Rychlé tipy
Nejprve zadejte umístění. Sdělení Recuva, kde soubory byly, výrazně urychlí skenování.
Zapněte Hloubkové skenování pouze v případě, že standardní skenování nic nenajde — je pomalejší, ale důkladnější.
Obnovujte selektivně. Před obnovou pečlivě zkontrolujte barevně označený seznam.
Jak funguje Recuva: obnova dat na úrovni souborového systému
Logické smazání a zbytková metadata. Při smazání souboru operační systém fyzicky nepřepíše clustery, které soubor zabíral — místo toho se upraví příslušný záznam v metadatové struktuře svazku (záznam $MFT u NTFS, respektive prvek tabulky FAT/exFAT), kde je řetězec clusterů označen jako volný a první znak názvu souboru je nahrazen servisním markerem. Recuva provádí nízkoúrovňovou analýzu těchto datových struktur — Master File Table, Index Allocation a atributů $DATA — a rekonstruuje logickou souvislost souboru až do okamžiku, kdy jsou jeho sektory skutečně přepsány novými daty.
Signaturní analýza a carving. V případech, kdy jsou metadata nenávratně ztracena (formátování, poškození souborové tabulky, RAW rozvržení svazku), přepne se aplikace do režimu hloubkového skenování — čtení média po sektorech, které obchází souborový systém a identifikuje data podle binárních signatur hlaviček a patiček (magic numbers) charakteristických pro konkrétní formáty kontejnerů. Tento přístup, známý jako file carving, umožňuje extrahovat neporušené objekty i při úplné absenci souborového systému, negarantuje však obnovení správných názvů souborů ani hierarchie adresářů.
Posouzení integrity a fragmentace. Před samotnou obnovou provádí Recuva heuristické posouzení stavu řetězce clusterů, přičemž porovnává alokační mapu svazku s očekávanou velikostí souboru za účelem odhalení fragmentace a částečného přepsání. Výsledek je klasifikován pomocí indikátoru zachovalosti (excellent/poor/unrecoverable), který zohledňuje míru souvislosti clusterů a pravděpodobnost kolize s nově zapsanými daty.
Práce s žurnálovacími souborovými systémy. Při analýze NTFS Recuva navíc odkazuje na transakční žurnál $LogFile a žurnál změn $UsnJrnl, které zaznamenávají operace nad souborovou strukturou nezávisle na hlavní MFT. Porovnáním záznamů žurnálu se současným stavem svazku lze obnovit metadata souborů, jejichž záznamy v MFT již byly systémem znovu využity pro nové objekty, a částečně rekonstruovat historii přejmenování a přesunů.
Zpracování alternativních datových proudů. U svazků NTFS aplikace zohledňuje Alternate Data Streams ($DATA:název_proudu) připojené k hlavnímu záznamu souboru, což je klíčové při obnově objektů označených zónou původu (Zone.Identifier) nebo obsahujících další atributy uložené mimo hlavní datový proud.
Práce s SSD disky a příkazem TRIM. U SSD disků s aktivní podporou TRIM je řadič po smazání souboru okamžitě informován o uvolnění logických blokových adres (LBA), což spouští interní sběr odpadků (garbage collection) a fyzické vymazání NAND buněk ještě dříve, než k svazku vůbec přistoupí program pro obnovu dat. Za těchto podmínek se Recuva může opírat výhradně o dochovaná metadata souborového systému, neboť samotný obsah clusterů může být na hardwarové úrovni již nevratně ztracen.
Bezpečné vytěžení dat. Obnovený obsah je kopírován bajt po bajtu do cílové oblasti fyzicky oddělené od zdrojového svazku, čímž se zabrání přepsání dosud nezpracovaných, ale potenciálně obnovitelných sektorů. Dále je implementována funkce bezpečného přepisu (Secure Overwrite) podle standardů srovnatelných s DoD 5220.22-M, používaná k zaručenému zničení zbytkových dat po potvrzené obnově.
