Problemas y compatibilidad de los sistemas de archivos

> Problemas y soluciones con archivos perdidos
> FAT 32 Problemas y soluciones
> NTFS Problemas y soluciones
> HFS/HFS+ Problemas y soluciones

> Recuperación de una imagen VMware
> Archivos borrados de la papelera de reciclaje de Windows ®
> Archivos borrados de la papelera de reciclaje de Mac OS X
> Archivos NTFS cifrados

> Compatibilidad

Problemas y soluciones con archivos perdidos

> Un archivo que se encuentra con la ayuda de un algoritmo de búsqueda de firma de archivos se llama "perdido". Estos archivos se pueden encontrar en los discos sin ningún tipo de datos del sistema de archivos, o en una sola unidad después de realizar la exploración de Recuperación de archivos eliminados. Por lo general, este tipo de archivos solo se pueden recuperar si están almacenados en un cluster o en varios clusters consecutivos del disco. La fragmentación pesada de la unidad afectará negativamente a la recuperación.
> Si el tamaño de estos archivos perdidos no se pudo detectar, se les asignará un tamaño predeterminado especificado internamente en el programa. El tamaño predeterminado puede ser demasiado pequeño para el archivo detectado; por ejemplo, cuando un archivo de mapa de bits pudo ser detectado, pero la imagen se corta en una posición. En este caso el tamaño del archivo perdido que se encontró es demasiado pequeño y será posible ajustar el tamaño de cada archivo, seleccionando Cambiar el tamaño en el menú de Experto. No importa si se especifica un tamaño superior al tamaño real del archivo, ya que la mayoría de los tipos de archivos almacenan su propio tamaño correcto en el archivo.

> Se puede producir otro problema si el archivo recuperado tiene un formato de almacenamiento OLE utilizado por formatos de archivos como Microsoft ® Word, Excel, PowerPoint, y muchos otros proveedores. En este caso, EasyRecovery™ intenta detectar la extensión correcta y cambiar el nombre de la extensión (por ejemplo, a DOC, .XLS o .PPT). Si eso no funciona, la extensión del archivo seguirá siendo ".MOF”.

FAT 32 Problemas y soluciones

> En Windows ® 2000 y versiones superiores, cada vez que se elimina una entrada (archivo o carpeta), el sistema operativo borra el orden de palabras más alto del cluster de inicio de 32 bits. Por lo tanto, el valor correcto del cluster de inicio en el momento de la recuperación de la entrada no se conoce. Sin el conocimiento exacto del cluster de inicio, ninguna herramienta de recuperación puede encontrar ni restaurar con éxito una entrada eliminada. Para superar este problema, EasyRecovery™ ha ideado una solución. Dependiendo del tamaño del disco, genera valores probables del cluster de inicio del archivo/carpeta seleccionados para ser recuperados. En el caso de una carpeta, el programa automáticamente intentará múltiples combinaciones, lo que puede dar lugar a una demora en el proceso de lectura; en el caso de un archivo, le pedirá al usuario poner a prueba cada una de las múltiples combinaciones.

NTFS Problemas y soluciones

> Se ha observado que el controlador (driver) del sistema de archivos en el caso de las unidades NTFS intenta optimizar el espacio utilizado por la MFT cambiando su tamaño cada vez que se enciende el sistema. Una vez modificado el tamaño de la MFT (si se lo reduce), no será posible recuperar todas las entradas eliminadas.

HFS/HFS+ Problemas y soluciones

> Mac OS X utiliza el HFS / HFS + (Sistema de archivos jerárquicos) para el almacenamiento de datos en el disco duro. Esto es muy diferente a los FAT o NTFS utilizados por Windows®. El sistema de archivos HFS / HFS+ de Mac usa un registro para minimizar la pérdida de datos. Básicamente, el registro implica el seguimiento de todos los cambios realizados en los archivos en un volumen en la Mac. Normalmente, este archivo de registro diario puede ser utilizado por el sistema para retornar a un estado anterior de los datos en el disco duro. Sin embargo, en algunos casos, este archivo de registro puede estar dañado y no se podrá revertir el sistema. La recuperación completa de la ruta y de los nombres de archivo no siempre es posible, pero los datos todavía pueden ser recuperados. Si se usa la Recuperación de archivos eliminados luego de seleccionar la opción RAW se recuperará una gran cantidad de este tipo de datos perdidos.

Recuperación de una imagen VMware

EasyRecovery™ Enterprise soporta la recuperación de archivos VMDK almacenados en sistemas de archivos locales (es decir, VMware Workstation, Fusion) ya sea en formatos planos o dispersos alojados. Soporta todas las imágenes “locales” VMDK.

Nota: Los archivos VMDK almacenados en los sistemas de archivo VMFS no se soportan actualmente (es decir, productos de centro de procesamiento de datos VMware vSphere).

Las imágenes VMDK son discos duros virtuales que contienen sistemas operativos virtuales que funcionan bajo un sistema principal, normalmente Windows o Linux. Por lo general hay múltiples imágenes VMDK creadas para cada sistema virtual y elegir la imagen VMDK correcta es fundamental para un análisis de recuperación exitoso. Para analizar un archivo VMDK, cargue la imagen VMDK y elija el volumen correspondiente.

Razones para múltiples archivos VMDK:

· Múltiples archivos VMDK denominados “capturas” (o “enlaces delta”). Si crea una captura en VMware, se iniciará un nuevo VMDK, y no se volverá a tocar el VMDK original. Todos los cambios al VMDK original se escribirán al nuevo VMDK y el nuevo VMDK aumentará en tamaño.

· Archivos múltiples VMDK llamados “extensiones”. Puede dividir todos los datos de la imagen en varios archivos VMDK.

· Si la imagen utiliza más de un archivo VMDK, se creará un nuevo archivo VMDK y se llamará archivo “descriptor”. Este archivo descriptor tan pequeño contiene una descripción con enlaces a todos los archivos VMDK que pertenecen a la imagen.

Situaciones:

· Si hay un solo archivo VMDK (sin capturas ni extensiones), EasyRecovery™ Enterprise encontrará el descriptor embebido en dicho archivo, y lo podrá utilizar.

· Si hay múltiples archivos VMDK, el cliente necesitará elegir el archivo descriptor. Dependiendo de qué momento el cliente necesite recuperar, se deberá elegir el descriptor de captura correspondiente…cuánto más tarde es la captura, más nueva es la información.

Si hay más de un archivo VMDK, elija el más chico (descriptor). Dependiendo de qué captura (momento) desee recuperar, elija la captura correspondiente (o si existen más archivos VMDK para esa captura, elija el archivo descriptor que pertenece a dicha captura). Cuánto más nueva sea la captura, la información será más completa.

Archivos borrados de la papelera de reciclaje de Windows ®

> Cuando un archivo es enviado a la Papelera de reciclaje bajo el sistema operativo NTFS, no se conservará el nombre del archivo. Los archivos serán renombrados así: "D letra de la unidad de memoria # del archivo eliminado”.

> Al recuperar archivos que han sido extraídos de la papelera de reciclaje (carpeta "RECYCLER") se debe buscar la letra “D” seguida por la letra de la unidad de memoria del archivo original, seguida por un número. Por ejemplo, un archivo eliminado de la unidad de memoria E: puede tener la denominación “DE10.DOC” y un archivo eliminado de la unidad de memoria C: puede tener la denominación ““DC.XLS”. Se conservarán las extensiones de los archivos así como las fechas eliminadas. Esta regla no se aplica a los archivos que han sido eliminados de La Indicación del Comando o desde las aplicaciones; esos archivos conservarán sus nombres de archivo.

Archivos borrados de la papelera de reciclaje de Mac OS X

> Cuando se elimina un archivo en el sistema operativo OS X de Mac, el archivo es trasladado a la papelera. Una vez que el archivo ha sido eliminado de la papelera, el nombre se barre completamente del sistema de archivos HFS+. La única manera de recuperar los datos es buscando los bits y bytes en bruto del archivo con el algoritmo de búsqueda de firma del archivo. Por lo tanto, es muy importante asegurarse de que al explorar un volumen de Mac para buscar datos eliminados, siempre se seleccione la opción del analizador RAW.

Archivos NTFS cifrados

> Al guardar archivos cifrados, asegúrese de usar un sistema operativo basado en Windows ® NT compatible con el cifrado (Windows ® 2000/XP) y guarde los datos recuperados en una unidad de memoria NTFS. De lo contrario, el archivo cifrado no se podrá descifrar y se guardará en un formato de cifrado en bruto con la extensión “.$efs”. Los archivos con esta extensión se pueden importar posteriormente en una unidad de memoria NTFS mediante la herramienta adicional “efsimport.exe” de EasyRecovery™
> Si se ha recuperado un archivo cifrado de un usuario cuya cuenta ya no está disponible o que perdió su clave privada (por ejemplo debido a un fallo masivo del sistema) se podrán volver a leer los datos mediante una de las siguientes soluciones:

> · Usar el “snap-in” de Certificados de Windows® NT para importar el certificado del usuario y leer el archivo. Esto supone que previamente se ha exportado el certificado del usuario.

> · Recuperar el archivo como Agente de recuperación (los archivos cifrados se cifran con la clave de usuario y la clave del Agente recuperación, una persona delegada, cuya cuenta se configura como Agente de recuperación). El agente de recuperación puede ir a la máquina con el archivo cifrado y cargar su certificado de recuperación y la clave privada y llevar a cabo la recuperación en la máquina. NOTA: En un entorno de pequeña empresa u hogareño, donde no hay agentes de recuperación, la recuperación se puede hacer en un equipo independiente utilizando la cuenta del administrador local, que se configura como el agente de recuperación predeterminado.

> · Haga una copia de seguridad de sus archivos cifrados (con Microsoft Backup) en un archivo .bkf y envíe el archivo .bkf a la computadora del Agente de recuperación. El Agente de recuperación debe restaurar los archivos en un sistema seguro, descifrarlos y enviarlos nuevamente al usuario.

> Consulte su manual del sistema operativo de Windows ® para obtener más información sobre el descifrado de los archivos cifrados (recuperación de cifrado) que se han guardado en un disco NTFS.

Compatibilidad

> EasyRecovery™ es compatible con todos los sistemas de archivos de Windows® y de Mac OS X. Es posible que surja algún problema con la manera en la que EasyRecovery™ accede al disco y algunas herramientas antivirus, anti-adware y anti-spyware pueden informar de un error. Para un mejor uso, desactive o desinstale cualquier herramienta antivirus, anti-adware y anti-spyware antes de ejecutar EasyRecovery™.

> EasyRecovery™ también es compatible con los sistemas de archivos ISO9660 y EXT2 / 3, así como con unidades con sistemas sin archivos (RAW).

> EasyRecovery™ no puede recuperar datos de discos y dispositivos físicamente rotos. A veces, éstos pueden ser enviados a nuestro laboratorio para su recuperación. Para obtener más información sobre esta opción, póngase en contacto con nosotros aquí.

EasyRecovery ™ es ​​una marca comercial de Kroll Ontrack Inc.
Microsoft y Windows son marcas comerciales de Microsoft Corporation. Todas las demás marcas son propiedad de sus respectivos dueños.