MTE explica: cómo funciona la recuperación de archivos en una PC

Nos ha pasado a todos. Ha eliminado por error un archivo o carpeta y ha vaciado la papelera de reciclaje. O tal vez Windows se negó a arrancar y cuando conectó su disco duro a otra PC, no pudo leer sus datos. ¿Alguna vez recuperarás tus datos? Este artículo se centrará en comprender los conceptos detrás de la recuperación de archivos en una PC.

Estructura del disco duro

h

En primer lugar, repasemos la estructura lógica de un disco duro. Normalmente, un disco duro se compone de un sector de arranque, índice y datos. El sector de arranque se encuentra al principio de la unidad y normalmente se utiliza para iniciar el sistema operativo e incluye detalles sobre las particiones de la unidad. El índice contiene información sobre los archivos y carpetas que existen en la unidad; en el caso de un sistema basado en Windows, ese sería el MFT o Master Fat Table. La sección de datos de la unidad contiene los archivos reales y su contenido.

Archivos eliminados

¿Qué sucede cuando borra un archivo y vacía la Papelera de reciclaje? ¿Se ha ido para siempre? El contenido no se elimina realmente de forma permanente. La entrada de índice que dirige al usuario al archivo se marca como eliminada y el área de contenido del archivo se marca como disponible para sobrescribirla o para usarla en el futuro. Esto significa que los datos físicos todavía están disponibles hasta que otro archivo los sobrescriba. Por lo tanto, si espera recuperar archivos, solo debe intentar la recuperación apagando su computadora y conectando su disco duro a una computadora diferente. De lo contrario, cualquier actividad que realice en la unidad puede sobrescribir los datos de sus archivos eliminados.

Corrupción de datos

En el caso de la corrupción de datos, existen muchas causas posibles. La pérdida de energía en un momento inoportuno o un fallo / reinicio aleatorio de la computadora podrían dañar un segmento de un archivo, el sistema de archivos en general o la propia MFT. De manera similar al escenario de archivos eliminados, debe apagar el sistema e intentar la recuperación en una segunda computadora.

El proceso de recuperación de archivos

Teniendo en cuenta cualquiera de los escenarios: archivos eliminados o corrupción de datos, existe una gran posibilidad de recuperar los datos. La tasa de éxito de hacerlo depende en cierto modo de cuánto tiempo hace que se eliminaron los archivos o de la corrupción que se produjo y cuánto uso ha tenido la computadora desde ese momento.

Hay una mayor cantidad de programas disponibles que pueden facilitar la recuperación de datos. En mi experiencia, TestDisk ha funcionado muy bien.

Recuperación de archivos eliminados

La mayoría de las aplicaciones de recuperación de datos tienen algún tipo de función de escaneo rápido. Por lo general, esto solo se usa para archivos eliminados y requiere que la unidad lógica sea visible para el sistema operativo, es decir, que la partición no esté dañada, montada correctamente y que pueda navegar por la unidad en el explorador. Un escaneo rápido escaneará la tabla de archivos (MFT como se discutió anteriormente) y buscará archivos que se hayan marcado como eliminados.

La tabla de archivos dictará la ubicación de los archivos en la unidad y, por lo tanto, permitirá su recuperación. Sin embargo, si el espacio en el que residen en la unidad se ha sobrescrito, la recuperación no funcionará como esperaba y obtendrá un archivo lleno de basura. La mayoría de las aplicaciones de recuperación de datos tienen una vista previa de archivos incorporada que le permite echar un vistazo al contenido del archivo. Sin embargo, esto puede no ser muy útil si no sabe lo que está buscando: los archivos de texto sin formato son fáciles de entender, y los documentos de Word generalmente tienen su contenido como texto sin cifrar en algún lugar dentro de un desorden confuso de hexadecimal, pero otros medios los archivos serán más difíciles. Como puede ver, el archivo por lotes a continuación está claramente en buenas condiciones:

Otra complicación de la recuperación de archivos eliminados es que no siempre se conoce la ubicación original de los archivos. Es posible que deba buscar en una lista aleatoria de directorios con nombres aleatorios para encontrar los archivos que desea recuperar. Esto se debe a que es posible que la tabla de archivos ya no esté vinculada a la información de ubicación del directorio del archivo. Como puede ver en la imagen siguiente, la lista de directorios de la izquierda está formada por caracteres aleatorios. Sin embargo, los nombres de los archivos en sí deberían estar intactos y su aplicación de recuperación de datos debería tener una opción de búsqueda disponible para facilitar la tarea de localizar los archivos.

Una vez que haya determinado qué archivos se van a recuperar, su aplicación de recuperación de datos debería ser el último paso. Solo recuerde elegir una unidad de destino que no sea la misma que la unidad de la que se está recuperando. De lo contrario, corre el riesgo de que el proceso de recuperación de datos escriba sobre los mismos archivos que está intentando recuperar.

Recuperación de datos corruptos

Este escenario es un poco más complicado. Varios aspectos del sistema de archivos pueden estar dañados: la tabla de archivos, un segmento de los datos o muchas otras permutaciones, incluso en el caso de la recuperación de unidades formateadas. En algunos escenarios, la aplicación de recuperación de datos puede leer segmentos de su MFT para localizar una parte importante de los archivos. También puede haber un espejo de la MFT para que la aplicación de recuperación de datos pueda combinar tanto el espejo como la copia normal para ubicar todos sus datos.

Si la versión “más rápida” de la recuperación de datos corruptos falla, entonces el enfoque alternativo es escanear los datos sin procesar del disco en busca de firmas de tipos de archivos particulares que desea recuperar. Los archivos como jpegs, documentos de MS Word y archivos de Excel tienen una “firma” específica, generalmente un comienzo y un final similares a los de un archivo que define su tipo de archivo. Por lo tanto, la aplicación de recuperación de datos escaneará la unidad en busca de estas cadenas para localizar los archivos perdidos.

Sin embargo, este proceso no es ni mucho menos perfecto, el problema principal es que a veces es difícil descifrar dónde puede terminar un archivo determinado, lo que puede hacer que varios archivos se agrupen en algunos casos. El software no puede resolver esto con la información limitada disponible y, por lo tanto, toma una decisión calculada. Otra limitación de este método es que los archivos que no se almacenan en un espacio contiguo (archivos fragmentados) no se recuperarán correctamente, ya que el software de recuperación no tiene conocimiento de las ubicaciones de los fragmentos del archivo sin una tabla de archivos. El problema final con este enfoque, como se ilustra en la imagen a continuación, es que puede ser un proceso lento. (la recuperación que se muestra a continuación está en realidad en una unidad dañada físicamente, un escaneo sin formato normal tomaría algunas horas, ¡no 3 semanas!)

Observaciones finales

Es importante tener en cuenta que las posibilidades de recuperar el archivo dependen de cuánto tiempo se haya eliminado / eliminado / formateado del disco duro. Por ejemplo, si el archivo se borró hace apenas una hora, entonces aún debería estar relativamente intacto y el sistema no lo sobrescribirá. Desafortunadamente, si el archivo se eliminó unas semanas o meses antes, las posibilidades de recuperarlo pueden reducirse significativamente. Para tener la mejor oportunidad de recuperación, recomendamos que el usuario deje de guardar archivos nuevos (así como de realizar cualquier otra acción) en su computadora y comience inmediatamente a intentar restaurar los archivos necesarios.

Crédito de la imagen: Pérdida de datos de disco duro roto por BigStockPhoto

¡Si te ha gustado vota con 5 Estrellas!
(Votos: 0 Promedio: 0)

Escribe Aquí Tu Comentario