A Microsoft tem dois sistemas de armazenamento de arquivos comuns conhecidos como FAT (File Allocation Table) e NTFS (New Technology File System).
O sistema de arquivos de tabela de alocação de arquivos (FAT) é um sistema de arquivos baseado em cluster desenvolvido pela primeira vez em meados da década de 1970. Sua última versão, FAT32 (lançado com o Windows 95), ainda é amplamente utilizado como o formato para dispositivos de armazenamento removíveis. Isto é em grande parte devido ao fato de que é uma maneira conveniente de compartilhar dados entre diferentes sistemas operacionais. Uma desvantagem do FAT32 é seu limite máximo de tamanho de arquivo de 4GB. Em 2006, a Microsoft lançou exFAT para resolver este problema e melhorar o desempenho em grandes mídias.
Cada arquivo em um disco rígido FAT é armazenado em um diretório (pasta). Um diretório em si é considerado pelo FAT como um tipo especial de arquivo. O diretório de nível superior é referido como “Raiz”. Em um sistema de arquivos FAT, o diretório raiz recebe status especial e geralmente é posicionado no início do disco. Outros diretórios podem ser localizados em qualquer lugar na área de dados do disco.
Cada arquivo em um sistema FAT tem uma “entrada de diretório”. Este é o local que armazena o nome de um arquivo, o local de seu cluster inicial e o tamanho do arquivo. Para encontrar um arquivo, o sistema operacional usa essas informações para chegar ao primeiro cluster de armazenamento de um arquivo. Em seguida, usa uma tabela especial no início do disco, conhecida como tabela de alocação de arquivos ou FAT para identificar os clusters restantes que são usados para armazenar o arquivo. É importante perceber que esta informação é armazenada completamente separada dos seus dados de arquivo e é por isso que a recuperação de dados FAT é possível.
O sistema de arquivos NTFS é o que você provavelmente encontrará no disco rígido mais recente, executando sistemas operacionais como o Windows 7 ou 2008. Enquanto um MFT é mais complexo, o principal de localizar o início de um arquivo e seus clusters de armazenamento subseqüentes é essencialmente o mesmo.
O que acontece quando excluo um arquivo?
Vamos olhar para ver o que acontece quando você intencionalmente excluir um arquivo e por isso pode ser possível trazer o arquivo de volta. Quando você seleciona um arquivo e pressiona a tecla de exclusão em um computador Windows o arquivo é enviado para a Lixeira. Você pode pensar na lixeira do Windows como apenas outra pasta de armazenamento de fantasia em seu disco rígido. A exclusão “real” (pelo menos no que se refere a este artigo) é o que acontece quando a Lixeira é esvaziada ou a exclusão ignora completamente a Lixeira do Windows.
Quando um arquivo é excluído o sistema operacional marca o nome do arquivo no MFT com um caractere especial que significa para o computador que o arquivo foi excluído. O computador agora olha para os clusters ocupados por esse arquivo como sendo vazio e, portanto, espaço disponível para armazenar um novo arquivo. O que o sistema operacional Windows não faz é ir para os clusters no disco rígido onde os dados dos arquivos são realmente armazenados e limpe o conteúdo desses clusters. Os dados de arquivo excluídos ainda estão lá, mas o sistema operacional do computador não sabe mais que ele existe.
Este é de facto o principal subjacente à recuperação dos dados. Trata-se de encontrar dados que ainda existem no disco rígido, mas que atualmente não podem ser localizados pelo sistema operacional. Se os clusters que contêm os dados são, corrompidos ou fisicamente danificados, em seguida, recuperar os dados que uma vez contido é impossível.
Ok, então meus dados ainda estão lá, mas por quanto tempo? A resposta a esta pergunta é completamente até você. A única maneira que o seu registro MFT excluído ou seus dados de arquivo em si será permanentemente ser destruído é se ele é substituído por outros dados. Isso significa que qualquer atividade de computador após a exclusão tem o potencial de apagar permanentemente arquivos de outra forma recuperáveis.
Se você estiver tentando a recuperação dos dados de sua movimentação dura, se possível conecte-a a um outro computador como a movimentação escrava de modo que o sistema operando não esteja fazendo uma dança alegre sobre você suprimiu limas quando você tenta o processo da recuperação. Se você usar o software de recuperação de dados, não o instale na unidade em que os arquivos foram perdidos. Melhor ainda, use um disquete ou CD versão se disponível. Se você enviar seu disco rígido para um serviço de recuperação de dados profissional, eles não devem estar trabalhando no disco rígido original. Eles devem pegar uma cópia do setor (uma cópia exata incluindo todas as informações excluídas) de seu disco rígido e trabalhar nisso. Você pode considerar fazer isso sozinho. Há uma série de programas que vão fazer isso, o mais comum é Norton GHOST. Mas lembre-se,
Recuperação de dados procurando por registros MFT excluídos
A maioria dos programas de recuperação de dados busca por entradas MFT excluídas para recuperar arquivos ou unidades unformat. Esses programas geralmente dão um dar uma probabilidade ou disco rígido dados recuperação classificação de “bom”, “médio” ou “pobre”. O que eles estão realmente fazendo é localizar o registro MFT para um arquivo excluído e, em seguida, verificar o restante dos registros MFT para determinar se os clusters que o arquivo excluído ocupado estão sendo usados por qualquer outro arquivo armazenado no computador. Como apenas um arquivo pode ocupar um cluster em um disco rígido, se outros arquivos estiverem usando o espaço de armazenamento de arquivos excluídos, é provável que os dados originais tenham sido substituídos e permanentemente destruídos. Esta técnica de recuperação é geralmente relativamente rápida, Como todo o programa de recuperação tem de fazer é encontrar as entradas de arquivo excluído no MFT e, em seguida, ir diretamente para esse local do disco rígido para executar a recuperação de dados. Você verá uma pesquisa MFT quando você executa uma “Busca Rápida” usando o Recover My Files Data Recovery Software.
No entanto, se o seu MFT está corrompido, defeituoso ou já foi substituído, este método não vai ajudá-lo a obter dados de volta, mesmo que os dados do arquivo ainda permanece no disco à espera de ser encontrado. O que você precisa fazer é procurar clusters não alocados.