200010.3.1SecondCopy2000SecondCopy2000是一个使用方便、功能强大的备份工具。它可以实现定时备份、同时对多个文件对象执行备份、可自定义备份文件类型，支持复制、移动、压缩、同步等多种备份功能。1．新建一个备份方案请看教材和课堂演示。2．选择要备份的文件或文件夹请看教材和课堂演示。3．选择备份的文件或文件夹存放的位置请看教材和课堂演示。4．选择备份时间请看教材和课堂演示。5．选择备份方式请看教材和课堂演示。6．高级备份属性请看教材和课堂演示。7．备份任务取名请看教材和课堂演示。8．恢复备份文件请看教材和课堂演示。10.3.2FileGenie2000FileGenie2000与常见的备份工具不同，它是一个在线监测程序，驻留系统后能自动监测文件的变化，包括文件保存、复制等操作，然后在后台自动进行文件备份。在文件完成保存后，程序的备份也自动更新，这样可以保证备份文件总是最新的，这就在最大程度上保证了备份操作的可靠和安全。

10.4网络数据备份网络存储备份管理系统是对整个网络的数据进行管理和备份。利用集中式管理工具的帮助，系统管理员可对全网的备份策略进行统一管理，备份服务器可以监控所有机器的备份作业，也可以修改备份策略，并可以及时浏览所有目录。所有数据可以备份到同一备份服务器或与应用服务器相连的任意一台磁带库或磁盘阵列中。10.4.1网络备份系统

1．网络备份系统网络备份系统一般由三个部分组成，即目标、工具和存储。（1）目标就是需要作备份或恢复的系统。（2）工具的主要功能是执行备份或恢复的任务。（3）存储就是备份的数据被保存的地方。

网络备份系统能够完成两个任务，即备份任务和恢复任务。

2．备份管理计划备份管理计划是网络备份系统的核心，它对系统的备份和恢复过程有直接指导的作用，备份管理计划包括如下几点：（1）数据风险评估数据风险评估是分析需要备份的数据，其中包括哪些机器上的数据需要备份，这些机器上运行的操作系统是什么，需要备份的数据存放在系统的什么位置，什么权限可以访问这些数据等。

（2）数据备份计划数据备份计划主要考虑两个问题：什么数据备份在什么地方和什么时候需要备份数据。一般情况下，一份数据至少应有两个拷贝，一份放在本地中心以保证数据的快速恢复和数据查询，另一份则要移到异地保存。（3）数据恢复计划在数据损坏和丢失的情况下，数据恢复过程主要考虑的是恢复数据的先后顺序。一般来说，与日常业务密切相关的数据必须优先恢复，容易恢复的数据先恢复。

3．备份工具备份工具指的是执行备份或恢复任务的工具，备份工具应该给管理员提供良好的操作界面，让管理员方便地实施备份管理计划，特别是备份过程和恢复过程。4.存储设备存储设备是存放备份数据的地方。存储设备常用介质有磁介质、光学介质和磁光学介质，如磁盘阵列、磁带库、光盘库等。10.4.2DAS直接连接存储

DAS就是将传统的服务器与存储设备直接连接的存储方式，每一个服务器只能管理和访问与之相连存储设备。

DAS作为传统的存储方案，具有结构简单，实施方便等优点。目前主要用在存储量不大或应用程序要求存储设备必须与服务器直接相连等场合。10.4.3NAS网络连接存储

NAS（NetworkAttachedStorage）是将存储设备通过集线器或交换机直接连到标准的网络拓扑结构（例如以太网）的网络上，是一种专业的网络文件存储及文件备份设备，因此也称为网络存储，NAS网络存储架构如图10.4所示。

NAS设备包含了多种信息存储设备，例如硬盘驱动器阵列、CD或DVD驱动器、磁带驱动器、可移动存储介质和简易服务器等。

NAS实际上是一种特制的网络上的文件服务器，可以将存储设备当成网络设备，使存储空间的扩展如同在网络上添加打印机一样的简单方便。

NAS结构的存储系统将存储设备与应用服务器分开数据处理，数据处理由网络中各应用服务器共同完成，存储管理软件管理网络中多个NAS设备，并形成一个连续的存储空间。

NAS设备安装的物理位置很灵活，是典型的即插即用的产品，它既可以放置在数据中心的工作组内，也可以放在其它地点，通过物理链路与网络连接起来。将NAS产品直接通过网络接口连接到网络上，只需简单地配置一下IP地址，就可以被网络上的用户所共享。

NAS将所有的软件全部固化在NAS产品或NAS引擎内，不依赖通用的操作系统，采用一个面向用户设计的、专门用于数据存储的简化操作系统。而且它本身能够支持多种协议和支持各种操作系统，因此，安装和使用均非常简单。

10.4.4SAN存储域网络

SAN（StorageAreaNetwork）信息存储区域网络，简称为存储网络，是一个独立于服务器网络系统之外的，几乎拥有无限信息存储能力的高速信息存储网络。SAN是基于光纤通道技术（FiberChannel）的电缆、交换机和集线器，将很多的信息存储设备连接起来，再与有很多不同服务器组成的网络相连接，以多点对多点的方式进行管理。SAN存储网络架构如图10.5所示。

SAN不但具有传输速度高、传输距离远和支持设备数量多的等优点，更为重要的是SAN上的所有设备均处于平等的地位。

SAN可在服务器间共享，也可以为某一服务器所专有，既可以是本地的存储设备也可以扩展到地理区域上的其他地方。

SAN存储网络提供了一个存储系统，备份设备和服务器相互连接的架构，从而大大提高了以太网络的性能。

SAN通过以下三种方式支持服务器与存储设备之间的直接高速数据传输：1．服务器到存储设备。2．服务器到服务器。3．存储设备到存储设备。

NAS结构和SAN结构主要区别有：1．NAS有文件操作和管理系统，而SAN没有这样的系统功能，其功能仅仅停留在文件管理的下一层，即数据管理。

2．NAS通过一个公共的接口实现空间的管理和资源共享，SAN仅仅是为服务器存储数据提供一个专门的快速后方通道。3．在空间的利用上，SAN是只能独享的数据存储池，NAS是共享与独享兼顾的数据存储池。4．DAS和NAS都能通过网络实现共享的存储设备，而SAN则是连接主机和存储设备的高速网络。

5．DAS和SAN设备是基于数据块访问的，而NAS设备是基于文件的。一般来说，NAS适合大量小型文件的传输，DAS和SAN更适合大型文件的传输。6．SAN的缺陷主要是成本高，系统复杂度高，而NAS的成本低，系统复杂度低。实践表明，将SAN和NAS技术综合运用到网络备份系统中，取长补短，是提高远程存储效率，增强数据的可用性，建立海量存储库等最好的方案。

10.4.5IP存储技术

IP存储技术（StorageoverIP）就是以高速以太网连接和SAN存储方案为基础，可共同使用SAN与NAS，并遵循各项标准的纯软件解决方案，通过IP协议进行数据交换的存储技术。

IP存储技术的优点是能节约大量成本，便于数据存储的集中管理，存储容量巨大，集中式备份和恢复，满足多服务器的数据直接高速备份的要求等。

IP存储技术研究包括两个方向：1.存储隧道技术存储隧道技术是将IP协议作为连接异地两个光纤SAN的隧道，用于解决两个SAN环境的互联问题。2．本地IP存储技术本地IP存储技术是将现有的存储协议，例如SCSI和光纤通道，直接集成在IP协议中，以使存储和网络可以无缝的融合。10.4.6数据迁移技术数据迁移技术就是将大量不经常访问的数据存放在价格低廉、速度较慢的磁带库等离线介质上，而在成本高、速度快的磁盘阵列等在线存储介质上只保存少量的、访问频率高的数据。既保证了大多数情况下数据访问的响应性能，也避免了大量利用率低的数据长期占用成本较高的磁盘空间。

10.5数据恢复

数据恢复就是把遭到破坏、删除和修改的数据还原为可使用数据的过程。对于系统数据，一般不会造成“灾难性”后果。而对于用户数据恢复有着更重要的意义10.5.1数据恢复概述我们可以将数据恢复分为两种情况：（1）当前的系统数据或用户数据丢失或损坏，但存储数据的物理介质没有遭到破坏，原始的备份数据也保存良好，这种情况下问题并不太严重，是可以恢复所损坏的数据；

（2）当前数据和原始的备份数据都遭到破坏，甚至存储数据的物理介质也出现逻辑或物理上的故障，这种情况将会引起灾难性后果。

为了提高数据的修复率，在发现硬盘数据丢失或遭到破坏时，最重要的就是注意“保护好现场”，要立即禁止对硬盘再进行新的写操作。进行数据恢复之前，首要的一点就是认真、细致地制订恢复计划，对每一步操作都有一个明确的目的。

10.5.2硬盘数据恢复当从硬盘中删除文件时，操作系统仅在该文件对应的目录结构信息标以删除标识，而这个被删除文件本身的数据及其在目录结构中的其他信息并没有从硬盘上清除，即使硬盘被格式化或重分区，仍会保留大部分的数据信息，除非有新的数据将之覆盖了。对硬盘来说，如果整个系统瘫痪等，恢复数据可以先恢复MBR，然后恢复DBR，FAT，FDT，最后恢复数据文件。

如果硬盘出现一般性的物理故障时，我们可以使用由俄罗斯开发的专业修复硬盘综合工具PC-3000，它能从进行硬盘原始数据的改变和修复。它可以控制硬盘的内部工作，实现硬盘内部参数模块读写和硬盘程序模块的调用，最终达到以软件修复硬盘缺陷、恢复硬盘数据的目的。现在出现了很多在Windows下非常优秀的数据恢复工具。如，针对硬盘的数据修复软件EasyRecovery，FinalData等。10.5.2硬盘数据恢复当从硬盘中删除文件时，操作系统仅在该文件对应的目录结构信息标以删除标识，而这个被删除文件本身的数据及其在目录结构中的其他信息并没有从硬盘上清除，即使硬盘被格式化或重分区，仍会保留大部分的数据信息，除非有新的数据将之覆盖了。对硬盘来说，如果整个系统瘫痪等，恢复数据可以先恢复MBR，然后恢复DBR，FAT，FDT，最后恢复数据文件。

通常来说，只要硬盘没有出现物理故障，使用教材中介绍的数据恢复软件来恢复数据的机会还是比较大的。如果硬盘出现一般性的物理故障时，我们可以使用由俄罗斯开发的专业修复硬盘综合工具PC-3000，它能从进行硬盘原始数据的改变和修复。它可以控制硬盘的内部工作，实现硬盘内部参数模块读写和硬盘程序模块的调用，最终达到以软件修复硬盘缺陷、恢复硬盘数据的目的。现在出现了很多在Windows下非常优秀的数据恢复工具。如，针对硬盘的数据修复软件EasyRecovery，FinalData等

。

10.5.2EasyRecoveryEasyRecovery是综合性能最优秀的数据恢复软件之一，它支持远程恢复功能，具有多种扫描过滤方式，数据恢复成功率高，使用简单。

EasyRecovery使用复杂的模式识别技术找回分布在硬盘上不同位置的文件碎块，并根据统计信息对这些文件碎块进行重整。

然后，EasyRecovery在内存中建立一个虚拟的文件系统并列出所有的文件和目录，高质量地找回文件。

EasyRecovery在修复过程中只是以读的形式处理要修复的分区，不会将任何数据写入它正在处理的分区。

EasyRecovery主要功有磁盘诊断（DiskDiagnostics）、数据恢复（DataRecovery）、文档修复（FileRepair）、电子邮件修复（EmailRepair）、软件升级（SoftwarUpdates）和救援中心（CrisisCenter）。每一项里都有一些子项，下面依次作简单介绍。1．磁盘诊断磁盘诊断选项下有6个选项（1）驱动器测试请看教材和演示（2）SMART测试请看教材和演示（3）容量管理请看教材和演示（4）跳线查看请看教材和演示

（5）分区测试请看教材和演示（6）数据指导请看教材和演示2．数据恢复数据恢复也有6个选项，（1