O que existe dentro de um NAS
O SNIA define NAS como um dispositivo ligado à rede que presta serviços de arquivo aos clientes, com um motor que implementa esses serviços e um ou mais dispositivos de armazenamento. Na prática, é um pequeno servidor, quase sempre com Linux, que junta os discos em RAID por software, divide o espaço com um gerenciador de volumes e formata com um sistema de arquivos. Os computadores enxergam só as pastas compartilhadas, por SMB ou NFS.
Cada fabricante combina essas camadas do seu jeito. Há aparelhos com o RAID do Linux, LVM e ext4, outros com Btrfs, outros com ZFS, que reúne RAID, volumes e arquivos numa camada só. A criptografia pode estar no volume inteiro ou em cada pasta. Por isso a recuperação começa por identificar modelo, versão do sistema e como o volume foi criado. Veja as particularidades de QNAP e Synology.
Snapshots, replicação e backup são coisas diferentes
Snapshots são fotografias do estado do volume num momento. Ocupam pouco espaço e ajudam a desfazer exclusões e alterações recentes. Mas ficam nos mesmos discos e no mesmo sistema: se o volume se corrompe, se os discos falham ou se um invasor com acesso de administrador apaga os snapshots, eles vão junto.
Replicação copia dados ou snapshots para outro equipamento, muitas vezes em intervalos curtos. Ajuda na continuidade, mas replica também o erro: uma exclusão em massa ou arquivos criptografados chegam ao destino na sincronização seguinte. Backup é a cópia separada, com versões antigas, de preferência desconectada da rede. A CISA recomenda manter cópias offline e criptografadas e testar a restauração com regularidade.
Como a avaliação funciona
O NAS não é religado para tentar consertar. Cada disco é copiado para uma imagem, na ordem das baias. Nas imagens, o RAID por software é remontado a partir dos metadados gravados em cada disco, depois o gerenciador de volumes e por fim o sistema de arquivos. Se os metadados estiverem danificados, os parâmetros são deduzidos do conteúdo. Volumes criptografados exigem a senha ou a chave original, fornecida por você.
Se o NAS foi atacado, a avaliação espera o isolamento do ambiente pela equipe responsável. A Data Rescue não faz contenção nem resposta a incidentes; avalia os discos, os snapshots que sobraram e os backups. Veja o que fazer nas primeiras horas de um ransomware.