Un sistema de archivos se utiliza para indexar y organizar archivos en el disco. Los registros en el sistema de archivos apuntan a la ubicación exacta o ubicaciones en el disco que contienen información que pertenece a un determinado archivo. Los diferentes sistemas de archivos organizan los archivos de manera diferente. Este artículo trata sobre la recuperación de sistemas de archivos FAT (File Allocation Table), que incluye el FAT original, FAT16 y FAT32.
Contenido
- Análisis del sistema de archivos
- Localización de archivos en la tabla de asignación de archivos (FAT)
- Análisis extendido y búsqueda de firma
Análisis del sistema de archivos
Una herramienta moderna de recuperación de datos aplica varios métodos diferentes para determinar la ubicación exacta de un archivo eliminado (o faltante). Primero intentará analizar el sistema de archivos, si está disponible, ya que un registro en la tabla de asignación de archivos contiene la información más completa sobre la ubicación del archivo, su nombre y atributos. Si alguna parte del sistema de archivos todavía está disponible, la herramienta podrá enumerar los registros en el sistema de archivos, determinar el registro que pertenece a un archivo en particular y descubrir en qué sectores del disco pertenece el archivo y en qué orden. Esto puede ser esencial para la recuperación correcta de un archivo, ya que el archivo puede estar almacenado en el disco en forma de varios segmentos (fragmentos) en lugar de un solo registro continuo debido a la fragmentación del disco.
Los archivos fragmentados son extremadamente difíciles (y no siempre posibles) de recuperar sin una referencia válida del sistema de archivos.
Localización de archivos en la tabla de asignación de archivos (FAT)
En el sistema de archivos FAT, se asigna un registro individual a todos los archivos. Estos registros contienen información sobre el archivo, incluidos todos los clústeres de datos ocupados por el archivo. Las estructuras FAT se utilizan para identificar clústeres posteriores en los archivos, así como para determinar el estado actual de los clústeres (por ejemplo, pueden estar disponibles si se elimina el archivo, todavía pertenecen al archivo o ya están ocupados por un archivo diferente).
Como se puede ver, los archivos fragmentados ocuparán más de un clúster y, por lo tanto, tendrán una cadena interconectada de estructuras FAT registradas en el sistema de archivos. Localizar el primer registro y seguir (enumerar) los enlaces es esencial al localizar todos los registros.
El análisis del sistema de archivos es todo lo que sucede si la herramienta de recuperación está funcionando en su modo de escaneo rápido. Pero, ¿qué sucede si el sistema de archivos está vacío (por ejemplo, después de una operación de formato de disco), dañado o completamente faltante? En ese caso, se debe realizar un análisis exhaustivo de toda la superficie del disco, involucrando un método de búsqueda de firma para localizar ciertos tipos de archivos.
Análisis extendido y búsqueda de firma
La búsqueda de firma permite que las herramientas de recuperación de datos identifiquen, localicen y recuperen archivos que no están indexados en el sistema de archivos. La búsqueda de firma puede detectar archivos que tienen firmas persistentes (por ejemplo, «?JFIF?» en archivos JPEG) o que contienen un subconjunto limitado de caracteres (por ejemplo, archivos de texto). A veces, se pueden detectar y recuperar archivos con ciertas estructuras cíclicas o recurrentes. Al detectar la presencia de un archivo y analizar su encabezado, un algoritmo de búsqueda de firma puede calcular los clústeres ocupados por ese archivo en el disco y recuperar el archivo con éxito. Se publicarán más detalles sobre la búsqueda de firma en un artículo de seguimiento.