Ten przewodnik opisuje szczegółową procedurę odzyskiwania dokumentów w formatach DOC, DOCX, XLS, XLSX i PDF za pomocą programu Recuva.
Przed rozpoczęciem należy zrozumieć, jak dokładnie Recuva lokalizuje utracone pliki. Usunięcie pliku w systemie Windows nie prowadzi do natychmiastowego fizycznego zniszczenia danych. System operacyjny jedynie oznacza obszar na dysku zajmowany przez ten plik jako wolny do nadpisania, usuwając odwołanie do niego z głównej tablicy plików (MFT) w NTFS lub tablicy alokacji plików w FAT32.
Recuva wykorzystuje dwa główne tryby skanowania: Szybki i Głęboki. Szybkie skanowanie analizuje MFT i znajduje wpisy o niedawno usuniętych plikach. Głębokie skanowanie (Deep Scan) wykorzystuje analizę sygnatur, przeglądając zawartość dysku sektor po sektorze w poszukiwaniu charakterystycznych sekwencji bajtów odpowiadających początkowi (nagłówkowi) i końcowi pliku. W przypadku dokumentów Word sygnaturą jest określona sekwencja bajtów opisująca kontener OLE (dla starszych formatów) lub archiwum ZIP ze strukturą XML (dla DOCX/XLSX). Pliki PDF są identyfikowane przez sekwencję bajtów %PDF na początku pliku.
Kluczowym czynnikiem sukcesu jest natychmiastowe zaprzestanie wszelkiej aktywności na partycji logicznej, na której znajdowały się utracone dane. Każda operacja zapisu, w tym uruchamianie systemu, aktualizacja pamięci podręcznej przeglądarki czy instalacja samego Recuva na tym samym dysku, może nieodwracalnie nadpisać sektory, które program spróbuje odzyskać.
Konfiguracja parametrów skanowania dla dokumentów biurowych
Recuva oferuje interfejs kreatora i tryb zaawansowany. Do ukierunkowanego wyszukiwania dokumentów Word, Excel lub PDF, kreator jest najszybszą metodą filtrowania.
Po uruchomieniu kreatora, na etapie wyboru typu pliku ("File Type") należy wybrać kategorię "Documents". Ten filtr jest skonfigurowany przez programistę tak, aby wyświetlać tylko pliki z następującymi rozszerzeniami: DOC, DOCX, XLS, XLSX, PPT, PPTX, ODT, ODS, PDF, ODC. Wybór tej kategorii wyklucza z wyników skanowania pliki multimedialne i niepotrzebne dane systemowe, koncentrując zasoby obliczeniowe na docelowych formatach.
Na etapie "File Location" należy określić dysk lub konkretny folder, w którym plik znajdował się przed utratą. Wybór opcji "In a specific location" i ręczne określenie dokładnej ścieżki do katalogu, na przykład D:\Projects\Reports, znacznie zawęża obszar analizy. Nie anuluje to pełnego skanowania dysku, ale filtruje wyniki, ułatwiając identyfikację poszukiwanego pliku.
Aktywacja i zastosowanie funkcji głębokiego skanowania
Jeśli szybkie skanowanie nie wykryje pliku, należy użyć mechanizmu głębokiego skanowania (Deep Scan). Jest to szczególnie istotne w przypadku plików PDF i dokumentów usuniętych po sformatowaniu dysku. Głębokie skanowanie ignoruje system plików i odwołuje się bezpośrednio do sektorów dysku.
Należy zaznaczyć pole wyboru "Enable Deep Scan". W trybie zaawansowanym opcja ta jest włączana poprzez menu ustawień: zakładka "Actions", gdzie należy zaznaczyć opcje "Scan for non-deleted files" i "Enable Deep Scan". Można również wymusić tryb skanowania za pomocą przycisku "Scan Mode" na panelu interfejsu.
Proces ten może zająć od kilkudziesięciu minut do kilku godzin, w zależności od pojemności i szybkości dysku. Recuva będzie skanować sektor po sektorze, wyszukując sygnatur PDF, DOC i XLS. Pliki znalezione w ten sposób często tracą oryginalne nazwy i są wyświetlane z nazwami technicznymi, takimi jak [001].docx lub file001.pdf, ponieważ wpis nazwy w MFT został utracony.
Interpretacja wyników i kryteria oceny integralności
Po zakończeniu skanowania Recuva wyświetla listę znalezionych obiektów. Każdemu plikowi towarzyszy kolorowy wskaźnik stanu:
Zielony znacznik: Plik nie został nadpisany, jego klastry są nienaruszone, a prawdopodobieństwo pomyślnego odzyskania jest bliskie 100%.
Żółty znacznik: Wskazuje na częściowe nadpisanie lub uszkodzenie niektórych sektorów danych. Dokument może zostać odzyskany, ale jego treść może zawierać nieprawidłowe znaki lub nie otwierać się w docelowej aplikacji.
Czerwony znacznik: Wszystkie klastry poprzednio zajmowane przez plik zostały nadpisane przez inne dane. Odzyskanie w oryginalnej formie jest niemożliwe.
Należy zwrócić uwagę na kolumnę "Path" (Ścieżka) w wynikach skanowania. Dla plików wykrytych za pomocą głębokiej analizy sygnatur, ścieżka może być podana jako "unknown" lub oznaczona znakiem zapytania. Aby sprawdzić takie pliki, należy użyć wbudowanej funkcji podglądu w trybie zaawansowanym, jednak nie zawsze może ona poprawnie wyświetlić złożone elementy formatowania plików PDF lub DOCX.
Procedura bezpiecznego odzyskiwania
Najbardziej krytyczny etap z punktu widzenia bezpieczeństwa danych to wybór lokalizacji dla odzyskanych plików. Złota zasada: nigdy nie zapisuj odzyskanych plików na tej samej partycji logicznej, z której odzyskujesz dane.
Gdy Recuva poprosi o ścieżkę zapisu (okno dialogowe "Browse For Folder"), należy wskazać folder znajdujący się na fizycznie innym nośniku. Na przykład, jeśli dane są odzyskiwane z dysku D:, należy zapisać je na zewnętrznym dysku USB, pendrive'ie lub dysku E:. Naruszenie tej zasady może spowodować, że Recuva podczas zapisu nadpisze te właśnie wolne sektory, w których wciąż znajdują się pozostałości odzyskiwanych plików, prowadząc do ich nieodwracalnego uszkodzenia.
Po wybraniu plików na liście i naciśnięciu przycisku "Recover" (Odzyskaj), program wyświetli raport statystyczny z liczbą pomyślnie odzyskanych obiektów. Jeśli plik Word lub Excel jest uszkodzony, spróbuj użyć wbudowanych w pakiety biurowe narzędzi do odzyskiwania (funkcja "Otwórz i napraw" w Microsoft Word).
Działania w przypadku negatywnego wyniku
Jeśli Recuva nie znajdzie śladów usuniętego dokumentu PDF, przyczyną może być następująca: nośnik jest dyskiem SSD z aktywnym poleceniem TRIM, które zeruje komórki pamięci po usunięciu pliku. Badania wykazały, że Recuva nie jest w stanie odzyskać danych usuniętych z dysku SSD, na którym zadziałało polecenie TRIM, ponieważ fizyczne komórki są zerowane na poziomie sprzętowym. W tym scenariuszu odzyskiwanie za pomocą metod programowych jest niemożliwe.
Należy również wziąć pod uwagę, że oprogramowanie antywirusowe, indeksowanie lub synchronizacja w chmurze mogły nadpisać dane jeszcze przed uruchomieniem narzędzia. Jedynym środkiem zapobiegawczym na przyszłość jest regularne tworzenie kopii zapasowych krytycznie ważnych dokumentów oraz aktywacja migawki woluminu (Volume Shadow Copy) w ustawieniach systemu Windows.