информацией о его структуре, как все логические разделы, а значит и данные на них становятся недоступны.

 

Времени для подобной деструктивной деятельности потребуется очень мало, а результат наиболее эффектен – потеря доступа к данным на всей поверхности жесткого диска. Возможны и частные варианты: удаление из Partition Table какого либо одного логического диска, – так система вроде бы и сохраняет работоспособность, но данные на некоторой части жесткого диска недоступны, впрочем, и эта область становится как бы невидима.

При повреждении таблицы разделов, область данных и даже FAT обычно не страдают, сохраняясь в своем первозданном виде. Хорошие утилиты для восстановления данных, как правило, выходят из такой ситуации без особого труда: программа восстановления анализирует структуру данных, определяет FAT, и может извлечь данные практически в полном объеме. В этом случае главное не впадать в панику, не пытаться создавать заново потерянные разделы и вообще, исключить возможность любой записи на пострадавший диск до работы с ним специализированной программы восстановления данных. Имеются отдельные средства, позволяющие восстанавливать на жестком диске отдельные потерянные разделы вместе с данными, содержавшимися в них.

Разрушение (повреждение) FAT. При незначительном повреждении файловой системы, логический диск остается в видимости операционной системы, но может быть потерян доступ к некоторым файлам на нем. При существенном повреждении FAT раздела, операционная система потеряет доступ к логическому диску, так, если бы диск был не отформатирован. Естественно, не станет доступа и ко всем имеющимся на этом логическом диске данным. Этот способ так же любим вирусами, так как позволяет быстро испохабить информацию или преградить доступ к ней, может возникать из-за сбоев ОС, так как FAT постоянно обновляется в процессе работы, нередко происходит из-за аппаратных сбоев, внезапного пропадания питания компьютера. Частный случай: намеренное переформатирование логического диска. Так, пользователь может просто заново отформатировать логический диск, желая скрыть данные на нем или произвести акт вредительства. При этом операционная система видит логический диск, как вполне работоспособный, но совершенно пустой.

При повреждении или уничтожении FAT, переформатировании диска, область данных, как правило, не страдает. Для операционной системы логический диск может быть недоступен или определяться, как пустой, но старая информация остается на своем же месте. Здесь главное не производить никаких записей на логический диск, особенно, когда диск переформатирован заново и доступен для действий ОС. Данные станут потеряны навсегда лишь тогда, когда поверх них будет записана новая информация. Опять же, утилиты для восстановления данных в большинстве случаев могут корректно извлечь данные с логических дисков, у которых повреждена файловая система или они отформатированы заново.

Удаление данных стандартными средствами ОС. В Windows по умолчанию удаляемые файлы переносятся в корзину, и какое-то время хранятся там, откуда могут быть восстановлены пользователем – мы не будем рассматривать этот банальный случай. Допустим, вы безвозвратно удалили файлы средствами ОС (удерживая кнопку Shift или очистив корзину). Что происходит с файлами? Здесь нужно принять во внимание, что даже очень большие файлы на вид, как бы удаляются практически мгновенно, чего никак не могло бы произойти при физическом затирании всей занимаемой ими поверхности диска.

 

На самом деле файлы не стираются, – они помечаются ОС, как удаленные и продолжают существовать на том же месте. Операционная система просто добавляет в название удаляемого файла специальные символы, теперь он считается несуществующим для пользователя, хотя и видим ОС. Пространство, занимаемое файлом, помеченным как удаленный, считается пустым и может в любой момент использоваться ОС по своему усмотрению, то есть на него может быть осуществлена новая запись. Специальные программы могут восстанавливать файлы, помеченные ОС, как удаленные, если на их место еще не произведена новая запись.

Выше описаны наиболее распространенные причины потери доступа к информации, с которыми пользователи сталкиваются в подавляющем большинстве случаев. Конечно, возможны их комбинации, а так же и более разрушительные способы поражения информации. Скажем, на жестком диске можно разрушить или заменить файловую систему и таблицу разделов одновременно, но это еще не значит, что к информации в области данных доступ потерян навсегда. Программы для восстановления данных анализируют структуру оставшихся данных, по разрозненным данным определяют параметры файловой системы, из раздельных фрагментов собирают целостные файлы и извлекают их на другие носители. Как они это делают? – это, наверное, известно лишь разработчикам подобных программ, вряд ли такими знаниями кто-то захочет делиться просто так.

Как уже было отмечено, данные, к которым потерян доступ, очень легко уничтожить навсегда, произведя самую обычную запись поверх них новой информацией. Способы тотального уничтожения информации мы также рассмотрим – в конце статьи. Никогда ничего не пишите на пострадавшие диски, сначала воспользуйтесь специальными программами для восстановления информации, часть из которых рассмотрена ниже.

Программы для восстановления данных
Здесь мы рассмотрим несколько новых утилит для восстановления потерянных данных.

 

Для оценки эффективности работы программ, в данном случае использовался жесткий диск, данные на котором были потеряны при весьма тяжелых обстоятельствах. Сначала жесткий диск объемом 2,5 Gb содержал три логические диска с файловой системой FAT16. Потом, при помощи стандартной утилиты fdisk, жесткий диск был разбит по-новому – на два раздела, логические диски были отформатированы в FAT32. При этом там осталась ценная информацию, которую нужно было восстановить. Особую ценность представляли несколько Мб – в основном текстовые и графические файлы, в нескольких подкаталогах, большей частью с именами на кириллице. Как видим, здесь FAT и таблица разделов были не просто разрушены, они были заменены другими, вполне корректными атрибутами, напрочь несовместимыми со старыми данными. Но, тем не менее, старая информация была восстановлена – именно это сейчас является критерием для оценки программ в данном обзоре.

R-Studio (http://www.r-studio.com/)
Простая, эффективная и быстрая утилита, восстанавливает потерянные данные на жестких дисках с файловыми системами FAT12, FAT16, FAT32, NTFS, Ext2FS. Достоинством этой программы является то, что она хорошо понимает названия файлов и каталогов на кириллице, в большинстве случаев корректно сохраняя не только длинные имена, но и структуру древа каталогов. R-Studio является коммерческим продуктом, инсталлируется под Windows. В демо-версии ограничен размер файлов, которые программа будет восстанавливать и сохранять – небольшие файлы, для FAT16, FAT32 объемом до 64 кб. С помощью R-Studio также можно создавать файлы-образы дисков и восстанавливать их в случае проблем обратно.
В первом окне R-Studio отображаются приводы жестких дисков с их логическими разделами, а так же диски других устройств  



Рис 1.


В области правой части окна дается техническая информация о выделенном приводе или диске. Что бы начать поиск информации, нужно выделить интересующий логический диск или весь привод и нажать кнопку «Scan» в верхней строке окна программы. Если на жестком диске есть незаполненное пространство, потерянные разделы, тогда нужно для сканирования выделять имя привода – будет исследована вся поверхность жесткого диска.
Рис 2.


После сканирования всего диска программа разделяет его объем на отдельные участки, содержащие распознанные данные, и выдает их списки (рис.2), определив для каждого предполагаемые параметры файловой системы и местоположение. Отдельные участки на поверхности именуются как Recognized#, в таблице стоит предполагаемый тип файловой системы, указывается начало на диске и объем каждого участка. Участки в списке могут пересекаться между собой, их количество может быть большим. Теперь достаточно двойного щелчка мыши по любому пункту списка, что бы отобразить данные, определяемые программой на этой части диска (рис.3). Из этого окна (отображения файлов) можно быстро вернуться обратно в окно с Recognized#, достаточно нажать кнопку «Select Drive» слева в верхней строке, и выбрать для исследования другой участок. Таким образом, можно быстро исследовать все участки диска с обнаруженными данными, стоит просмотреть даже те, параметры которых на первый взгляд кажутся неестественными.


Рис 3.


В запутанных случаях, каковым является наш пример с переразбитым жестким диском и переформатированными другим FAT разделами, программа находила много разрозненных участков с данными, определяя для каждого свои параметры, не всегда корректно. При последующем раскрытии с помощью R-Studio той области, где ранее находились логические диски, корневая структура существовавших каталогов не сохранялась, зато структура вложенных каталогов в большинстве случаев сохранялась хорошо. В окне данных программа, как правило, выводит какое-то число папок с обозначениями типа $ROOT#####. Что находится в каждой такой папке сразу сказать нельзя, нужно проверять. При этом в разных папках программы могут повторяться имена существовавших на диске каталогов, но по большей части они окажутся пустыми. Наиболее вероятно, что лишь в отдельных папках, созданных программой, типа Root, $ROOT##### можно будет найти хорошо структурированную информацию, поддающуюся восстановлению. Лучше всего просмотреть все папки. Ситуация упрощается оттого, что сомнительные элементы программа отмечает красными знаками вопросов и крестами, однако кресты на файлах в окне программы еще не значат, что те не могут быть успешно восстановлены.
Что бы восстановить обнаруденные данные, достаточно выбрать через контекстное меню правой кнопки мышки соответствующий пункт, или востользоваться кнопкой «Recover» в окне программы для выделенных элементов. В случае нашего эксперимента, можно сказать, что R-Studio показала себя очень хорошо, восстановлению поддавалась большая часть потерянных данных, по крайней мере, все те, что были нужны, названия на русском, а так же фрагменты структуры каталогов сохранялись хорошо. Правда, пришлось вручную поискать внутри россыпи участков диска Recognized#, а потом во множестве папок программы, но при этом нужная информация всегда, в конце концов, обнаруживалась.
Restorer 2000 (http://www.restorer2000.com/)
Эта программа по функциональности и организации интерфейса очень похожа на предыдущую, возможно, у них одни и те же истоки. Restorer 2000 является коммерческим продуктом, в демо-версии может восстанавливать лишь небольшие файлы. Заявлена поддержка файловых систем FAT и NTFS. Столь же хорошо понимает названия файлов и каталогов на кириллице. Инсталлируется под Windows, кроме восстановления потерянной информации, эту программу так же можно использовать для создания резервных файлов-образов дисков.
Интерфейс и организация работы Restorer 2000 очень похожи на R-Studio, так же из заглавного окна запускается процесс сканирования выделенного раздела или всего жесткого диска (рис.4).

Рис 4.


Отсканированный программой диск так же разбивается на отдельные участки, содержащие потерянные данные, для каждого участка определяются параметры файловой системы и объем. Однако у Restorer 2000 после завершения сканирования участки диска с параметрами выводятся в правой области окна (рис.5).

Рис 5.


Названия обнаруженных участков здесь просто банальны – ряд знаков вопросов вида – ?«??????, даже без нумерации, что несколько затрудняет для пользователя работу с ними. Здесь так же, как и в R-Studio, двойным щелчком нужно раскрывать интересующий участок диска и смотреть его содержание. Так как подходы в интерфейсах обеих программах по поиску и извлечению данных практически одинаковы, то здесь нет необходимости останавливаться на процессе работы с Restorer 2000 более подробно. Нужно лишь отметить, что вероятность восстановления потерянных данных с помощью Restorer 2000, на мой взгляд, примерно такая же, как и у R-Studio. Restorer 2000 так же хорошо справился с восстановлением данных на переразбитом на другое количество разделов и переформатированном другим FAT жестком диске, о котором было сказано выше.
GetDataBack (http://www.runtime.org/)
Программа существует в версиях для файловых систем FAT12, FAT16, FAT32, NTFS. По сравнению с описанными выше двумя утилитами GetDataBack выглядит весьма и весьма посредственно. Из Сети можно свободно скачать версию программы с ограниченной функциональностью, где из списка найденных результатов по отдельности можно открывать текстовые, графические и другие файлы с помощью установленных в ОС приложений для этих типов файлов и сохранять их уже из открывшей файл внешней программы. Сохранение из программы восстановления возможно только в зарегистрированной версии.
Сначала о плохом. GetDataBack потерянные разделы не видит, а значит нельзя задать восстановление именно с них. Однако на третьем шаге (Step 3) имеется возможность указать для сканирования всю область жесткого диска. Файлы и каталоги с именами на кириллице если и поддавались восстановлению, то их названия неизменно заменялись неким кодом на латинице, структура дерева каталогов не сохранялась. Мало того, после процесса сканирования GetDataBack не может корректно отобразить древовидную структуру и оригинальные имена на кириллице даже существующих на диске, видимых штатными средствами ОС файлов.
Действия по извлечению потерянной информации с помощью GetDataBack выполняются в пошаговом режиме мастера, всего предусмотрено 5 шагов. В первом окне (Step 1) (рис.6) необходимо выделить нужные объекты. Здесь длинный список из накопителей FDD, HDD, логических дисков и файл-образов (Image files).


Рис 6.


В окне версии 2.25 отображается два дисковода и восемь приводов жестких дисков – это не значит, что программа обнаружила такое количество устройств в системе, просто нужно выделить нужное количество из тех, что установлены и интересны в плане восстановления. Если отметить физические диски (HD), то на втором шаге их логические диски будут отображаться в порядке, приведенном к конкретным физическим устройствам (рис.7). В области Logical Drives обнаруженные логические диски выстроятся в том порядке, как их видит операционная система. Можно задать отображение во всех режимах.
Рис 7.


На втором шаге выделяем нужную область жесткого диска и после непродолжительного сканирования, переходим на третий шаг, где можно согласиться с предложенными программой параметрами, либо указать вручную в секторах другую область диска или задать весь его объем, указать тип файловой системы. Программа сканирует заданную область диска, ищет потерянные данные. В промежутке, на четвертом шаге (Step 4) GetDataBack отсканированную поверхность поделит на участки с указанием наиболее вероятных параметров для них, здесь надо указать участок для дальнейшего восстановления с него (рис.8). Так как после каждого шага можно вернуться назад, то перебрать их можно все. На последнем шаге отображается результат. Как правило, структура каталогов, по крайней мере, корневых и на кириллице, не сохраняются, имена заменяются непонятным набором символов. Файлы можно открывать прямо из окна Recovery Tree двойным щелчком мыши, при этом будет задействовано соответствующее типу файла приложение в ОС.


Рис 8.


GetDataBack не смог восстановить нужную информацию на жестком диске, который в данном случае был использован для эксперимента. Какая-то, даже довольно большая часть файлов была доступна для восстановления, но это почти все файлы с именами на английском, не представлявшие интереса. Было доступно для восстановления и небольшое число файлов с русскими именами, но это скорее носило случайный характер. Структура каталогов сильно нарушалась, с программой было тяжело работать.
Acronis Recovery Expert (http://www.acronis.ru/)
Выше мы рассмотрели программы, которые извлекают потерянные данные с дисков, при этом оказывая минимальное воздействие на сами диски. Но возможна, и часто происходит ситуация, когда на жестком диске теряется логический раздел, необходимый для работы и содержащий ценные данные. Конечно, можно попытаться извлечь данные с этого раздела с помощью описанных выше программ, сохранить информацию на другом носителе и использовать отдельно. На пострадавшем же накопителе придется создавать раздел заново, форматировать его, переносить потерянные данные, при этом, возможно, будут затронуты другие разделы жесткого диска. Все это занимает время, дает постой в работе компьютера. Здесь возникает другой вопрос – нельзя ли сразу же, в неизменном виде восстановить потерянный раздел на жестком диске вместе со всеми данными, содержавшимися в нем. Таким образом, мы сразу же получим работоспособную систему, в том виде, в котором она была до аварии. В этом случае удастся сэкономить массу времени. Оказывается, что возможно и это.
Восстановление потерянных логических дисков возможно с помощью утилиты Acronis Recovery Expert. Программа находит области с потерянными логическими дисками и восстанавливает их со всеми содержавшимися там на момент аварии данными. Однако здесь нужно учитывать, что в процессе восстановления логического диска, программа неизбежно производит запись на него. Нельзя исключать вероятности того, что процесс восстановления пройдет некорректно, и логический диск восстановлен не будет, а значит останутся недоступны и данные на нем. Как уже говорилось выше, потерянные данные больше всего бояться повторной записи на диск. Так что возможна ситуация, когда с помощью Acronis Recovery Expert восстановить потерянный раздел не удастся, но мало того, эта попытка еще больше испортит состояние потерянных данных и сделает невозможным или затруднит их извлечение с помощью других, предназначенных для этого утилит. Так что перед тем, как пользоваться Acronis Recovery Expert, я бы настоятельно рекомендовал попытаться сначала извлечь нужные данные с аварийного диска с помощью других программ для восстановления, которые не делают записи на диск, и сохранить их где-то отдельно. И только после этого пытаться восстановить работоспособность пострадавшего логического диска в системе при помощи Acronis Recovery Expert.


Рис 9.


Интерфейс Acronis Recovery Expert организован очень наглядно. Вначале, перед процессом сканирования жестких дисков, будет предложено выбрать автоматический (по умолчанию) или ручной режим. В автоматическом режиме программа все сделает сама, пользователь получит лишь список найденных потерянных логических дисков, которые можно пытаться восстанавливать. В ручном режиме это выглядит несколько интересней. В графическом интерфейсе, где наглядно представлена структура дисков (рис.9), будет предложено вручную указать свободное пространство для поиска, на следующем шаге можно указать полный поиск, после запуска на выполнение, программа, опять же, выдаст список удаленных дисков (рис.10).


Рис 10.


Здесь выделяем нужный раздел, жмем «Далее», программа покажет, как будут выглядеть диски после восстановления (рис.11). Если возражений нет, можно приступать к заключительному шагу – восстановлению логического диска на физической поверхности. В случае успеха потерянный логический диск вновь появится на жестком диске и будет содержать все свои данные.

Рис 11.


Acronis Recovery Expert – коммерческая разработка. Демо-версия работает лишь до этапа реального восстановления логического диска на физическом уровне. Однако стоимость продукции Acronis вряд ли может показаться слишком высокой. Притом, что программы Acronis распространяется для отечественных пользователей по специальным ценам и доступны на территории РФ, Украины, Белоруссии.
Уничтожение данных
Вот тут-то в пору и задуматься – а каким же образом информация может быть уничтожена – уничтожена насовсем, надежно, так, что бы ее уже не восстановили никакие программные средства? Ведь что получается: удаляемые штатными средствами ОС файлы на самом деле не стираются, а просто перестают отображаться, и еще какое-то время могут быть легко восстановлены. Сколько пользователей форматируют диски, в надежде на то, что вся старая информация будет уничтожена, безбоязненно передавая их в чужие руки, но …и здесь мы знаем что делать. Даже удаленные разделы и новый формат не помешают хитрой утилите извлечь находящиеся на жестком диске данные. Но ведь не всегда данные пропадают в результате аварий и вредительства, во многих случаях конфиденциальная информация подлежит самому надежному уничтожению, дабы она не могла стать достоянием окружающих или не попала в руки злоумышленников. Давайте теперь зададимся обратной задачей – как надежно уничтожить данные?
Как уже не раз говорилось ранее, надежно уничтожить данные на жестком диске можно лишь повторной записью на то же самое место поверхности диска. Штатными средствами операционной системы прицельно произвести такую операцию нельзя, пользователю вообще неизвестно реальное местоположение фрагментов удаляемого файла на поверхности жесткого диска. Здесь практикуется несколько способов. Самым прямолинейным решением может быть обнуление всей поверхности жесткого диска. Этого можно добиться в процессе, так называемого, низкоуровневого форматирования жесткого диска (в случае современных накопителей имеет смысл говорить лишь о псевдонизкоуровневом форматировании). Производители жестких дисков выпускают для соей продукции специальные утилиты для низкоуровневого форматирования, или, так называемые, эрайзеры (eraser – стирающее устройство, программа). С подобными утилитами можно познакомиться в статье «Диагностические утилиты от производителей винчестеров».
Однако низкоуровневое форматирование или тотальное обнуление нельзя применять выборочно – это неизменно уничтожит все данные, формат и все логические разделы на жестком диске. К тому же обнуление всей поверхности не гарантирует успеха, если, не дай бог, этим винчестером займутся спецслужбы. Дело в том, что при последовательном обнулении, всегда остается слабая остаточная намагниченность слоя. Конечно, определить по остаточной намагниченности, что было на жестком диске на месте нулей штатными средствами ПК и накопителя нельзя. Однако существуют специальные программно-аппаратные средства, которые справляются и с этой проблемой. Проблема остаточного намагничивания, вернее его уничтожение, решается путем многократной перезаписи на поверхность диска разнородного кода, в определенном алгоритме содержащего логические нули и единицы. Такой способ можно реализовать с помощью специально разработанных для уничтожения данных утилит.
Но сначала о ручном способе, он доступен каждому. Удаляем с помощью штатных средств ОС с диска все те данные, которые никто уже не должен увидеть. Все свободное место на диске заполняем любой другой ненужной информацией. Можно копировать файлы с CD или других логических дисков винчестера, пока все пространство на нашем диске не будет занято. Потом вся эта ненужная масса удаляется, процесс лучше повторить несколько раз подряд. Таким образом, то пространство, где ранее находились удаленные ценные файлы, повторно будет заполнено другими данными, что собьет со следа программы восстановления. Для таких целей существуют и специальные утилиты, процесс которых автоматизирован, и пользоваться ими гораздо удобнее. Ниже рассмотрена одна из таких программ.
Eraser (http://www.heidi.ie/eraser)
Название утилиты говорит само за себя. Ее назначение – без следа удалять указанные файлы и каталоги, а так же затирать свободную поверхность дисков, так, что бы уже не оставалось никаких шансов для восстановления существовавших там ранее данных. Программа бесплатна, инсталлируется под Windows.
У Eraser есть несколько режимов работы. В режиме очистки неиспользуемого пространства диска (Unused space on drive), программа будет затирать на пустующем пространстве заданного логического диска все следы существовавших ранее данных. Воздействию поддается только пустое с точки зрения операционной системы пространство диска. В режиме удаления файлов и каталогов (Files on folder; File) (рис.12) все указанные файлы и каталоги будут удаляться, а на их место 35 раз подряд будет записан сгенерированный программой специальный код, что не даст возможности не только восстановить удаленную информацию программным путем, но сделает ее недоступной так же для спецсредств, таких, которые способны снимать остаточную намагниченность с поверхности диска.


Рис 12.


Интерфейс Eraser прост и удобен. При инсталляции программа ставит себя в автозагрузку, есть планировщик заданий. Очистка свободного пространства для указанных дисков и удаление из заданных каталогов может включаться автоматически: в заданное время каждый день, раз в неделю, при каждой перезагрузке компьютера, все это настраивается. В окне программы могут отображаться два поля: со списками заданий планировщика (Scheduler) и списком объектов, которые нужно чистить вручную по требованию пользователя (On-Demand) (рис.13). В любое поле можно добавлять объекты по своему усмотрению. Нужно отметить, что даже очистка пустого пространства жесткого диска Eraser занимает довольно много времени – поверьте, это именно то время, за которое данные уничтожаются безвозвратно, а не просто ограничивается доступ к ним.

Рис 13.


Вот теперь, будучи во всеоружии, можно чувствовать себя более уверенно в любой ситуации, связанной с восстановлением и уничтожением данных на жестком диске. Надеюсь, эта информация не будет использоваться со злым умыслом.