Récupération de données · LanCologne

Que faut-il prendre en compte en cas de base de données Active Directory endommagée (NTDS.dit/SYSVOL) ?

Die Datei NTDS.dit enthält die Active-Directory-Datenbank eines Domänencontrollers mit Benutzern, Gruppen, Computern und Passwort-Hashes. SYSVOL enthält Gruppenrichtlinien und Anmeldeskripte. Sind beide auf dem einzigen Domänencontroller beschädigt, steht die Anmeldung im Netzwerk still.

Demande gratuite

Technischer Hintergrund

NTDS.dit ist eine ESE-Datenbank mit Transaktionsprotokollen (edb*.log). Nach einem Absturz kann sie in einem inkonsistenten Zustand („dirty shutdown“) sein. Gibt es weitere Domänencontroller, ist eine Wiederherstellung über Replikation oft der bessere Weg. Bei einem einzelnen DC entscheidet ein Systemstate-Backup oder die Rettung der Datenbankdateien.

Was Sie jetzt tun – und lassen sollten

  • Kein „esentutl /p“ (Hard Repair) an der Originaldatei – das kann Datensätze verwerfen.
  • Prüfen, ob weitere Domänencontroller oder ein Systemstate-Backup existieren.
  • Bei Ransomware: Domänencontroller isolieren und forensisch sichern.

So gehen wir vor

  • Sicherung des Datenträgers bzw. der virtuellen Maschine des Domänencontrollers.
  • Extraktion von NTDS.dit, Transaktionsprotokollen und SYSVOL.
  • Konsistenzprüfung und Wiederherstellung auf einer Kopie.
  • Übergabe an Ihre IT bzw. Ihren Dienstleister für die Wiedereinbindung.

Grenzen

  • Fehlende Transaktionsprotokolle können zu Datenverlust in jüngsten Änderungen führen.
  • Die Wiederinbetriebnahme des Verzeichnisdienstes erfolgt durch Ihre Administratoren; wir liefern die Daten.

Mögliche Ergebnisse

Gerettete Datenbank- und SYSVOL-Dateien in konsistentem Zustand, soweit technisch möglich.

So arbeiten wir bei der Datenrettung

Jeder Datenträger wird zuerst in unserem eigenen Labor in Köln diagnostiziert; die Diagnose ist kostenfrei. Danach erhalten Sie ein schriftliches Angebot und entscheiden, ob Sie es annehmen. Lehnen Sie ab, holen Sie den Datenträger nach Terminvereinbarung im Labor ab – dabei entstehen keine Versandkosten – oder wir senden ihn zurück; dafür können Versand- und Verpackungskosten anfallen. Gerettet wird an Abbildern, nicht am Original – mit professioneller Datenrettungs-Hardware wie PC-3000. Muss ein Laufwerk geöffnet werden, geschieht das an einer HEPA-H14-gefilterten Reinraumwerkbank (Clean Bench). Eine Erfolgsgarantie vor der Diagnose geben wir nicht, weil sie seriös nicht möglich ist. Ihr Datenträger und Ihre Daten bleiben vertraulich und werden nicht an Dritte weitergegeben.

1Anfrage und Einsendung oder persönliche Abgabe im Labor nach Terminvereinbarung
2Kostenfreie Diagnose der Schadensursache
3Schriftliches Angebot – erst nach Ihrer Freigabe geht es weiter; bei Ablehnung Abholung im Labor oder Rücksendung (Versand- und Verpackungskosten können anfallen)
4Rettung, Prüfung der Daten und vertrauliche Übergabe

Diagnose anfragen   Mehr zu Ablauf, Kosten und Vertraulichkeit →

Foire aux questions

Reicht es, einen neuen DC aufzusetzen?+
Wenn andere DCs mit intakter Datenbank existieren, ja. Bei einem einzelnen DC gehen ohne Rettung alle Objekte verloren.
Ist NTDS.dit sicherheitsrelevant?+
Ja. Sie enthält Passwort-Hashes und wird entsprechend vertraulich behandelt.
Kann auch ein kompromittierter DC gerettet werden?+
Die Daten können gerettet werden; ob der Stand vertrauenswürdig ist, muss nach einem Angriff forensisch bewertet werden.

Weiterführende Themen

🔗 Sujets connexes