Восстановление данных - Data recovery

В вычисление, восстановление данных это процесс восстановления (восстановления) недоступных, потерянных, поврежденных, поврежденных или отформатированных данных из вторичное хранилище, съемные медиа или же файлы, когда к хранящимся в них данным невозможно получить доступ обычным способом. Данные чаще всего сохраняются с носителей, таких как внутренние или внешние. жесткие диски (Жесткие диски), твердотельные накопители (SSD), USB-накопители, магнитные ленты, Компакт-диски, DVD, RAID подсистемы и другие электронные устройства. Восстановление может потребоваться из-за физического повреждения запоминающих устройств или логического повреждения файловая система что мешает ему быть установленный хозяином Операционная система (ОПЕРАЦИОННЫЕ СИСТЕМЫ).

Наиболее распространенный сценарий восстановления данных включает сбой операционной системы, неисправность запоминающего устройства, логический сбой запоминающих устройств, случайное повреждение или удаление и т. Д. (Как правило, на одном диске, на одном диске).раздел, система с одной ОС), и в этом случае конечная цель - просто скопировать все важные файлы с поврежденного носителя на другой новый диск. Этого легко добиться с помощью Live CD или DVD, загрузившись непосредственно с ROM вместо поврежденного диска. Многие Live CD или DVD предоставляют средства для устанавливать системный диск и резервные диски или съемный носитель, а также для перемещения файлов с системного диска на резервный носитель с помощью Файловый менеджер или же ПО для создания оптических дисков. Такие случаи часто можно смягчить, если: разметка диска и постоянное хранение ценных файлов данных (или их копий) в разделе, отличном от заменяемых системных файлов ОС.

Другой сценарий включает сбой на уровне диска, например, взломанный файловая система или раздел диска, или отказ жесткого диска. В любом из этих случаев данные с мультимедийных устройств не просто считываются. В зависимости от ситуации решения включают восстановление логической файловой системы, таблицы разделов или Главная загрузочная запись, или обновление прошивки, или методы восстановления диска, начиная от программного восстановления поврежденных данных, аппаратного и программного восстановления поврежденных областей обслуживания (также известных как "прошивка" жесткого диска) до замены оборудования на физически поврежденных диск, который позволяет извлекать данные на новый диск. Если восстановление диска необходимо, сам диск обычно выходит из строя безвозвратно, и основное внимание уделяется однократному восстановлению, сохраняя все данные, которые можно прочитать.

В третьем сценарии файлы были случайно "удалено "с носителя данных пользователями. Как правило, содержимое удаленных файлов не удаляется сразу с физического диска; вместо этого ссылки на них в структуре каталогов удаляются, и после этого пространство, занимаемое удаленными данными, становится доступным для последующих данных. перезапись. В виду конечные пользователи, удаленные файлы не могут быть обнаружены с помощью стандартного файлового менеджера, но удаленные данные все еще технически существуют на физическом диске. Между тем, исходное содержимое файла остается, часто в нескольких отключенных фрагменты, и может быть восстановлен, если не перезаписан другими файлами данных.

Термин «восстановление данных» также используется в контексте судебно-медицинский приложения или шпионаж, где данные, которые были зашифрованный или скрытые, а не поврежденные, восстанавливаются. Иногда данные, присутствующие на компьютере, зашифровываются или скрываются из-за таких причин, как вирусная атака, которую могут восстановить только некоторые компьютерные криминалисты.

Физический урон

Смотрите также: Оборудование для восстановления данных

Широкий спектр отказов может привести к физическому повреждению носителя информации, что может быть результатом человеческих ошибок или стихийных бедствий. CD-ROM могут быть соскребаны металлическая подложка или слой красителя; жесткие диски могут страдать от множества механических сбоев, таких как голова разбивается, Неисправность печатной платы и вышедшие из строя двигатели; ленты может просто сломаться.

Физическое повреждение жесткого диска, даже в случае поломки головки, не обязательно означает безвозвратную потерю данных. Методы, используемые многими профессиональными компаниями по восстановлению данных, обычно позволяют спасти большую часть, если не все, данные, которые были потеряны в результате сбоя.

Конечно, есть исключения из этого правила, например, случаи серьезного повреждения жесткого диска. тарелки могло произойти. Однако, если жесткий диск можно отремонтировать и создать полный образ или клон, то в большинстве случаев логическая файловая структура может быть восстановлена.

Большинство физических повреждений не могут быть устранены конечными пользователями. Например, если открыть жесткий диск в обычных условиях, пыль может осесть на пластине и попасть между ним и пластиной. головка чтения / записи. Во время нормальной работы головки чтения / записи перемещаются с 3 по 6. нанометры над поверхностью диска, а средние частицы пыли, обнаруживаемые в нормальных условиях, обычно имеют диаметр около 30 000 нанометров.[1] Когда эти частицы пыли попадают между головками чтения / записи и пластиной, они могут вызвать поломку новой головки, что приведет к дальнейшему повреждению пластины и, таким образом, нарушит процесс восстановления. Более того, конечные пользователи обычно не имеют оборудования или технических знаний, необходимых для выполнения такого ремонта. Следовательно, компании, занимающиеся восстановлением данных, часто нанимают для спасения важных данных, а более авторитетные компании используют класс 100 без пыли и статического электричества чистые помещения.[2]

Методы восстановления

Восстановление данных с физически поврежденного оборудования может включать несколько методов. Некоторые повреждения можно устранить, заменив детали на жестком диске. Одно это может сделать диск пригодным для использования, но все же может быть логическое повреждение. Для восстановления каждого читаемого бита с поверхности используется специальная процедура создания образа диска. Как только это изображение будет получено и сохранено на надежном носителе, оно может быть безопасно проанализировано на предмет логических повреждений и, возможно, позволит восстановить большую часть исходной файловой системы.

Ремонт оборудования

Носители, в которых произошел катастрофический электронный сбой, требуют восстановления данных, чтобы спасти их содержимое.

Распространенное заблуждение состоит в том, что поврежденный печатная плата (Печатная плата) может быть просто заменена во время процедур восстановления идентичной печатной платой из исправного диска. Хотя это может работать в редких случаях на жестких дисках, выпущенных до 2003 года, это не будет работать на новых дисках. Платы электроники современных приводов обычно содержат данные адаптации (обычно карта сбойных секторов и параметры настройки) и другая информация, необходимая для правильного доступа к данным на диске. Сменные платы часто нуждаются в этой информации для эффективного восстановления всех данных. Замена платы может нуждаться в перепрограммировании. Некоторые производители (например, Seagate) хранят эту информацию на серийном EEPROM чип, который можно снять и перенести на сменную плату.[3][4]

Каждый жесткий диск имеет то, что называется системная область или же зона обслуживания; эта часть привода, к которой нет прямого доступа конечный пользователь, обычно содержит диски прошивка и адаптивные данные, которые помогают приводу работать с нормальными параметрами.[5] Одна из функций системной области - регистрировать дефектные сектора на диске; по сути, сообщая диску, где он может и не может записывать данные.

Списки секторов также хранятся на различных микросхемах, прикрепленных к печатной плате, и они уникальны для каждого жесткого диска. Если данные на плате не совпадают с данными, хранящимися на пластине, привод не будет откалиброван должным образом.[6] В большинстве случаев головки дисководов щелкают, потому что они не могут найти данные, соответствующие тому, что хранится на печатной плате.

Логический ущерб

Смотрите также: Список программ для восстановления данных
Результат неудачного восстановления данных с жесткого диска.

Термин «логическое повреждение» относится к ситуациям, в которых ошибка не является проблемой оборудования и требует решений на программном уровне.

Поврежденные разделы и файловые системы, ошибки носителя

В некоторых случаях данные на жестком диске могут быть нечитаемыми из-за повреждения таблица разделов или же файловая система, или к (периодическим) ошибкам носителя. В большинстве этих случаев, по крайней мере, часть исходных данных может быть восстановлена ​​путем восстановления поврежденной таблицы разделов или файловой системы с помощью специального программного обеспечения для восстановления данных, такого как Testdisk; программное обеспечение как dd спасение может создавать изображения на носителе, несмотря на периодические ошибки, и необработанные данные изображения при повреждении таблицы разделов или файловой системы. Этот тип восстановления данных может быть выполнен людьми, не имеющими опыта в аппаратном обеспечении накопителя, поскольку для этого не требуется специального физического оборудования или доступа к пластинам.

Иногда данные можно восстановить, используя относительно простые методы и инструменты;[7] более серьезные случаи могут потребовать вмешательства специалиста, особенно если части файлов невозможно восстановить. Резьба по данным восстановление частей поврежденных файлов с использованием знания их структуры.

Перезаписанные данные

Смотрите также: Стирание данных

После физической перезаписи данных на привод жесткого диска, обычно предполагается, что предыдущие данные уже невозможно восстановить. В 1996 г. Питер Гутманн, ученый-компьютерщик, представил документ, в котором предлагалось восстановить перезаписанные данные с помощью магнитно-силовая микроскопия.[8] В 2001 году он представил еще один доклад на аналогичную тему.[9] Чтобы защититься от этого типа восстановления данных, Гутманн и Колин Пламб разработали метод необратимой очистки данных, известный как Метод Гутмана и используется несколькими программными пакетами очистки диска.

Последовала существенная критика, в основном касающаяся отсутствия каких-либо конкретных примеров восстановления значительных объемов перезаписанных данных.[10] Хотя теория Гутмана может быть верной, нет никаких практических доказательств того, что перезаписанные данные можно восстановить, в то время как исследования показали, что перезаписанные данные не могут быть восстановлены.[уточнить ][11][12][13]

Твердотельные накопители (SSD) перезаписывать данные иначе, чем жесткие диски (HDD), что упрощает восстановление хотя бы части их данных. Большинство SSD используют флэш-память для хранения данных в страницах и блоках, на которые ссылается адреса логических блоков (LBA), которые управляются слой флеш-перевода (FTL). Когда FTL изменяет сектор, он записывает новые данные в другое место и обновляет карту, чтобы новые данные появлялись в целевой LBA. Это оставляет данные до модификации на месте, возможно, многие поколения, и их можно восстановить с помощью программного обеспечения для восстановления данных.

Потерянные, удаленные и отформатированные данные

Иногда данные, присутствующие на физических дисках (внутренний / внешний жесткий диск, флэш-накопитель и т. Д.), Теряются, удаляются и форматируются из-за таких обстоятельств, как вирусная атака, случайное удаление или случайное использование SHIFT + DELETE. В этих случаях для восстановления файлов данных используется программное обеспечение для восстановления данных.

Логический плохой сектор

В списке логических отказов жестких дисков наиболее распространенным является логический сбойный сектор, при котором файлы данных не могут быть извлечены из определенного сектора носителей. Чтобы решить эту проблему, используется программное обеспечение для исправления логических секторов носителя. Если этого недостаточно, необходимо заменить оборудование, содержащее логические поврежденные сектора.

Удаленное восстановление данных

Специалистам по восстановлению не всегда требуется физический доступ к поврежденному оборудованию. Когда потерянные данные можно восстановить с помощью программных средств, они часто могут выполнить восстановление с помощью программного обеспечения удаленного доступа через Интернет, локальную сеть или другое соединение с физическим местонахождением поврежденного носителя. По сути, этот процесс не отличается от того, что конечный пользователь мог бы выполнить сам.[14]

Для удаленного восстановления требуется стабильное соединение с достаточной пропускной способностью. Однако это не применимо там, где требуется доступ к оборудованию, например, в случае физического повреждения.

Четыре этапа восстановления данных

Обычно, когда дело доходит до успешного восстановления данных, существует четыре этапа, хотя они могут варьироваться в зависимости от типа повреждения данных и требуемого восстановления.[15]

Фаза 1
Ремонт жесткого диска
Жесткий диск ремонтируется, чтобы заставить его работать в той или иной форме или, по крайней мере, в состоянии, подходящем для чтения данных с него. Например, если головы плохие, их нужно менять; если печатная плата неисправна, ее необходимо отремонтировать или заменить; Если мотор шпинделя неисправен, пластины и головки следует переставить на новый привод.
Фаза 2
Создайте образ диска на новый диск или в файл образа диска
Когда жесткий диск выходит из строя, наивысшим приоритетом становится удаление данных с диска. Чем дольше используется неисправный диск, тем больше вероятность потери данных. Создание образа диска гарантирует наличие вторичной копии данных на другом устройстве, на котором можно безопасно выполнять процедуры тестирования и восстановления, не нанося вреда источнику.
Фаза 3
Логическое восстановление файлов, разделов, MBR и структур файловой системы
После клонирования диска на новый диск можно попытаться восстановить потерянные данные. Если диск вышел из строя логически, тому есть ряд причин. Используя клон, можно восстановить таблицу разделов или Главная загрузочная запись (MBR) для чтения структуры данных файловой системы и извлечения сохраненных данных.
Фаза 4
Восстановить поврежденные файлы, которые были получены
Повреждение данных может быть вызвано, например, записью файла в сектор на диске, который был поврежден. Это наиболее частая причина выхода из строя диска, означающая, что данные необходимо реконструировать, чтобы они стали читаемыми. Поврежденные документы можно восстановить несколькими программными методами или вручную восстановить документ с помощью шестнадцатеричного редактора.

Восстановить диск

В Windows операционная система может быть переустановлена ​​на компьютер, на который уже имеется лицензия. Переустановку можно выполнить, загрузив операционную систему или используя «диск восстановления», предоставленный производителем компьютера. Эрик Лундгрен был оштрафован и приговорен к тюремному заключению в федеральной тюрьме США в апреле 2018 года за производство 28000 восстановительных дисков и намерение распространять их примерно по 25 центов каждый для удобства мастерских по ремонту компьютеров.[16]

Список программ для восстановления данных

Загрузочный

Смотрите также: Список живых компакт-дисков § Спасение и восстановление живых компакт-дисков

Восстановление данных не всегда можно выполнить в работающей системе. В результате Загрузочный диск, live CD, живой USB, или любой другой тип live-дистрибутива содержит минимальную операционную систему.

  • BartPE: облегченный вариант 32-разрядной операционной системы Microsoft Windows XP или Windows Server 2003, аналогичный Среда предустановки Windows, который можно запустить с live CD или live USB-накопителя. Снято с производства.
  • Finnix: а Debian Live CD с акцентом на компактность и скорость, полезный для компьютеров и спасения данных
  • Disk Drill Basic: возможность создавать загрузочные Mac OS X USB-накопители для восстановления данных
  • Knoppix: содержит утилиты для восстановления данных под Linux
  • SpinRite: а FreeDOS инструмент для восстановления данных с жестких дисков и магнитных запоминающих устройств
  • SystemRescueCD: an Arch Linux Живой компакт-диск на основе, полезный для восстановления незагружаемых компьютерных систем и получения данных после сбоя системы
  • Среда предустановки Windows (WinPE): настраиваемый загрузочный DVD-диск Windows (выпущен Microsoft и распространяется бесплатно). Может быть изменен для загрузки любой из перечисленных программ.

Проверки согласованности

  • CHKDSK: средство проверки согласованности для систем DOS и Windows
  • Диск первая помощь: средство проверки согласованности для Mac OS 9
  • Дисковая утилита: средство проверки согласованности для Mac OS X
  • fsck: средство проверки согласованности для UNIX
  • gparted: графический интерфейс для GNU рассталась, редактор разделов GNU, способный вызывать fsck

Восстановление файлов

Криминалистика

Смотрите также: Компьютерная криминалистика

Инструменты визуализации

Основная статья: Список программ для клонирования дисков
Смотрите также: Образ диска
  • Clonezilla: бесплатное клонирование диска, создание образа диска, восстановление данных и загрузочный диск для развертывания
  • ddrescue: инструмент с открытым исходным кодом, похожий на дд но с возможностью пропускать и впоследствии повторять плохие блоки на вышедших из строя устройствах хранения
  • дд: обычный инструмент побайтного клонирования, найденный в Unix-подобных системах
  • Проект восстановления Team Win: бесплатная система восстановления с открытым исходным кодом для устройств Android.

Смотрите также

Рекомендации

  1. ^ https://acsdata.com/data-recovery-3tb-seagate-hard-drive/#Hard_Drive_Flying_Height В архиве 13 февраля 2017 г. Wayback Machine
  2. ^ Васконселос, Педро. "Восстановление данных своими руками может означать" до свидания"". Блог о восстановлении данных Ontrack. Ontrack Data Recovery. Получено 26 июля 2019.
  3. ^ «Руководство по замене печатной платы жесткого диска или как заменить печатную плату жесткого диска». donordrives.com. Архивировано из оригинал 27 мая 2015 г.. Получено 27 мая 2015.
  4. ^ "Служба адаптации прошивки - замена ПЗУ". pcb4you.com. Архивировано из оригинал 29 марта 2013 г.. Получено 27 мая 2015.
  5. ^ Ариэль Беркман (14 февраля 2013 г.). «Скрытие данных в зонах обслуживания жесткого диска» (PDF). recovery.co.il. Архивировано из оригинал (PDF) 26 февраля 2015 г.. Получено 23 января 2015.
  6. ^ «Отчет о восстановлении данных - прочтите перед выбором компании по восстановлению данных». 16 апреля 2013 г. Архивировано с оригинал 16 апреля 2013 г.
  7. ^ Программное обеспечение для восстановления данных В архиве 17 октября 2016 г. Wayback Machine
  8. ^ Безопасное удаление данных из магнитной и твердотельной памяти В архиве 9 декабря 2007 г. Wayback Machine, Питер Гутманн, факультет компьютерных наук, Оклендский университет
  9. ^ Сохранение данных в полупроводниковых устройствах В архиве 21 февраля 2007 г. Wayback Machine, Питер Гутманн, IBM T.J. Исследовательский центр Уотсона
  10. ^ Финберг, Дэниел (14 мая 2004 г.). «Могут ли спецслужбы читать перезаписанные данные? Ответ Гутманну». Национальное бюро экономических исследований. В архиве из оригинала 9 мая 2008 г.. Получено 21 мая 2008.
  11. ^ «Очистка диска - достаточно одного прохода». anti-forensics.com. 17 марта 2009 г. Архивировано с оригинал 2 сентября 2012 г.
  12. ^ «Очистка диска - достаточно одного прохода - часть 2 (на этот раз со скриншотами)». anti-forensics.com. 18 марта 2009 г. Архивировано с оригинал 27 ноября 2012 г.
  13. ^ Райт, доктор Крейг (15 января 2009 г.). «Перезапись данных жесткого диска». В архиве из оригинала от 23 мая 2010 г.
  14. ^ Бартон, Андре (17 декабря 2012 г.). «Восстановление данных через Интернет». Дайджест восстановления данных. В архиве из оригинала 27 мая 2015 г.. Получено 29 апреля 2015.
  15. ^ Стэнли Морган (28 декабря 2012 г.). «[Инфографика] Четыре этапа восстановления данных». dolphindatalab.com. В архиве из оригинала 2 апреля 2015 г.. Получено 23 марта 2015.
  16. ^ Washington Post (26 апреля 2018 г.). «Новатор в сфере утилизации электроники сядет в тюрьму за попытку продлить жизнь компьютерам». Вашингтон Пост. Получено 2 мая 2018.

дальнейшее чтение