Fénixové kyberprostoru aneb obnova dat
18.6.2009, René Pfeifer, článek
V pověstech mnoha národů se Fénix a jemu podobní tvorové rodí znovu poté, co shoří. Existují i v novodobé mytologii informatiky bájní ptáci, kteří jsou schopni pozvednout náš ztracený kyberprostor z popela?
Kapitoly článku:
- Fénixové kyberprostoru aneb obnova dat
- Mýtus č. 1 – Disk umřel, můžeme ho vyhodit
- Mýtus č. 2 – Sami to nezvládneme
- Mýtus č. 3 – Bude to stát moc peněz
- Malá praktická ukázka závěrem
Z předešlé kapitoly se může zdát, že na obnovu sami nestačíme. Ztrátu si ovšem můžeme přivodit i jinak než fyzickým poškozením. Pokud dojde k poškození logickému, je datové médium hardwarově dostupné, jen potřebná data nejsou k dispozici. Patří sem situace, kdy si soubory omylem smažeme, nedopatřením disk zformátujeme nebo dojde k poškození souborového systému.
Smazaná data jsou naštěstí pro nás stále fyzicky přítomna na médiu až do doby, kdy je systém přepíše novými. Běžný příkaz k vymazání provede pouze výmaz záznamu v příslušné tabulce (FAT nebo MFT) a prostor je označen za volný. Stará data jsou přepsána při nejbližším požadavku na zápis.
Zásadní podmínkou pro zachování dobré šance na obnovu odstraněného souboru (souborů, složek) je tedy zamezení jakéhokoliv zápisu na disk (platí i pro USB paměti či paměťové karty), který hledaná data obsahuje. Pokud se jedná o systémový disk, je třeba si uvědomit, že již spuštění operačního systému (zejm. Windows) provádí zápis do oblastí, která by mohla obsahovat hledaná data.
Je tedy vhodné disk připojit k jinému PC, nebo zavést systém z CD. Následnou rekonstrukci je bezpečnější provést na jiný svazek nebo oddíl, aby nedošlo k narušení obnovených dat. Dodržíme-li předešlé podmínky, nemusí být obnova komplikovaná a často lze sjednat nápravu pomocí běžně dostupného softwaru. Dobrým příkladem utilit pro rekonstrukci dat je např. PhotoRec, Recuva nebo NTFS undelete.
PhotoRec
Záleží sice na způsobu provedeného formátování (rychlé nebo pomalé) a na konkrétním souborovém systému, ale v zásadě platí totéž, co v předešlém případě. Data ztracená buď chtěným nebo nešťastným zformátováním, mohou být fyzicky přítomna na médiu. Dokud tedy nedošlo k dalšímu zápisu na postižený disk (např. novou instalací), jsou šance na kompletní obnovu příznivé.
Postup je podobný jako u smazaných souborů a i tady lze velmi dobře využít volně dostupné utility. Kvalitní použitelné nástroje mají obvykle širší obnovovací schopnosti. Kromě rekonstrukce zformátovaných oddílů umí obnovit i poškozené a částečně nebo kompletně nečitelné oddíly. Proto konkrétní příklady softwaru zmíníme níže.
Dnes nejběžnější souborový systém NTFS používá MBR (Master Boot Record) a oddílovou tabulku (partition table) k určení, který oddíl slouží k zavádění OS. Pokud je jeden z těchto záznamů narušen, nenaběhne z disku systém a může se jevit jako prázdný.
Další možnost poškození tkví ve způsobu adresování jednotlivých oddílů. První sektor oddílu je rezervován jako zaváděcí (partition boot sector) a bez něj OS oddíl nenajde. Prvním souborem oddílu je tzv. MFT tabulka (Master File Table), bez které se operační systém nedostane k jednotlivým složkám a souborům. Systém NTFS si sám první sektor i soubor zálohuje na konec oddílu, což nám usnadňuje následnou obnovu.
NTFS
Mezi typická selhání souborového systému patří např. nekorektní instalace, pád operačního systému, virová nákaza nebo i nesprávné použití softwaru pro správu diskových oddílů, kdy buď uživatelskou chybou, nebo selháním použité utility dojde k poškození a tím k nedostupnosti našich dat.
Obnova obnáší detekci a rekonstrukci původního souborového systému, což většinou nepředstavuje velký problém. Kvalita obnovených dat je velmi individuální a záleží např. na velikosti pevného disku, množství původních dat, jejich umístění, atd. V komplikovanějších případech se nemusí obnovit kompletní názvy souborů. Data, jako taková, se obnoví, ale původní názvy souborů jsou systémem pouze očíslovány (přípona souboru, např. .avi, .jpg, .doc je zachována).
Použitelného softwaru pro obnovu poškozených souborových systémů je dostatek i v open source a freeware. Můžeme volit komplexnější utility, kterým nezáleží na našem operačním systému (hojně používaná je např. utilita TestDisk) nebo úzce specializované programy pro daný problém (jednoduché a účinné nástroje pro FAT a NTFS jsou např. ZAR nebo Partition Find and Mount). Bližší informace o funkcích jmenovaných nástrojů viz dále.
Smazaná data a soubory
Smazaná data jsou naštěstí pro nás stále fyzicky přítomna na médiu až do doby, kdy je systém přepíše novými. Běžný příkaz k vymazání provede pouze výmaz záznamu v příslušné tabulce (FAT nebo MFT) a prostor je označen za volný. Stará data jsou přepsána při nejbližším požadavku na zápis.
Zásadní podmínkou pro zachování dobré šance na obnovu odstraněného souboru (souborů, složek) je tedy zamezení jakéhokoliv zápisu na disk (platí i pro USB paměti či paměťové karty), který hledaná data obsahuje. Pokud se jedná o systémový disk, je třeba si uvědomit, že již spuštění operačního systému (zejm. Windows) provádí zápis do oblastí, která by mohla obsahovat hledaná data.
Je tedy vhodné disk připojit k jinému PC, nebo zavést systém z CD. Následnou rekonstrukci je bezpečnější provést na jiný svazek nebo oddíl, aby nedošlo k narušení obnovených dat. Dodržíme-li předešlé podmínky, nemusí být obnova komplikovaná a často lze sjednat nápravu pomocí běžně dostupného softwaru. Dobrým příkladem utilit pro rekonstrukci dat je např. PhotoRec, Recuva nebo NTFS undelete.
PhotoRec
Zformátovaný disk
Záleží sice na způsobu provedeného formátování (rychlé nebo pomalé) a na konkrétním souborovém systému, ale v zásadě platí totéž, co v předešlém případě. Data ztracená buď chtěným nebo nešťastným zformátováním, mohou být fyzicky přítomna na médiu. Dokud tedy nedošlo k dalšímu zápisu na postižený disk (např. novou instalací), jsou šance na kompletní obnovu příznivé.
Postup je podobný jako u smazaných souborů a i tady lze velmi dobře využít volně dostupné utility. Kvalitní použitelné nástroje mají obvykle širší obnovovací schopnosti. Kromě rekonstrukce zformátovaných oddílů umí obnovit i poškozené a částečně nebo kompletně nečitelné oddíly. Proto konkrétní příklady softwaru zmíníme níže.
Poškozený souborový systém
Dnes nejběžnější souborový systém NTFS používá MBR (Master Boot Record) a oddílovou tabulku (partition table) k určení, který oddíl slouží k zavádění OS. Pokud je jeden z těchto záznamů narušen, nenaběhne z disku systém a může se jevit jako prázdný.
Další možnost poškození tkví ve způsobu adresování jednotlivých oddílů. První sektor oddílu je rezervován jako zaváděcí (partition boot sector) a bez něj OS oddíl nenajde. Prvním souborem oddílu je tzv. MFT tabulka (Master File Table), bez které se operační systém nedostane k jednotlivým složkám a souborům. Systém NTFS si sám první sektor i soubor zálohuje na konec oddílu, což nám usnadňuje následnou obnovu.
NTFS
Mezi typická selhání souborového systému patří např. nekorektní instalace, pád operačního systému, virová nákaza nebo i nesprávné použití softwaru pro správu diskových oddílů, kdy buď uživatelskou chybou, nebo selháním použité utility dojde k poškození a tím k nedostupnosti našich dat.
Obnova obnáší detekci a rekonstrukci původního souborového systému, což většinou nepředstavuje velký problém. Kvalita obnovených dat je velmi individuální a záleží např. na velikosti pevného disku, množství původních dat, jejich umístění, atd. V komplikovanějších případech se nemusí obnovit kompletní názvy souborů. Data, jako taková, se obnoví, ale původní názvy souborů jsou systémem pouze očíslovány (přípona souboru, např. .avi, .jpg, .doc je zachována).
Použitelného softwaru pro obnovu poškozených souborových systémů je dostatek i v open source a freeware. Můžeme volit komplexnější utility, kterým nezáleží na našem operačním systému (hojně používaná je např. utilita TestDisk) nebo úzce specializované programy pro daný problém (jednoduché a účinné nástroje pro FAT a NTFS jsou např. ZAR nebo Partition Find and Mount). Bližší informace o funkcích jmenovaných nástrojů viz dále.
