Сегодня пользователям доступно огромное количество инструментов для восстановления данных. Но все ли они работают одинаково? Может, все они – тот же старый добрый undelete.exe с роскошным пользовательским интерфейсом вместо командной строки?
Undelete.exe
«Восстановить» или «Undelete» – так назывался инструмент для восстановления файлов, встроенный в Microsoft от MS-DOS 5.0 до 6.22. Команда просто давала «задний ход» операции удаления, снимая с нужного документа пометку «удален» в файловой системе, таким образом возвращая его в список существующих. Такие уловки действительно срабатывали во времена небольших файлов, маленьких дисков и медленных ПК.
Но сегодня, при многозадачности современных операционных систем, одновременном чтении и записи большого количества файлов, подобный подход к восстановлению файлов может просто повредить файловую систему и сделать диск непригодным для использования. Поэтому в основу работы современных инструментов для восстановления данных положен совершенно другой подход.
Современный способ восстановить удаленные файлы
Сегодняшние средства восстановления данных не изменяют файловую систему для того, чтобы получить файлы обратно. Более того, они стараются вообще ничего не записывать на диск, содержащий восстанавливаемые файлы. Простые инструменты восстановления данных будут по-прежнему анализировать файловую систему, только ничего в ней не изменяя, чтобы открыть записи, принадлежащие удаленным файлам. Они будут анализировать эти записи, пытаясь выяснить, на каких секторах они находятся. Затем прочитают нужные сектора и сохранят новый файл в другом месте. Чуть более сложные инструменты восстановления приложат еще и дополнительные усилия, чтобы проверить всю файловую систему в поисках записей, указывающих на эти сектора диска. Однако если некоторые секторы, принадлежащие удаленным файлам, будут использованы другими файлами, шансы на успешное восстановление снижаются.
Поиск по сигнатурам
Наконец, некоторые из лучших инструментов для восстановления данных (например, RS Partition Recovery) будут использовать интеллектуальные алгоритмы, помогающие найти удаленные файлы, даже если они больше не появляются в файловой системе. Они работают, выполняя полное сканирование поверхности диска в режиме глубокого анализа и сравнивая результаты с базой данных поддерживаемых форматов файлов. Если сигнатура известного типа файла обнаружена (например, подпись «JFIF» для файлов JPEG, «% PDF%» для Adobe PDF и так далее), то инструмент проанализирует заголовок файла, чтобы вычислить его размер. Наконец, зная точное начало и размер файла, этот инструмент может определить, какие сектора диска относятся к файлу. Конечно, информация из файловой системы также будет использоваться для того, чтобы сделать результат более точным.
Заключение
Сегодняшние инструменты для восстановления данных ушли далеко вперед по сравнению с древней «undelete.exe». Они точно не повредят файловую систему, поскольку используют сложные алгоритмы, помогающие им найти и восстановить файлы, даже если они больше не появляются в файловой системе. В результате, ваши шансы на успешное восстановление сейчас значительно выше, чем они были бы всего десять лет назад.