项目八应急响应与灾难恢复

项目八应急响应与灾难恢复2024/3/29项目八应急响应与灾难恢复学习目标通过本章的学习，能够——了解应急响应与灾难恢复的含义；了解容灾与数据备份的方法和技术；了解应急响应的组织与程序；了解灾难恢复的策略与步骤；掌握Ghost和Winhex的基本使用方法。项目八应急响应与灾难恢复目录·Contents8.1应急响应与灾难恢复概述

8.2应急响应模型与操作流程

8.3数据备份

8.4灾难恢复与容灾建设

8.5容错系统

8.6应用实例项目八应急响应与灾难恢复目录·Contents8.1应急响应与灾难恢复概述8.1.1

应急响应与信息灾难的含义

8.1.2

应急响应组织的产生与发展

8.1.3

灾难发生的原因与危害

8.1.4

灾难发和灾难恢复

项目八应急响应与灾难恢复8.1应急响应与灾难恢复概述8.1.1应急响应与信息灾难的含义

应急响应通常是指一个组织为了应对各种安全事件的发生所做的准备工作以及在突发事件发生时或者发生后所采取的措施。1.应急响应的含义项目八应急响应与灾难恢复安全事件破坏数据与信息系统的行为保密性安全事件：入侵系统并读取信息、搭线窃听、远程探测网络拓扑结构和计算机系统配置等。

完整性安全事件：入侵系统并篡改数据、劫持网络连接并篡改或插入数据、安装特洛伊木马、计算机病毒（修改文件或引导区）等。可用性安全事件：系统故障、拒绝服务攻击、计算机蠕虫（以消耗系统资源或网络宽带为目的）等。

8.1应急响应与灾难恢复概述项目八应急响应与灾难恢复8.1应急响应与灾难恢复概述

由于自然的原因（洪水、台风、地震、雷击等），意外事故（火灾、塌方、供电故障），恶意攻击，人为失误等造成信息系统运行严重故障或瘫痪，使信息系统支持的业务功能停顿或服务水平不可接受、达到特定的时间的突发性事件。72.信息灾难的含义与现象项目八应急响应与灾难恢复1970年越南战争期间，美国威斯康星大学的国防数学研究中心遭到炸弹袭击。结果是一个研究生被杀害，整个建筑被炸，计算机信息系统与积累了20年的数据全部毁于一旦。9.11恐怖袭击事件更是使入驻世贸中心的几百家公司数据瞬间被毁，造成许多公司无法继续运营。8.1应急响应与灾难恢复概述项目八应急响应与灾难恢复8.1应急响应与灾难恢复概述灾难系统灾难数据灾难数据失真数据部分丧失数据完全被毁系统失灵系统瘫痪系统恶变3.灾难的类型项目八应急响应与灾难恢复8.1.3灾难发生的原因与危害1.灾难发生的原因8.1应急响应与灾难恢复概述项目八应急响应与灾难恢复2.灾难的危害根据互联网数据中心的调查，在20世纪最后10年中，在美国发生过灾难的公司中，55%的公司当即倒闭，剩下45%中，因为信息数据丢失，其中29%的公司在两年内倒闭，能生存下来的仅占16%。根据美国劳工部的统计数据，在丢失关键数据记录的公司里，90%的公司在1年内破产。对于那些丢失重要数据记录的公司来说，其利润将下降30%~50%！9.1应急响应与灾难恢复概述项目八应急响应与灾难恢复8.1.4容灾和灾难恢复容灾与灾难恢复容灾技术灾难恢复8.1应急响应与灾难恢复概述项目八应急响应与灾难恢复容灾对于计算机信息系统而言，就是提供一个能防止用户业务系统遭受各种灾难破坏与攻击影响的系统。8.1应急响应与灾难恢复概述1.容灾技术项目八应急响应与灾难恢复

从狭义的角度讲，容灾是指除了生产站点以外，用户另外建立的冗余站点，当灾难发生，生产站点受到破坏时，冗余站点可以接管用户正常的业务，达到业务不间断的目的，业务连续性是容灾的最终建设目标。8.1应急响应与灾难恢复概述项目八应急响应与灾难恢复灾难恢复是将信息系统从灾难造成的故障或瘫痪状态恢复到可正常运行状态，并将其支持的业务功能从灾难造成的不正常状态恢复到可接受状态。8.1应急响应与灾难恢复概述2.灾难恢复项目八应急响应与灾难恢复8.2应急响应模型与操作流程8.2.1应急响应模型美国国防部提出了信息保障(InformationAssurance，IA)的概念，并给出了包含防护(Protection)、检测(Detection)、响应(Response)3个环节的动态模型，后来又增加了恢复(Restore)环节，简称为PDRR模型。161.PDRR应急响应模型项目八应急响应与灾难恢复8.2应急响应模型与操作流程17应急响应过程操作流程可以用三阶段来描述:项目八应急响应与灾难恢复目录·Contents8.3数据备份8.3.1数据安全问题8.3.2数据存储技术188.3.3数据备份技术项目八应急响应与灾难恢复

IDG公司对美国发生过信息灾难的公司进行统计，55%的公司立即倒闭，29%的公司2年后倒闭。2003年，上海发生轨道工程工地坍塌，3座大楼安全受到严重威胁。为抢救楼内的数据信息，人们冒着生命危险进入即将倒塌的楼内将存放重要数据的磁盘强出。191.保护数据的重要性8.3数据备份项目八应急响应与灾难恢复数据存储量急剧膨胀。数据访问时间和方式的全方位要求，即7*24*365随时随地提供访问。数据结构与格式多样性。存储设备异构性。20数据的多样性也为数据保护提出了新的技术要求。2.数据的多样性8.3数据备份项目八应急响应与灾难恢复如何才能保护企业与个人赖以生存和发展的数据安全？最重要的是冗余技术，包括数据备份、冗余的设备、软件和人员等。目前已经有许多数据保护的技术：213.数据的保护与措施8.3数据备份项目八应急响应与灾难恢复存储介质存储方式228.3数据备份8.3.2数据存储技术项目八应急响应与灾难恢复存储介质存储方式磁盘与磁盘阵列、磁带机与磁带库、光盘与光盘库23（1）DAS-DirectAttachedStorage——直接附加存储（2）NAS-NetworkAttachedStorage——网络附加存储（3）SAN-StorageAreaNetwork——区域网络存储（4）分级存储（5）虚拟存储8.3数据备份项目八应急响应与灾难恢复241.数据备份的定义与意义定义：就是将数据加以保存，以便在系统遭受破坏或其他特定情况下，重新加以利用进行系统恢复的一个过程意义：数据备份与数据恢复是保护数据的最后手段，也是防止信息攻击的最后一道防线数据备份8.3数据备份8.3.3数据存储技术项目八应急响应与灾难恢复252.数据备份分类依据备份的数据量分类：全备份、增量备份、差分备份、综合性完备备份依据备份形式分类：物理备份、逻辑备份依据备份时间分类：冷备份（脱机备份）、热备份（联机备份）依据备份实现的层次分类：硬件冗余、软件备份依据备份地点分类：本地备份、异地备份8.3数据备份项目八应急响应与灾难恢复

数据备份的策略是指确定需要备份的内容、备份时间以及备份方式。常用的备份策略有完全备份、增量备份、差分备份以及这三种备份策略的组合。对于操作系统和应用程序代码，可在每次系统更新或安装新软件时做一次全备份。对于日常更新量很大，但总体数据量不是很大的关键应用数据库，可在每天用户使用量较小的时段安排做全备份。对于总体数据量很大，但日常更新量相对较小的关键应用数据库，可每隔一周或更长时间做一次全备份，而每隔一个较短的时间（如：每天）做一次增量备份。制定备份策略时可以参考如下规则：263.指定数据备份的规则8.3数据备份项目八应急响应与灾难恢复8.4数据恢复工具

流行的数据恢复工具有：Finaldata、EasyRecovery、DataExplore、R-Studio和Lost&Found。项目八应急响应与灾难恢复28容灾中心建设方式自行建设多方共建或通过互惠协议获取；租用商业化灾难备份中心的基础设施。8.4灾难恢复与容灾建设3.容灾中心建设方式项目八应急响应与灾难恢复8.5容错系统8.5.1容错系统与容错计算机系统的故障可分为两类：一类是“致命的”，不可能自行修复，例如系统的主要部件全部损坏；另一类是局部的，可能被修复，例如部分元件失效、线路故障、偶然干扰引起的差错等

。容错系统就是利用容错技术构造的一种能够自动排除非致命性故障的系统。1.容错系统29项目八应急响应与灾难恢复8.5容错系统硬件容错是指电子计算机在工作过程中，一旦硬件部分发生故障，在容错功能电路的支持下，自动进行切换，用正常的电路部分代替故障电路部分，从而保证系统不间断地连续运行，保证原定计算方法或运行程序准确地执行及完成的能力。软件容错是指对软件错误的容许程度以及支持硬件容错的相应软件功能。容错系统具有对故障的容许能力和自测试能力，包括硬件容错与软件容错两部分。30项目八应急响应与灾难恢复8.5容错系统 容错技术是建立在冗余技术基础之上的。冗余技术又称储备技术，它是利用系统的并联模型来提高系统可靠性的一种手段。3.冗余技术冗余技术根据资源不同 根据线路的物理连接方式 硬件冗余

软件冗余

时间冗余

信息冗余

重复线路

备份线路31项目八应急响应与灾难恢复8.5容错系统 硬件冗余是通过外加硬件的方式来达到系统容错目的的容错方式，该技术广为采用。它是用两倍、四倍甚至更多的元件堆积重复，相互并联，从而增加系统的可靠性。硬件冗余的部件可以是并行工作的，也可以只有一个模块工作，而其它模块则处于待命状态。一旦工作模块出现故障，立即切换到备份的模块之一。这种系统必须具备检错和切换能力。 软件容错技术是指开发容错软件的适宜环境和系统方法，其主要目的是提供足够的冗余信息与算法程序，使系统在实际运行过程中能够及时发现程序错误，采取补救措施，保证整个计算的正确运行。(1)硬件冗余(2)软件冗余32项目八应急响应与灾难恢复8.5容错系统 时间冗余是指以重复执行指令（指令复执）或程序（程序复算）来消除瞬时错误带来的影响。其典型应用是程序卷回。这种技术用来检验一段程序完成时的计算数据，如发现有错，则卷回继续重算那一部分。如果一次卷回不解决问题，还可多次卷回，直到故障消除或判定不能消除故障为止。 信息冗余是靠增加信息的多余度来提高可靠性的，这些附加的信息位具有如下功能：当代码中某些信息位发生错误包括附加位本身的错误时能及时发现错误检错，或者能恢复原来的信息纠错。在数字系统中的信息传送和算术逻辑运算中广泛使用的奇偶码、海明码、乘积码、循环码，以及各种算术误差码都有很强的检错或纠错能力。(3)时间冗余(4)信息冗余33项目八应急响应与灾难恢复目录·Contents8.6应用实例8.6.1运用NortonGhost进行文件备份与还原

8.6.2运用Windows7创建系统映像

34项目八应急响应与灾难恢复358.6应用实例1.NortonGhost的功能NortonGhost是美国赛门铁克公司旗下的一款出色的硬盘备份还原工具，可以实现FAT16、FAT32、NTFS、OS2等多种硬盘分区格式的分区及硬盘的备份还原。Ghost2003可以在Windows环境下运行，但其核心的备份和恢复仍要在DOS下完成，Ghost最新的版本是15.0，可以让用户直接在Windows环境下，对系统分区进行热备份而无须关闭Windows系统，它新增的增量备份功能，可以将磁盘上新近变更的信息添加到原有的备份镜像文件中去，不必再反复执行整盘备份的操作，它还可以在不启动Windows的情况下，通过光盘启动来完成分区的恢复操作。8.6.1运用NortonGhost进行文件备份与还原项目八应急响应与灾难恢复368.6应用实例2.Ghost15的安装与设置

安装（1）运行Setup.exe，然后在Ghost15安装界面中单击【下一步】按钮，如图9-8所示。

（2）在“NortonGhostInstallShieldWizard”对话框中，勾中“我接受该许可证协议中的条款(A)”，若要将ghost安装到C盘则单击【立即安装】，若要将ghost安装到其他盘则单击【自定义安装】按钮，进行安装路径设置，如图9-9所示。图9-8Ghost安装界面图9-9“NortonGhostInstallShieldWizard”对话框

项目八应急响应与灾难恢复378.6应用实例（3）安装完毕重启计算机后，Ghost15有个激活向导，引导用户激活产品，在没有激活的状态下，用户可以正常使用Ghost15的备份/恢复功能，但一些辅助功能不能使用。如果有密钥，选择第一个，输入许可证密钥并单击【下一步】进行激活，如图9-10所示。（4）进入完成界面，单击【完成】按钮。此时，要运行Ghost需要进行重启，在确保重要文件都已保存的情况下重启电脑。

图9-10“NortonGhost产品激活”对话框

项目八应急响应与灾难恢复388.6应用实例初始设置（1）设置备份的目标位置：在图9-12“EasySetup”对话框“备份目标”框中单击【浏览】按钮，可以选择备份存放的位置。

（2）更改调度：在“备份我的文档”框中单击“调度”命令，打开“更改调度”对话框，在这里可以指定运行备份的时间和频率，如图9-13所示。

图9-12“EasySetup”对话框

图9-13“更改调度”对话框

项目八应急响应与灾难恢复398.6应用实例（3）通过对事件触发器中的常规选项设置，可以指定在某些事件发生时自动运行备份，如图9-14。例如启动指定的应用程序或任意用户登录到计算机时运行备份，可以有效防止因操作失误而造成的损失或破坏，也可以有效防止黑客或病毒的攻击，通过恢复备份将应用程序或计算机状态恢复到黑客或病毒攻击之前的状态。

图9-14设置“常规”选项

项目八应急响应与灾难恢复408.6应用实例定义备份向导（1）在“定义备份向导”对话框中选择“备份我的电脑”，单击【下一步】，如图9-15所示。

（2）在“备份驱动器选择”栏中选择C盘进行备份，单击【下一步】。

（3）选择“恢复点集”选项，以节约备份所占磁盘空间及花费时间，如图9-17所示。

图9-15

“定义备份向导”对话框

图9-17选择“恢复点集”选项

项目八应急响应与灾难恢复418.6应用实例（4）用户除了将备份文件储存在本地磁盘空间外，还可以设置存储目录为网络目标。这样就可以避免本地硬盘出故障时，原文件与备份文件同时丢失的问题，如图9-18所示。

（5）对于使用GoogleDesktop工具的用户，可以选中“为GoogleDesktop启用搜索引擎支持”，开启该功能后，用户就可以使用GoogleDesktop来搜索并恢复存储在恢复文件中的文件，如图9-19所示。

图9-18

备份目标

图9-17为GoogleDesktop启用搜索引擎支持

项目八应急响应与灾难恢复428.6应用实例（6）用户可以选择对备份文件进行加密，Ghost15支持多种高强度加密方式，避免了备份文件泄密问题，如图9-20所示。

（7）在备份时间中，根据自己的需要，设置备份时间和频率，如图9-21所示。

图9-20加密设置

图9-21备份时间设置

项目八应急响应与灾难恢复438.6应用实例（8）最后检验定义备份向导完成界面中的设置信息是否与你期望的设置一致，若一致，则单击【完成】，若不一致，单击【上一步】进行修改，如图9-22所示。

图9-22定义备份向导完成界面

项目八应急响应与灾难恢复448.6应用实例3.在windows界面中运行Ghost15进入Ghost15的主页

打开Ghost15主界面选择“主页”标签，用户可以看到“当前备份状态（备份风险警报）、备份文件存储目标状况、快速进行备份与恢复、甚至还能查看实时的赛门铁克的病毒安全风险级别”这些信息，如图9-23所示。

图9-23Ghost主页项目八应急响应与灾难恢复458.6应用实例查看状态信息并恢复文件

（1）在Ghost15主界面选择“状态”标签，可以看到备份情况状态表格图，如图9-24所示。可以看到各个磁盘分区的备份情况与备份时间，还可以快速的进行恢复操作。用户选中某个备份目标时，可以进行快速的文件或分区的恢复操作。例如，右击选择“恢复我的文件”命令。图9-24

Ghost状态界面

项目八应急响应与灾难恢复468.6应用实例（2）在“恢复文件”对话框中输入部分文件名或者文件类型，例如输入“exe”，如图9-25所示。

（3）单击【搜索】按钮后，找到3个exe相关的文件，选中需要恢复的文件可以进行恢复，如图9-26所示。恢复文件时会显示文件恢复进程。