Kiired nõuanded
Määra kõigepealt asukoht. Recuvale failide asukoha ütlemine kiirendab skannimist märkimisväärselt.
Luba Süvaskannimine ainult siis, kui standardne skannimine midagi ei leia — see on aeglasem, kuid põhjalikum.
Taasta valikuliselt. Vaata värvikoodiga nimekiri enne taastamist hoolikalt üle.
Kuidas Recuva töötab: andmete taastamine failisüsteemi tasandil
Loogiline kustutamine ja säilinud metaandmed. Faili kustutamisel ei kirjuta operatsioonisüsteem selle poolt hõivatud klastreid füüsiliselt üle — selle asemel muudetakse vastavat kirjet köite metaandmestruktuuris ($MFT-kirje NTFS-i puhul või FAT/exFAT-tabeli element), kus klastriahel märgistatakse vabana ning faili nime esimene täht asendatakse teenindusmarkeriga. Recuva teostab nende andmestruktuuride — Master File Table, Index Allocation ja $DATA-atribuutide — madala taseme parsimist, taastades faili loogilise sidususe kuni hetkeni, mil selle sektorid tegelikult uute andmetega üle kirjutatakse.
Signatuurianalüüs ja carving. Juhtudel, kui metaandmed on pöördumatult kadunud (vormindamine, failitabeli rikkumine, RAW-köite struktuur), lülitub rakendus süvaskaneerimise režiimile — meediumi sektorhaaval lugemine, mis mööda failisüsteemist, tuvastades andmeid konkreetsetele konteineriformaatidele iseloomulike binaarsete päise- ja jalusesignatuuride (magic numbers) põhjal. Selline lähenemine, tuntud kui file carving, võimaldab terviklikke objekte eraldada isegi failisüsteemi täieliku puudumise korral, kuid ei taga õigete failinimede ega kataloogihierarhia taastamist.
Terviklikkuse ja fragmenteerituse hindamine. Enne taastamist teostab Recuva klastriahela seisundi heuristilise hindamise, võrreldes köite hõivatuse kaarti faili eeldatava suurusega, et tuvastada fragmenteeritust ja osalist ülekirjutamist. Tulemus klassifitseeritakse säilivusindikaatori põhjal (excellent/poor/unrecoverable), mis arvestab klastrite järjepidevuse astet ja vastkirjutatud andmetega kollisiooni tõenäosust.
Töö logipõhiste failisüsteemidega. NTFS-i analüüsimisel pöördub Recuva täiendavalt $LogFile tehingulogi ja $UsnJrnl muudatuste logi poole, mis fikseerivad failistruktuuri toiminguid peamisest MFT-st sõltumatult. Logikirjete võrdlemine köite hetkeseisuga võimaldab taastada nende failide metaandmeid, mille MFT-kirjeid on süsteem juba uute objektide jaoks taaskasutanud, samuti osaliselt rekonstrueerida ümbernimetamiste ja teisaldamiste ajalugu.
Alternatiivsete andmevoogude käsitlemine. NTFS-köidete puhul arvestab rakendus faili peamise kirjega seotud Alternate Data Streams'idega ($DATA:voo_nimi), mis on kriitilise tähtsusega päritsutsooniga (Zone.Identifier) märgistatud või põhivoost väljaspool säilitatavaid lisaatribuute sisaldavate objektide taastamisel.
Töö SSD-ketaste ja TRIM-käsuga. Aktiivse TRIM-toega SSD-ketastel teavitatakse kontrollerit faili kustutamise järel viivitamatult loogiliste plokiaadresside (LBA) vabastamisest, mis käivitab sisemise prügikoristuse (garbage collection) ja NAND-rakkude füüsilise kustutamise juba enne, kui taastamisprogramm köitele üldse ligi pääseb. Sellistes tingimustes saab Recuva toetuda üksnes säilinud failisüsteemi metaandmetele, kuna klastrite tegelik sisu võib riistvara tasandil olla juba pöördumatult kadunud.
Turvaline andmete eraldamine. Taastatud sisu kopeeritakse baidihaaval sihtkohta, mis on füüsiliselt lähtekõivast eraldatud, vältides veel töötlemata, kuid potentsiaalselt taastatavate sektorite ülekirjutamist. Lisaks on rakendatud turvalise ülekirjutamise (Secure Overwrite) funktsioon standardite kohaselt, mis on võrreldavad DoD 5220.22-M-ga, tagamaks jääkandmete garanteeritud hävitamise pärast kinnitatud taastamist.