क्विक टिप्स
पहले लोकेशन बताएं। Recuva को यह बताना कि फ़ाइलें कहाँ थीं, स्कैन को काफ़ी तेज़ कर देता है।
Deep Scan तभी चालू करें जब स्टैंडर्ड स्कैन कुछ न ढूँढ पाए — यह धीमा है, पर ज़्यादा गहराई से काम करता है।
चुन-चुनकर रिकवर करें। रिस्टोर करने से पहले कलर-कोडेड लिस्ट को ध्यान से देखें।
Recuva की कार्यप्रणाली: फाइल सिस्टम स्तर पर डेटा रिकवरी
लॉजिकल डिलीशन और अवशिष्ट मेटाडेटा। किसी फाइल को हटाने पर ऑपरेटिंग सिस्टम उसके द्वारा घेरे गए क्लस्टरों को भौतिक रूप से ओवरराइट नहीं करता — इसके बजाय वॉल्यूम की मेटाडेटा संरचना में संबंधित एंट्री को संशोधित किया जाता है (NTFS में $MFT एंट्री, या FAT/exFAT तालिका का कोई तत्व), जहाँ क्लस्टर चेन को खाली के रूप में चिह्नित कर दिया जाता है और फाइल के नाम के पहले अक्षर को एक सर्विस मार्कर से बदल दिया जाता है। Recuva इन डेटा संरचनाओं — मास्टर फाइल टेबल, इंडेक्स एलोकेशन और $DATA एट्रिब्यूट्स — का निम्न-स्तरीय विश्लेषण (पार्सिंग) करता है, और फाइल की तार्किक निरंतरता को उस बिंदु तक पुनर्निर्मित करता है जब तक उसके सेक्टर वास्तव में नए डेटा से ओवरराइट नहीं हो जाते।
सिग्नेचर विश्लेषण और कार्विंग। जब मेटाडेटा अपरिवर्तनीय रूप से नष्ट हो चुका होता है (फॉर्मेटिंग, फाइल टेबल भ्रष्टाचार, RAW वॉल्यूम संरचना), तब एप्लिकेशन डीप स्कैन मोड में स्विच हो जाता है — यह मीडिया का सेक्टर-दर-सेक्टर पठन है जो फाइल सिस्टम को दरकिनार करते हुए, विशिष्ट कंटेनर फॉर्मेट्स के लिए विशिष्ट बाइनरी हेडर और फुटर सिग्नेचर (मैजिक नंबर्स) के आधार पर डेटा की पहचान करता है। file carving के नाम से जाना जाने वाला यह तरीका फाइल सिस्टम की पूर्ण अनुपस्थिति में भी संपूर्ण ऑब्जेक्ट्स को निकालने की अनुमति देता है, हालाँकि यह सही फाइल नामों या डायरेक्टरी पदानुक्रम की पुनर्प्राप्ति की गारंटी नहीं देता।
अखंडता और फ्रैगमेंटेशन का आकलन। रिकवरी से पहले, Recuva क्लस्टर चेन की स्थिति का हेयुरिस्टिक आकलन करता है, फ्रैगमेंटेशन और आंशिक ओवरराइटिंग का पता लगाने के लिए वॉल्यूम के आवंटन मानचित्र की तुलना फाइल के अपेक्षित आकार से करता है। परिणाम को एक संरक्षण संकेतक (excellent/poor/unrecoverable) के आधार पर वर्गीकृत किया जाता है, जो क्लस्टरों की निरंतरता की डिग्री और नए लिखे गए डेटा के साथ टकराव की संभावना को ध्यान में रखता है।
जर्नलिंग फाइल सिस्टम के साथ कार्य। NTFS का विश्लेषण करते समय, Recuva अतिरिक्त रूप से $LogFile ट्रांजैक्शन जर्नल और $UsnJrnl चेंज जर्नल का संदर्भ लेता है, जो मुख्य MFT से स्वतंत्र रूप से फाइल संरचना पर किए गए ऑपरेशनों को रिकॉर्ड करते हैं। जर्नल एंट्रीज़ की वॉल्यूम की वर्तमान स्थिति से तुलना करने पर उन फाइलों के मेटाडेटा को रिकवर करना संभव हो जाता है जिनकी MFT एंट्रीज़ को सिस्टम पहले ही नए ऑब्जेक्ट्स के लिए पुनः उपयोग कर चुका है, साथ ही नाम बदलने और स्थानांतरण के इतिहास का आंशिक पुनर्निर्माण भी संभव होता है।
अल्टरनेट डेटा स्ट्रीम्स का प्रबंधन। NTFS वॉल्यूम्स के लिए, एप्लिकेशन फाइल की प्राथमिक एंट्री से जुड़े Alternate Data Streams ($DATA:स्ट्रीम_नाम) को ध्यान में रखता है, जो ज़ोन ऑफ ओरिजिन (Zone.Identifier) से चिह्नित या मुख्य डेटा स्ट्रीम के बाहर संग्रहीत अतिरिक्त एट्रिब्यूट्स वाले ऑब्जेक्ट्स की रिकवरी के दौरान महत्वपूर्ण होता है।
सॉलिड-स्टेट ड्राइव्स और TRIM कमांड के साथ कार्य। सक्रिय TRIM समर्थन वाले SSD में, फाइल डिलीट होने के बाद कंट्रोलर को लॉजिकल ब्लॉक एड्रेसेस (LBA) के मुक्त होने की तुरंत सूचना दे दी जाती है, जिससे आंतरिक गार्बेज कलेक्शन और NAND सेल्स का भौतिक इरेज़र शुरू हो जाता है — यह सब किसी रिकवरी प्रोग्राम के वॉल्यूम तक पहुँचने से भी पहले हो जाता है। इन परिस्थितियों में, Recuva केवल बचे हुए फाइल सिस्टम मेटाडेटा पर ही निर्भर रह सकता है, क्योंकि क्लस्टरों की वास्तविक सामग्री हार्डवेयर स्तर पर पहले ही अपरिवर्तनीय रूप से नष्ट हो चुकी हो सकती है।
सुरक्षित डेटा निष्कर्षण। रिकवर की गई सामग्री को स्रोत वॉल्यूम से भौतिक रूप से पृथक गंतव्य क्षेत्र में बाइट-दर-बाइट कॉपी किया जाता है, जिससे अभी तक संसाधित न हुए, लेकिन संभावित रूप से रिकवर करने योग्य सेक्टरों के ओवरराइट होने से बचाव होता है। इसके अतिरिक्त, DoD 5220.22-M के समान मानकों के अनुरूप एक सिक्योर ओवरराइट फ़ंक्शन लागू किया गया है, जिसका उपयोग पुष्टि की गई रिकवरी के बाद अवशिष्ट डेटा के गारंटीशुदा विनाश के लिए किया जाता है।