Exchange 2003 c:\Exchsrvr\mdbdata\*.log deletable?

[sammy2ooo 10]

Hallo,

 

wir haben hier den Microsoft Exchange Server 2003 auf einem Windows 2000 Server laufen. Da wir zur Zeit mit W32.Netsky.P@mm!enc am kämpfen sind und dieser Virus ein paar c:\Exchsrvr\mdbdata\Exxxxxxx.log Dateien befallen hat, würde ich gerne einige von diesen Filies löschen. Ist das problemlos möglich? Bzw. kann ich diese bis auf das aktuellste File löschen? Bin leider zu wenig Exchangekenner und hoffe auf eure Tips.

 

Gruss,

Matze

[weg5st0 10]

Ich behaupte er hat die Dateien nicht befallen.

 

Du solltest sie nur dann löschen, wenn du ein Backup und eine Konsisitente Datenbank hast.

 

Richtiges Vorgehen ist im Falle des virenbefalls:

Kommunikation stoppen (SMTP anhalten).

Virenscanner anwerfen und die Queue Verzeichnisse scannen.

Dann mit dem Exchangescanner die Datenbanken scannen (Nicht mit dem Filescanner).

Dann kannst du ein Fullbackup anstossen. Läuft das sauber durch, werden die Logfiles die nicht gebraucht werden autom. gelöscht.

[staga 10]

ich denke nicht das die log files befallen sind. aber auf jeden fall würd ich einen antivirenscann durchführen. danach einen backup starten bei diesem werden dann die überflüssigen log files automatisch gelöscht.

 

gruss

staga

[sammy2ooo 10]

Hallo Götz,

 

danke für deine Antwort. Komischerweise entdeckt der Symantec Online Scan einen Virus und die Panda AV Corporate Solution mit aktueller Virensignature und aktueller Virenengine keinen...

[weg5st0 10]

Logs und Datenbanken von Exchange dürfen nicht mit einem File-Scanner überprüft werden!

[sammy2ooo 10]

ich versteh nicht ganz, warum sollen die Logdateien nach einem Backup, wie mit Veritas, verschwunden sein? Oder gibt es eine spezielle Funktion vom Exchange selber?

[sammy2ooo 10]

habe vergessen zu erwähnen, dass dieser Server als Frontend-Server fungiert

[weg5st0 10]

Bei den Logs handelt es sich um"Transaktionsprotokolle".

 

Es werden alle Transaktionen der Exchangedatenbank (neu e-Mail Bspw.) sowohl in die Datenbank geschrieben, als auch in einem Protokoll festgehalten (bei einer E-Mail auch deren Inhalt, Anhänge etc.).

 

Das hat den Hintergrund: Fällt die Datenbank (oder die Platte auf der die Datenbank liegt) aus, so kann Exchange, nach einspielen des Backups mit Hilfe dieser Protokolle alle Daten bis zum Zeitpunkt des Ausfalls wiederherstellen.

Man spricht vom Log-Replay oder wiedereinspielen der Transaktionsprotokolle.

 

Da diese also immer in Zusammenhang mit einem Fullbackup stehen, ist in der DB Engine eine Funktion eingebaut, die folgendes tut: Läuft ein Fullbackup fehlerfrei ab (Es werden keine Datenbankfehler oder inkosistenzen festgestellt), werden die überflüssigen Logfiles gelöscht.

Das funktioniert mit allen mir bekannten Backuptools die Exchange unterszützen, bspw. ntbackup, Veritas Backup Exec, ArcServe.

 

Also: Finger weg von den Logs und Virenscanner für diesen Ordner abschalten!

[woiza 10]

Hi,

 

Hier gibts Infos, welche Verzeichnisse vom virenscan auszuschließen sind.

 

Gruß

 

woiza

[weg5st0 10]

habe vergessen zu erwähnen, dass dieser Server als Frontend-Server fungiert

 

Ist das ein reiner Frontend?

Hatte der je Datenbanken?

Hat er die noch?

 

Wie alt sind die Logs?

[Christoph35 10]

Bei einem Onlinebackup wird festgestellt, welche Transaction-Logs noch nicht in die DB übernommen wurden, und bei welchen das der Fall war. Letztere werden dann von Exchange (?) gelöscht.

 

Wenn ein AV Programm an den LogDateien Änderungen vornimmt, ist die Konsistenz der Exch.-DB nicht mehr gegeben, ganz schlecht.... Deshalb dürfen AVProgramme nicht auf Datei-Ebene die LogVerzeichnisse prüfen und deshalb gibt es Online Scanner für Exchange, die auf dem Exchange AV-API (VSAPI) aufsetzen.

 

/edit: ok, viel zu langsam :D

 

 

Christoph

[woiza 10]

Hier erfährst du was zu den Logfiles.

 

Hier kriegst du die ganze Backupgeschichte erklärt, wobei auch die Sache mit den Logs und Full Backup, bzw. Restore mit Hilfe der Logs erklärt wird.

[sammy2ooo 10]

Die logs fangen bei 2004 an (E0000001.log) und hören beim heutigen Datum auf (E0000B64.log).

 

priv1.edb - aktuelles modify datum

pub1.edb - aktuelles modify datum

tmp.edb - aktuelles modify datum

priv1.stm - aktuelles modify datum

pub1.stm - aktuelles modify datum

E00.chk - aktuelles modify datum

E00.log - aktuelles modify datum

 

Auf dem Frontendserver laufen noch OWA und OMA.

[woiza 10]

Wenn da Logs seit 2004 da sind, dann ahbt ihr seit diesem Zeitpunkt kein Onlinebackup mehr gefahren. Die Logs werden in Hex durchnummeriert B64 wäre also 2916.

[sammy2ooo 10]

he wow, durch die sicherung hat der Speicherbedarf um 14GB abgenommen. Sauber :) Danke für eure Unterstützung.

 

Gruss,

Matze