Problemi relativi ai file system e compatibilità

> Problemi e soluzioni con i file persi
> Problemi e soluzioni per FAT 32
> Problemi e soluzioni per NTFS
> Problemi e soluzioni per HFS/HFS+

> Ripristino da un’immagine VMware
> File eliminati dal cestino con Windows ®
> File eliminati dal cestino con Mac OS X
> File criptati NTFS

> Compatibilità

Problemi e soluzioni con i file persi

> Un file trovato con l'aiuto di un algoritmo di ricerca file, viene definito “perso”. Questi file possono essere presenti nelle unità senza dati sul file system o su un singolo drive dopo aver eseguito la scansione per il recupero dei file eliminati. Tipicamente, questi tipi di file possono essere recuperati solo se sono memorizzati in uno o più cluster consecutivi sul drive. Una frammentazione considerevole dell’unità inciderà negativamente sul recupero.
> In caso non sia possibile rilevare la dimensione di questi file persi, gli verrà assegnata una dimensione predefinita specificata internamente al programma. La dimensione predefinita potrebbe essere troppo piccola per il file rilevato, ad esempio se è stato possibile rilevare un file bitmap, ma l'immagine risulta troncata. In questo caso la dimensione del file perso che è stato trovato è troppo piccola; è possibile regolare la dimensione di ogni singolo file, selezionando Ridimensiona dal menu Esperto. Non importa se si specifica una dimensione al di sopra di quella reale poiché la maggior parte dei file contiene al suo interno la dimensione corretta.

> Un altro problema può verificarsi se il file recuperato utilizza un formato di archiviazione OLE che viene utilizzato da formati di file come Microsoft® Word, Excel, PowerPoint e molti fornitori di terze parti. In questo caso EasyRecovery™ cerca di rilevare l'estensione corretta e di rinominare l'estensione (ad es. .DOC, .XLS o .PPT). Se l’operazione non riesce l'estensione del file rimarrà “.MOF”.

Problemi e soluzioni per FAT 32

> In Windows® 2000 e versioni successive, ogni volta che una voce (file o cartella) viene eliminata il valore word di ordine superiore del cluster di partenza da 32-bit viene eliminato dal sistema operativo. Pertanto il valore corretto del cluster di partenza al momento del recupero non è noto. Senza la conoscenza esatta del cluster di partenza nessuno strumento di recupero può riuscire a trovare e ripristinare una voce eliminata. Per risolvere questo problema EasyRecovery™ ha ideato una soluzione. A seconda delle dimensioni del disco, genera dei valori probabili per il cluster di partenza del file / cartella selezionato per il recupero. Nel caso si tratti di una cartella il programma cercherà automaticamente tutte le combinazioni multiple e ciò potrebbe comportare un ritardo durante il processo di lettura - in caso di un file, il programma chiede all'utente di provare ciascuna delle combinazioni multiple.

Problemi e soluzioni per NTFS

> Si è visto che il driver del file system in caso di unità NTFS cerca di ottimizzare lo spazio utilizzato dalla Master File Table (MFT) ridimensionandolo ad ogni accensione del sistema. Una volta che la MFT è stata ridimensionata (se la dimensione è stata ridotta), non è possibile recuperare tutte le voci eliminate.

Problemi e soluzioni per HFS/HFS+

> Mac OS X utilizza il formato HFS / HFS + (Hierarchical File System) per la memorizzazione di dati sul disco rigido. Questo file system è molto diverso da FAT o NTFS utilizzato da Windows®. Il file system HFS / HFS + utilizza il journaling per ridurre al minimo la perdita di dati. Fondamentalmente, il journaling comporta il rilevamento di tutte le modifiche apportate al file in un volume sul Mac. Normalmente, questo file journal può essere utilizzato dal sistema per ripristinare uno stato precedente dei dati sul disco rigido. Tuttavia, in alcuni casi, questo file journal può essere danneggiato e non sarà possibile ripristinare il sistema. Il recupero totale del percorso e dei nomi dei file potrebbe non essere sempre possibile, ma i dati potrebbero ancora essere recuperabili. Utilizzando il recupero dei file eliminati con l’opzione RAW selezionata sarà possibile recuperare una grande quantità di questo tipo di dati persi.

Ripristino da un’immagine VMware

EasyRecovery™ Enterprise supporta il ripristino di file VMDK archiviati su un local file system (ad es. VMware Workstation, Fusion) sia in formato flat sia sparse ospitati. Tutte le immagini VDMK “local” sono supportate.

Nota: I file VMDK archiviati sul VMFS file system non sono attualmente supportati (ad es. prodotti VMware vSphere datacenter).

Le immagini VMDK sono hard drive virtuali che contengono sistemi operativi virtuali che funzionano su un sistema ospite – di solito Windows o Linux. Spesso ci sono delle immagini VMDK multiple create per ogni sistema virtuale e scegliere l’immagine VMDK corretta è di primaria importanza per una scansione di ripristino che abbia esito positivo. Per scansionare un file VMDK, caricare l’immagine VMDK e scegliere il volume corrispondente.

Motivi per i file VMDK multipli:

· File VMDK multipli chiamati 'snapshot' (o 'delta links'). Se si crea uno snapshot in VMware, si avvierà un nuovo VMDK e non toccherà mai il VMDK originale. Tutte le modifiche al VMDK originale verranno scritte sul nuovo VMDK e il nuovo VMDK aumenterà di dimensione.

· File VMDK multipli chiamati 'extent'. Si possono dividere i dati completi dell’immagine in diversi file VMDK.

· Se l’immagine utilizza più di un file VMDK, si creerà un altro file VMDK e questo verrà chiamato file 'descriptor'. Questo piccolissimo file descriptor contiene una descrizione con i link verso tutti i file VMDK che appartengono all’immagine.

Scenari:

· Se vi è solo un singolo file VMDK (nessun snapshot o extent), EasyRecovery™ Enterprise troverà il descriptor all’interno di quel singolo file e potrà utilizzarlo.

· Se vi sono file VMDK multipli, l’utente dovrà scegliere il file descriptor. Secondo il punto di tempo che l’utente desidera ripristinare, si dovrà scegliere il descriptor dello snapshot corrispondente... più recente sarà lo snapshot, più nuovi saranno i dati.

Se vi è più di un file VMDK, scegliere il piccolo file VMDK (descriptor). Secondo quale snapshot (periodo di tempo) si desidera ripristinare, scegliere lo snapshot corrispondente (o qualora esistano diversi file VMDK per quello snapshot, scegliere il file descriptor appartenente a quello snapshot). Più recente sarà lo snapshot, più completi saranno i dati.

File eliminati dal cestino con Windows ®

> Quando un file viene inviato al Cestino con il sistema operativo NTFS, il nome del file non è più conservato. I file verranno rinominati come “D lettera di unità file eliminato #”.

> Quando si recuperano dei file che sono stati rimossi dal cestino (cartella 'RECYCLER') cercare “D” seguito dalla lettera di unità del file originale, seguito da un numero. Ad esempio, un file eliminato da E: potrebbe essere rinominato come “DE10.DOC”, un file eliminato dall’unità C: può essere rinominato come “DC.XLS”. Le estensioni dei file saranno conservate insieme alla data di eliminazione. Questa regola non si applica ai file che sono stati eliminati dal prompt dei comandi o all'interno delle applicazioni, che manterranno i loro nomi di file.

File eliminati dal cestino con Mac OS X

> Quando un file viene eliminato con il sistema operativo Mac OS X, il file viene spostato nel cestino. Dopo che il file è stato rimosso dal cestino, il nome viene completamente eliminato dal file system HFS +. L'unico modo per recuperare i dati è quello di cercare i bit e i byte raw del file utilizzando l’algoritmo di ricerca basato sulla firma (signature) del file. Pertanto è molto importante assicurarsi che durante la scansione di un volume Mac per cercare dei dati eliminati, l'opzione di analisi RAW sia sempre selezionata.

File criptati NTFS

> Quando si salvano dei file crittografati, assicurarsi di utilizzare un sistema operativo basato su Windows® NT che supporti la crittografia (Windows® 2000/XP) e di salvare i dati recuperati su un'unità NTFS. In caso contrario il file crittografato non potrà essere decifrato e sarà salvato in un formato raw, utilizzando l'estensione “.$efs”. I file con questa estensione potranno essere importati in seguito su un’unità NTFS usando lo strumento aggiuntivo di EasyRecovery™ “efsimport.exe”.
> Se è stato recuperato un file criptato di un utente il cui account non è più disponibile o che perde la sua chiave privata (ad esempio a causa di un crash del sistema) è possibile utilizzare una delle seguenti soluzioni per poter leggere i dati nuovamente:

> - Utilizzare Windows® NT Certificate snap-in per importare il certificato dell'utente e leggere il file. Ciò presuppone che il certificato dell'utente sia stato esportato in precedenza.
> - Recuperare il file come Agente di recupero (i file criptati vengono criptati con la chiave dell'utente e la chiave di un agente di recupero, una persona delegata il cui account è configurato come agente di recupero).
>   L'agente di recupero può accedere alla macchina con il file crittografato e caricare il suo certificato di recupero e la chiave privata ed effettuare il recupero sulla macchina.
>   NOTA: in un piccolo ambiente di lavoro o casa, dove non ci sono agenti di recupero, il recupero può essere fatto su un computer stand-alone utilizzando l'account di amministratore locale, che è configurato come l'agente di recupero predefinito.
> - Eseguire il backup dei file crittografati (utilizzando Microsoft Backup) su un file .Bkf e inviare il file .Bkf al computer dell'agente di recupero. L'agente di recupero dovrebbero ripristinare i file su un sistema sicuro, decriptarli e rimandarli all'utente.

> Fare riferimento al manuale del sistema operativo Windows® per avere maggiori informazioni su come decifrare i file criptati (recupero crittografia) che sono stati salvati su un disco NTFS.

Compatibilità

> EasyRecovery™ è compatibile con tutti i file system Windows® e Mac OS X. Possono verificarsi alcuni problemi per il modo in cui EasyRecovery™ accede al disco e alcuni antivirus, adware e strumenti anti-spyware potrebbero segnalare un errore. Per un utilizzo migliore, disattivare o disinstallare qualsiasi antivirus, adware e strumento anti-spyware prima di eseguire EasyRecovery™.

> EasyRecovery™ è inoltre compatibile con file system ISO9660 e EXT2 / 3 oltre che con le unità senza file system (RAW).

> EasyRecovery™ non può recuperare dati da dischi e dispositivi fisicamente rotti . Questi ultimi possono essere inviati ai nostri laboratori per essere recuperati. Per maggiori informazioni in proposito, non esitate a contattarci qui.

EasyRecovery ™ è un marchio di Kroll Ontrack Inc.
Microsoft e Windows sono marchi registrati di Microsoft Corporation. Tutti gli altri marchi sono di proprietà dei rispettivi proprietari.