客户背景

客户是广州天河区一家做进出口贸易的公司，大概40人。办公室里有一台群晖 DS423+ 的NAS文件服务器，配了4块4TB硬盘做了RAID5，平时所有人的报价单、合同扫描件、财务资料都存在上面。另外还有一台跑进销存软件的老式PC服务器。公司没有专职网管，平时谁电脑出问题了，就叫行政小妹打电话找人上门。

说实话，这个配置在广州中小企业IT外包客户里很典型：有一台NAS，觉得”数据都存里面了”，就以为万事大吉。离线备份、异地备份、快照策略，基本都没做过。

服务需求：一大早全公司文件打不开了

今年6月一个周二早上，客户行政打电话过来，声音都在抖：全公司电脑上，凡是打开NAS共享文件夹里的文件，Excel、PDF、图片全部打不开，文件名后面多了个奇怪的后缀。她还说，NAS桌面上多了一个txt文件，写着”支付比特币解密”。

我听完心里基本有数了：勒索病毒。我让她立刻做三件事：第一，所有电脑马上断网、拔网线；第二，NAS不要重启、不要格式化；第三，谁都别再往NAS里存东西。半小时后我们两个工程师带着备用硬盘和一台笔记本赶到现场。

服务方案：先救命，再治病

到现场先确认情况：病毒是通过一台长期没打补丁的Win7办公电脑进来的，内网横向传播，最后加密了NAS上所有共享文件夹。好消息是客户之前偶尔用移动硬盘拷过一些资料（虽然不全），坏消息是NAS本身没有任何快照备份。

我们给出的广州公司服务器数据恢复方案分两步走：

• 应急抢救：把NAS硬盘逐块取下来做镜像克隆，在克隆盘上操作，原盘封存不动。尝试从RAID元数据和被删除的快照残留中恢复未加密版本，能恢复多少是多少。
• 备份体系重建：恢复完成后，重新规划整套服务器数据备份方案，按”3-2-1原则”（3份数据、2种介质、1份异地）搭起来，杜绝再次裸奔。

客户最关心的是数据能不能回来，我们如实讲：加密过的文件解密基本没戏，我们能抢的是病毒加密前残留的旧版本和系统快照碎片。客户同意了这个方案。

执行过程：48小时抢回数据

第1步：隔离与保盘（约2小时）。全网断电断网，把4块NAS硬盘编号取下，用硬盘座逐块做dd镜像。原盘用防静电袋封好，贴上标签交给客户行政保管。所有操作只在镜像盘上进行。

第2步：残留数据恢复（约30小时）。把镜像盘挂到我们的恢复工作站上，用R-Studio扫描文件系统。群晖的Btrfs文件系统之前开过一次快照又被关掉了，但磁盘上还残留着不少快照元数据和历史版本块。扫了整整一夜一白天，最终抢回了约82%的有效文件：近三年的合同扫描件基本齐全，财务账套恢复到上个月底，进销存数据库恢复到前一周。

第3步：环境重建（约10小时）。NAS彻底格式化重装DSM系统，重建RAID5和共享文件夹，按部门划分了权限——以前是全员可读写，这次改成了财务部单独隔离。所有办公电脑批量打补丁，那台Win7直接退役换了新机，装了统一的杀毒软件并锁了USB自动运行。

第4步：备份体系上线。新采购了一台4TB移动硬盘做轮换离线备份（每周五下班行政插上自动跑，周一拔下带走），同时开通了阿里云OSS，把每天增量数据加密后上传到华南2节点。NAS上开启了Btrfs快照，每4小时一张，保留30天。

服务效果

从我们进场到客户恢复正常办公，一共用了48小时。抢回的数据覆盖了公司运营必需的核心资料，客户自己核对后说”比预想的好太多”。最关键的是后面这套广州企业数据备份体系：三个月后客户一台电脑又中了个小木马，直接从NAS快照里把被改的文件一键还原，全程不到10分钟，连电话都没打一个。

现在这家客户签了我们按年的IT外包维护：每月上门巡检一次，备份状态每周自动发报告到老板微信，NAS硬盘健康度、云端上传成功率一目了然。老板原话：”这钱花得比买保险踏实。”

费用说明

这次广州服务器数据恢复服务的费用构成如下（均为参考价，具体以上门勘测和实际工作量为准）：

• 应急上门诊断 + 全网隔离保盘：800元
• 硬盘镜像克隆 + 残留数据恢复（4盘位RAID5）：约3700元
• 系统重建 + 权限规划 + 全员电脑安全加固：约1600元
• 备份体系搭建（快照策略+移动硬盘轮换+云端异地备份配置）：约2800元
• 硬件另计：4TB移动硬盘约550元，云端存储按量约每年300-500元

合计下来，这次抢救加体系重建一共花了客户不到9000元。对比一下：如果数据真丢了，重新整理三年合同资料的人力成本，财务自己都说”不敢算”。做广州公司IT运维这么多年，我最大的感触就是：备份这件事，平时觉得贵，出事了才知道便宜。

如果你公司也只有一台NAS”裸奔”，或者想评估下现有的数据安全状况，可以找我们上门做一次免费的数据安全检查，看看快照、离线备份、异地备份这三样齐了几样。