Przywracanie usuniętych danych

Przywracanie usuniętych danych bez kopii zapasowej jest możliwe jedynie w ograniczonym zakresie, np. z dziennika transakcji.

Co dzieje się z danymi po usunięciu pliku

Usunięcie pliku nie zawsze oznacza natychmiastowe wymazanie jego zawartości z nośnika. W typowym systemie plików operacja usunięcia usuwa wpis opisujący plik z katalogu i oznacza zajmowane przez niego bloki jako dostępne do ponownego użycia. Dane mogą nadal znajdować się w tych blokach, dopóki system operacyjny lub inna aplikacja nie zapisze tam nowych informacji. Odzyskanie jest wtedy możliwe tylko tak długo, jak długo zawartość nie została nadpisana. Samo przywrócenie nazwy pliku nie wystarcza, ponieważ trzeba również odtworzyć jego metadane, czyli między innymi rozmiar, położenie fragmentów i strukturę katalogów.

Szanse zależą od rodzaju nośnika, systemu plików oraz sposobu usunięcia danych. Na dysku twardym HDD po skasowaniu pliku sektory zwykle zachowują zapis magnetyczny do czasu nadpisania. W systemach plików takich jak NTFS lub exFAT można czasem znaleźć pozostałości danych, fragmenty dokumentów albo wpisy katalogowe. Inaczej działa pamięć flash stosowana w dyskach SSD, kartach pamięci i pendrive’ach. Kontroler nośnika może zmieniać fizyczne położenie danych, wykonywać wyrównywanie zużycia i usuwać bloki niezależnie od logicznych adresów widocznych dla systemu.

Dodatkowym czynnikiem jest polecenie TRIM. System operacyjny może przekazać dyskowi SSD informację, że określone bloki nie zawierają już potrzebnych danych. Nośnik może następnie wyczyścić je podczas wewnętrznego procesu porządkowania. Z tego powodu odzyskiwanie usuniętych plików z aktywnego dysku SSD bywa znacznie mniej prawdopodobne niż z dysku HDD. Nie można więc ocenić sytuacji wyłącznie na podstawie komunikatu „plik został usunięty”. Konieczne jest ustalenie, jaki nośnik pracował w urządzeniu i jakie operacje wykonano po skasowaniu danych.

Dlaczego dalsze używanie nośnika zmniejsza szanse odzyskania

Po przypadkowym usunięciu danych najważniejsze jest ograniczenie zapisu na tym samym nośniku. Każde uruchomienie systemu może utworzyć pliki tymczasowe, zaktualizować dzienniki, pobrać dane z internetu albo zapisać informacje związane z logowaniem. Instalowanie programów, kopiowanie zdjęć, aktualizacje systemu i nawet zwykła praca z dokumentami mogą zająć bloki, które wcześniej należały do usuniętego pliku. Jeżeli nowy zapis obejmie te same obszary, pierwotna treść może zostać bezpowrotnie utracona.

Bezpieczniejsza analiza polega na odłączeniu nośnika od zwykłej pracy i wykonaniu jego kopii sektorowej na innym urządzeniu o odpowiedniej pojemności. Kopia sektorowa, nazywana również obrazem nośnika, odwzorowuje dostępne do odczytu obszary dysku i pozwala prowadzić kolejne próby bez dodatkowego obciążania oryginału. W przypadku problemów mechanicznych, takich jak nietypowe odgłosy dysku HDD, znikanie urządzenia z systemu lub wielokrotne błędy odczytu, dalsze uruchamianie może pogłębić uszkodzenie. W takiej sytuacji odczyt powinien być prowadzony etapami, z kontrolą błędów i zapisem informacji o pominiętych sektorach.

Program do odzyskiwania nie odtwarza danych z pustej przestrzeni w sposób magiczny. Może analizować struktury systemu plików, kopie metadanych, dzienniki zmian, sygnatury znanych formatów oraz nieprzydzielone obszary nośnika. Metoda oparta na sygnaturach, określana jako file carving, potrafi odnaleźć rozpoznawalne nagłówki i fragmenty plików, ale często nie odtwarza pierwotnej nazwy ani katalogu. Przy plikach pofragmentowanych wynik może być niekompletny, ponieważ poszczególne części dokumentu znajdują się w różnych miejscach. Odzyskane pliki należy zapisywać na innym nośniku, aby nie nadpisać jeszcze nieprzeanalizowanych danych.

Rola kopii zapasowych, dzienników i wcześniejszych wersji

Najbardziej przewidywalnym sposobem przywrócenia usuniętych danych jest użycie niezależnej kopii zapasowej. Może to być kopia plików, obraz całego dysku, migawka systemu plików albo historia wersji przechowywana przez używane oprogramowanie. W takim przypadku nie trzeba rekonstruować usuniętej zawartości z nieprzydzielonych sektorów. Trzeba natomiast sprawdzić datę kopii, jej kompletność, możliwość odczytu oraz to, czy obejmuje właściwy katalog i wersję pliku. Kopia przechowywana na tym samym fizycznym dysku nie zabezpiecza przed awarią tego dysku.

Dziennik systemu plików służy przede wszystkim do zachowania spójności struktury po awarii zasilania lub przerwaniu zapisu. Nie jest on automatycznie pełną kopią wszystkich danych użytkownika. Może zawierać informacje potrzebne do odtworzenia operacji na metadanych, lecz jego przydatność po usunięciu pliku zależy od konkretnego systemu plików, czasu, który upłynął, oraz późniejszej aktywności nośnika. W niektórych aplikacjach występuje także dziennik transakcji. Rejestruje on operacje wymagane do zachowania spójnego stanu danych, ale nie musi pozwalać na odtworzenie dowolnego usuniętego dokumentu. Ograniczone możliwości odzysku z dziennika nie zastępują regularnej kopii zapasowej.

Warto odróżnić usunięcie pliku od utraty dostępu do pliku. Dokument może nadal istnieć, lecz być niewidoczny z powodu uszkodzenia tablicy partycji, błędnych metadanych, problemu z uprawnieniami albo awarii systemu plików. Innej procedury wymaga również zaszyfrowany nośnik. Jeżeli klucz szyfrujący, hasło lub element potrzebny do odszyfrowania danych jest niedostępny, analiza surowych sektorów może nie doprowadzić do użytecznego wyniku. Przed rozpoczęciem odzyskiwania trzeba więc ustalić, czy problem dotyczy faktycznego usunięcia, logicznego uszkodzenia, awarii sprzętowej czy braku dostępu do klucza.

Ocena nośnika przed próbą przywrócenia danych

Warszawskie Pogotowie Komputerowe wykonuje profesjonalną naprawę laptopów, komputerów PC i ich podzespołów, w tym diagnostykę problemów związanych z dyskiem oraz dostępem do zapisanych plików. Ocena przypadku powinna rozpocząć się od zebrania informacji: jaki plik został usunięty, kiedy to nastąpiło, z jakiego nośnika pochodził, czy komputer był później używany i czy pojawiały się komunikaty o błędach. Znaczenie ma także sposób usunięcia, na przykład opróżnienie kosza, formatowanie partycji, reinstalacja systemu albo przypadkowe usunięcie całego katalogu.

W trakcie diagnostyki sprawdza się stan techniczny nośnika, jego wykrywanie przez komputer, komunikację z kontrolerem oraz oznaki uszkodzeń logicznych. W przypadku HDD istotne są błędy odczytu i niestabilna praca mechanizmu. W przypadku SSD należy uwzględnić działanie kontrolera, wewnętrzne mapowanie bloków i możliwe wykonanie TRIM. Wynik powinien rozróżniać dane możliwe do odtworzenia od fragmentów niepełnych, uszkodzonych lub pozbawionych metadanych. Nie każdą nazwę znalezioną przez program można uznać za poprawny plik, dlatego odzyskane materiały wymagają sprawdzenia, czy otwierają się prawidłowo i zachowały oczekiwaną zawartość.

Przywracanie usuniętych danych bez kopii zapasowej pozostaje działaniem zależnym od stanu nośnika, czasu i późniejszych zapisów. Nie ma gwarancji odzyskania każdego pliku, zwłaszcza po nadpisaniu, wyczyszczeniu bloków SSD, silnym uszkodzeniu sprzętowym albo utracie klucza szyfrowania. Najbezpieczniejszą zasadą jest przerwanie pracy z urządzeniem, niewykonywanie instalacji na analizowanej partycji i przekazanie nośnika do oceny przed podejmowaniem kolejnych prób. Dzięki temu można dobrać metodę do rzeczywistego problemu i ograniczyć ryzyko pogorszenia sytuacji.