bootsector deleted (W2K server)

[Verwijderd]

Hallo iedereen,

Ik heb hier een vreemd probleem: een tijdje geleden bleek de hele root directory van onze server gedelete te zijn (wij draaien W2K server), bij het rebooten kwam ik daar pas achter (boot.ini weg) dus je kunt je voorstellen dat dat nogal naar (understatement) was.

Uiteindelijk weer alles aan de praat gekregen. Vervolgens undelete gedraaid etc om te kijken hoe en wat met de bestanden gebeurd was, geen succes. Auditing ingesteld op de root directory.

Vanochtend echter weer alles weg (het moet vannacht/vanochtend gebeurd zijn omdat de back-up van vannacht wel nog de boot directory erop heeft). In de event viewer gekeken maar geen audits geweest, niets staat in de prullenbak etc. Er is niemand die het wachtwoord van de server weet behalve ikzelf, we draaien als virusscanner Mcafee met de laatste updates (hoewel ik betwijfel of het een virus is).

Zelf heb ik dit nog nooit meegemaakt, dus ik weet me geen raad hiermee.

Heeft iemand dit eerder meegemaakt of tips om te kijken hoe ik dit kan oplossen?

alvast enorm bedankt

[Verwijderd]

je weet zeker dat auditing goed staat? (check ff met een testbestandje ofzo)
audit je ook logon/off's?

als workaround zou ik een bootflop maken zodat je als het nodig is direct kan booten zonder repair uit te voeren.

[MAZZA]

Hangt ie aan internet?

[Verwijderd]

Zal auditing eens testen, ik audit alleen mutaties zoals deleten. Logon's niet.

Heb een directory gemaakt waarin ik alle bestanden (boot.ini etc) opgeslagen heb, en bootdiskkettes ook aangemaakt.

[Verwijderd]

MAZZA schreef op 03 April 2003 @ 14:38:
Hangt ie aan internet?

Yes, hij hangt aan het internet met een firewall ervoor, alleen de poort voor het e-mail verkeer staat open, de router word als modem voor het internet gebruikt.

Een hacker had ik al aan gedacht maar dan zou ie niet 2 keer hetzelfde doen en zou die toch meer schade willen aanrichten.

[Gutteguttegut]

Heb ik laatst ook meegemaakt..heb nu een bootflop met alle schijven/partities erop werkt perfect...waarom dit gebeurt...geen idee

[Verwijderd]

Misschien niet gerelateerd, maar toch...

Is dit een nieuw gebouwde machine?
Had een dergelijk probleem op een van mijn servers met win2K server. Bij het rebooten werd de HDD / bootsector corrupt, maar anders draaide de machine super stabiel. Dit probleem deed zich alleen af en toe voor, zonder verklaarbare reden. De oorzaak lag uiteindelijk in de afsluitprocedure van Win2K, die te snel was, met als gevolg dat bep. data niet op tijd op de HDD konden worden weggeschreven. Kijk eens in de MS knowledgebase voor artikelen...

[Verwijderd]

Verwijderd schreef op 03 April 2003 @ 14:45:
Misschien niet gerelateerd, maar toch...

Is dit een nieuw gebouwde machine?
Had een dergelijk probleem op een van mijn servers met win2K server. Bij het rebooten werd de HDD / bootsector corrupt, maar anders draaide de machine super stabiel. Dit probleem deed zich alleen af en toe voor, zonder verklaarbare reden. De oorzaak lag uiteindelijk in de afsluitprocedure van Win2K, die te snel was, met als gevolg dat bep. data niet op tijd op de HDD konden worden weggeschreven. Kijk eens in de MS knowledgebase voor artikelen...

Het gebeurt hier niet bij het afsluiten maar opeens gewoon is alles weg (alsof iemand gewoon op de c-schijf effe alle bestanden selecteert en op delete drukt).

het is overigens een Proliant ML 370 van vorig jaar, en heeft het het afgelopen jaar prima gedaan.

[Verwijderd]

Auditing getest en die werkt prima

[Verwijderd]

Boot sector =! boot.ini.

Wat was nou allemaal weg?

[mutsje]

ik zou het aanmelden bij microsoft. In ieder geval per mail en ze daarna nog even in nederland opbellen. Meld wel ff dat je alle service packs en dergelijke erop hebt staan anders sturen ze je gelijk weer weg.

[Verwijderd]

Verwijderd schreef op 03 April 2003 @ 15:51:
Boot sector =! boot.ini.

Wat was nou allemaal weg?

Sorry, de root directory was leeg, dus io.sys, boot.ini, config.sys, etc....

[mutsje]

aanmelden bij microsoft nederland. update eerst wel je system met latest service pack en patches anders helpen ze je niet.

[Kama]

Let er even op dat je geen anti-virus features in de bios aan hebt staan...

[Verwijderd]

Net effe e.a aan MS gemeld, ze willen zelfs een techneut langssturen om e.a. te bekijken.

[mutsje]

ik bedoel maar. zijn er nog kosten aan verbonden voor het sturen van die techneut? of vinden ze dit zo interesant dat ze het kostenloos doen.

[Weezer-DC]

Verwijderd schreef op 03 April 2003 @ 14:28:
Hallo iedereen,

Ik heb hier een vreemd probleem: een tijdje geleden bleek de hele root directory van onze server gedelete te zijn (wij draaien W2K server), bij het rebooten kwam ik daar pas achter (boot.ini weg) dus je kunt je voorstellen dat dat nogal naar (understatement) was.

Uiteindelijk weer alles aan de praat gekregen. Vervolgens undelete gedraaid etc om te kijken hoe en wat met de bestanden gebeurd was, geen succes. Auditing ingesteld op de root directory.

Vanochtend echter weer alles weg (het moet vannacht/vanochtend gebeurd zijn omdat de back-up van vannacht wel nog de boot directory erop heeft). In de event viewer gekeken maar geen audits geweest, niets staat in de prullenbak etc. Er is niemand die het wachtwoord van de server weet behalve ikzelf, we draaien als virusscanner Mcafee met de laatste updates (hoewel ik betwijfel of het een virus is).

Zelf heb ik dit nog nooit meegemaakt, dus ik weet me geen raad hiermee.

Heeft iemand dit eerder meegemaakt of tips om te kijken hoe ik dit kan oplossen?

alvast enorm bedankt

Ik heb regelmatig gehad dat de boot.ini weg was,
dit kwam door mcafee
Oplossing voor mij was mcafee niet de root te laten scannen...
Ging om een aantal win2k sbs

[Verwijderd]

We hebben hier ook mcafee. Bedankt voor de tip.

MS product specialist komt donderdag langs dus zal dan nog laten weten hoe en wat.