Greiti patarimai
Pirmiausia nurodykite vietą. Pasakius Recuva, kur buvo failai, žymiai pagreitinamas nuskaitymas.
Deep Scan įjunkite tik tada, kai standartinis nuskaitymas nieko neranda — jis lėtesnis, bet nuodugnesnis.
Atkurkite selektyviai. Prieš atkurdami atidžiai peržiūrėkite spalvomis pažymėtą sąrašą.
Kaip veikia „Recuva“: duomenų atkūrimas failų sistemos lygmeniu
Loginis trynimas ir liekamieji metaduomenys. Ištrynus failą, operacinė sistema fiziškai neperrašo jo užimtų klasterių — vietoj to pakeičiamas atitinkamas įrašas tomo metaduomenų struktūroje ($MFT įrašas NTFS atveju arba FAT/exFAT lentelės elementas), kur klasterių grandinė pažymima kaip laisva, o pirmasis failo pavadinimo simbolis pakeičiamas paslaugos žymekliu. „Recuva“ atlieka žemo lygio šių duomenų struktūrų analizę — Master File Table, Index Allocation ir $DATA atributų — atkurdama loginį failo vientisumą iki to momento, kai jo sektoriai iš tikrųjų perrašomi naujais duomenimis.
Signatūrų analizė ir carving. Kai metaduomenys negrįžtamai prarasti (formatavimas, failų lentelės pažeidimas, RAW tomo struktūra), programa persijungia į gilaus skenavimo režimą — tai laikmenos skaitymas sektoriais, apeinant failų sistemą, duomenis identifikuojant pagal dvejetainių antraščių ir pabaigos žymenų signatūras (magic numbers), būdingas konkretiems konteinerių formatams. Šis metodas, vadinamas file carving, leidžia išgauti vientisus objektus net visiškai nesant failų sistemos, tačiau negarantuoja teisingų failų pavadinimų ar katalogų hierarchijos atkūrimo.
Vientisumo ir fragmentacijos vertinimas. Prieš atkūrimą „Recuva“ atlieka euristinį klasterių grandinės būklės vertinimą, lygindama tomo užimtumo žemėlapį su numatomu failo dydžiu, kad nustatytų fragmentaciją ir dalinį perrašymą. Rezultatas klasifikuojamas pagal išsaugojimo rodiklį (excellent/poor/unrecoverable), atsižvelgiant į klasterių tęstinumo laipsnį ir tikimybę susidurti su naujai įrašytais duomenimis.
Darbas su žurnalinėmis failų sistemomis. Analizuodama NTFS, „Recuva“ papildomai remiasi $LogFile transakcijų žurnalu ir $UsnJrnl pakeitimų žurnalu, kurie fiksuoja operacijas su failų struktūra nepriklausomai nuo pagrindinės MFT. Žurnalo įrašų palyginimas su dabartine tomo būkle leidžia atkurti failų, kurių MFT įrašus sistema jau panaudojo naujiems objektams, metaduomenis, taip pat iš dalies rekonstruoti pervadinimų ir perkėlimų istoriją.
Alternatyvių duomenų srautų apdorojimas. NTFS tomuose programa atsižvelgia į su pagrindiniu failo įrašu susietus Alternate Data Streams ($DATA:srauto_pavadinimas), o tai itin svarbu atkuriant objektus, pažymėtus kilmės zona (Zone.Identifier) arba turinčius papildomų atributų, saugomų už pagrindinio duomenų srauto ribų.
Darbas su SSD diskais ir TRIM komanda. SSD diskuose su aktyviu TRIM palaikymu valdiklis, ištrynus failą, nedelsiant informuojamas apie loginių blokų adresų (LBA) atlaisvinimą, o tai inicijuoja vidinį šiukšlių surinkimą (garbage collection) ir fizinį NAND langelių ištrynimą dar prieš atkūrimo programai iš viso pasiekiant tomą. Tokiomis sąlygomis „Recuva“ gali remtis tik išlikusiais failų sistemos metaduomenimis, nes tikrasis klasterių turinys aparatūros lygmeniu jau gali būti negrįžtamai prarastas.
Saugus duomenų išgavimas. Atkurtas turinys kopijuojamas baitas po baito į paskirties sritį, fiziškai atskirtą nuo pradinio tomo, taip apsaugant dar neapdorotus, bet potencialiai atkuriamus sektorius nuo perrašymo. Be to, įdiegta saugaus perrašymo (Secure Overwrite) funkcija, atitinkanti standartus, panašius į DoD 5220.22-M, naudojama garantuotam liekamųjų duomenų sunaikinimui po patvirtinto atkūrimo.