Останніми роками з’явилося чимало інструментів, які позиціонують себе як рішення для відновлення даних. Проте під час тестування деяких із них ми виявили, що далеко не всі вони придатні для цього завдання. Ключова відмінність полягає в типі (або типах) алгоритмів відновлення даних, які використовують ці інструменти. Але спочатку розгляньмо, що відбувається, коли Windows видаляє файл.
Зміст
Чому видалення файлів можна скасувати
У Windows (як і в багатьох інших операційних системах, які не використовують зашифровані файлові системи чи інші захищені контейнери) видалення файлу не означає негайного перезаписування його фактичного вмісту. Винятком є SSD-накопичувачі — це окрема тема. Натомість Windows просто позначає запис файлової системи, що відповідає цьому файлу, як «видалений». Фактично це повертає дисковий простір, який займав видалений файл, до пулу вільного місця. Відтепер Windows може зайняти цей простір і використати його для зберігання даних будь-якого іншого файлу. Якщо вивільнений простір буде використано для запису іншого файлу, початковий вміст буде перезаписано, а подальше відновлення оригінального видаленого файлу стане неможливим.
Однак зазвичай це відбувається не одразу. На великих жорстких дисках Windows оптимізує операції запису, розміщуючи нові дані в найбільших доступних фрагментах вільного простору. Це допомагає уникати фрагментації та дає змогу файлам збільшуватися без фрагментування. У результаті дисковий простір, який належав видаленому файлу, може дуже довго залишатися невикористаним. Якщо скористатися правильним інструментом, початковий вміст видаленого файлу можна буде відновити.
Скасування видалення за допомогою файлової системи
Більшість інструментів для відновлення даних і скасування видалення працюють шляхом сканування файлової системи в пошуках записів, що вказують на видалені файли. Аналізуючи ці записи, інструмент може визначити, які фізичні блоки або сектори диска належать видаленому файлу, зчитати з них інформацію та зберегти оригінальний файл.
Принаймні саме так інструменти для відновлення даних працювали раніше. Сьогодні ми можемо використовувати ще один алгоритм — додатково до файлової системи або замість неї. Докладніше про це читайте в матеріалі Як працює карвінг даних.
