Sfaturi rapide
Specificați mai întâi locația. Comunicarea către Recuva a locului unde se aflau fișierele accelerează semnificativ scanarea.
Activați Deep Scan doar atunci când scanarea standard nu găsește nimic — este mai lentă, dar mai amănunțită.
Recuperați selectiv. Verificați cu atenție lista codificată prin culori înainte de a restaura.
Principiul de funcționare al Recuva: recuperarea datelor la nivelul sistemului de fișiere
Ștergerea logică și metadatele reziduale. La ștergerea unui fișier, sistemul de operare nu suprascrie fizic clusterele ocupate de acesta — în schimb, se modifică intrarea corespunzătoare din structura de metadate a volumului (o intrare $MFT în NTFS, respectiv un element al tabelului FAT/exFAT), unde lanțul de clustere este marcat ca liber, iar primul caracter al numelui fișierului este înlocuit cu un marker de serviciu. Recuva efectuează o analiză de nivel scăzut a acestor structuri de date — Master File Table, Index Allocation și atributele $DATA — reconstruind continuitatea logică a fișierului până în momentul în care sectoarele sale sunt efectiv suprascrise cu date noi.
Analiza semnăturilor și carving. În situațiile în care metadatele au fost pierdute iremediabil (formatare, corupere a tabelului de fișiere, structură de volum RAW), aplicația comută în modul de scanare profundă — o citire a mediului sector cu sector, care ocolește sistemul de fișiere și identifică datele pe baza semnăturilor binare de antet și subsol (magic numbers) caracteristice unor formate de container specifice. Această abordare, cunoscută sub numele de file carving, permite extragerea obiectelor intacte chiar și în absența totală a unui sistem de fișiere, însă nu garantează recuperarea numelor corecte de fișiere sau a ierarhiei directoarelor.
Evaluarea integrității și fragmentării. Înainte de recuperare, Recuva efectuează o evaluare euristică a stării lanțului de clustere, comparând harta de alocare a volumului cu dimensiunea așteptată a fișierului pentru a detecta fragmentarea și suprascrierea parțială. Rezultatul este clasificat printr-un indicator de conservare (excellent/poor/unrecoverable), care ține cont de gradul de continuitate al clusterelor și de probabilitatea de coliziune cu datele nou-scrise.
Lucrul cu sisteme de fișiere cu jurnalizare. La analiza NTFS, Recuva face apel suplimentar la jurnalul de tranzacții $LogFile și la jurnalul de modificări $UsnJrnl, care înregistrează operațiunile asupra structurii de fișiere independent de MFT-ul principal. Corelarea intrărilor din jurnal cu starea curentă a volumului permite recuperarea metadatelor pentru fișierele ale căror intrări MFT au fost deja reutilizate de sistem pentru obiecte noi, precum și reconstituirea parțială a istoricului de redenumiri și mutări.
Gestionarea fluxurilor de date alternative. Pe volumele NTFS, aplicația ia în considerare Alternate Data Streams ($DATA:nume_flux) asociate intrării principale a fișierului, aspect esențial la recuperarea obiectelor marcate cu o zonă de origine (Zone.Identifier) sau care conțin atribute suplimentare stocate în afara fluxului principal de date.
Funcționarea cu unități SSD și comanda TRIM. Pe SSD-urile cu suport TRIM activ, controlerul este informat imediat despre eliberarea adreselor de bloc logic (LBA) după ștergerea unui fișier, ceea ce declanșează colectarea internă de gunoi (garbage collection) și ștergerea fizică a celulelor NAND încă înainte ca un program de recuperare să acceseze volumul. În aceste condiții, Recuva se poate baza exclusiv pe metadatele sistemului de fișiere care au supraviețuit, întrucât conținutul real al clusterelor ar putea fi deja pierdut iremediabil la nivel hardware.
Extragerea sigură a datelor. Conținutul recuperat este copiat octet cu octet într-o zonă de destinație izolată fizic de volumul sursă, ceea ce previne suprascrierea sectoarelor încă neprocesate, dar potențial recuperabile. Suplimentar, este implementată o funcție de suprascriere sigură (Secure Overwrite), conformă unor standarde comparabile cu DoD 5220.22-M, utilizată pentru a garanta distrugerea datelor reziduale după o recuperare confirmată.
