Filsystemspørsmål og kompatibilitet

> Problemer med og løsninger for tapte filer
> FAT 32-problemer og løsninger
> NTFS-problemer og løsninger
> HFS/HFS+-problemer og løsninger

> Gjenoppretting fra en VMware image
> Slettede filer fra papirkurven i Windows®
> Slettede filer fra papirkurven i Mac OS X
> NTFS-krypterte filer

> Kompatibilitet

Problemer med og løsninger for tapte filer

> En fil som finnes ved hjelp av en søkealgoritme for filsignatur kalles «tapt». Slike filer kan finnes på stasjoner uten filsystemdata, eller på en enkelt stasjon etter utførelse av Skanning for gjenoppretting av slettede filer. Vanligvis kan slike filer kun gjenopprettes dersom de lagres i ett eller flere sammenhengende sektorgrupper på stasjonen. Tung fragmentering av stasjonen påvirker gjenopprettingen negativt.
> Hvis størrelsen på disse tapte filene ikke kan oppdages, tildeles de en standardstørrelse som spesifiseres internt i programmet. Standardstørrelsen kan være for liten for filen som ble oppdaget, f.eks. hvis en bitmap-fil ble funnet men bildet er kuttet av på et punkt. I slike tilfeller er størrelsen på den tidligere tapte filen for liten, og du kan justere størrelsen på hver fil ved å velge Endre størrelse fra ekspertmenyen. Det spiller ingen rolle om du angir en størrelse som er større en faktisk filstørrelse, da de fleste filtyper lagrer sin egen riktige filstørrelse i filen.

> Et annet problem kan oppstå hvis en gjenfunnet fil bruker et OLE-lagringsformat, som brukes av filformater som Microsoft® Word, Excel, PowerPoint og programmer fra mange andre tredjeparter. I slike tilfeller forsøker EasyRecovery™ å finne riktig filtype og gi denne nytt navn (f.eks. til .DOC, .XLS eller .PPT). Hvis dette ikke lykkes, forblir filtypen «.MOF».

FAT 32-problemer og løsninger

> I Windows® 2000 eller nyere, hver gang et element (fil eller mappe) slettes, vil det høyere i det 32-bits startsektoren slettes av operativsystemet. Derfor vil riktig verdi for startsektoren være ukjent ved gjenoppretting. Uten å vite nøyaktig hva startsektoren er, kan ingen gjenopprettingsverktøy finne og tilbakekalle et slettet element. EasyRecovery™ har utviklet en løsning på dette problemet. Avhengig av diskstørrelsen, genererer den sannsynlige startsektorverdier for filen/mappen som skal tilbakekalles. Hvis det er en mappe, vil programmet automatisk forsøke alle kombinasjoner, noe som kan føre til ventetid under leseprosessen – hvis det er en fil, vil den be brukeren om å teste hver kombinasjon.

NTFS-problemer og løsninger

> Det har vist seg at filsystemstasjonen for NTFS-stasjoner forsøker å optimere ledig plass som brukes av MFT ved å endre størrelse på dem hver gang systemet slås på. Når størrelsen på MFT har blitt endret (hvis den var gjort mindre), er det ikke mulig å gjenopprette alle slettede elementer.

Problemer og løsninger for HFS/HFS+

> Mac OS X bruker HFS/HFS+ (hierarkisk filsystem) til å lagre data på harddisken. Dette er svært forskjellig fra FAT og NTFS som brukes av Windows®. Filsystemet Mac HFS/HFS+ bruker journalføring for å minimere tap av data. Enkelt forklart innebærer journalføring at alle endringer på filen i volumet på en Mac, lagres. Vanligvis kan denne journalfilen brukes av systemet for å gå tilbake til en tidligere status for dataene på harddisken. I enkelte tilfeller kan journalfilen derimot være korrumpert, og man lykkes da ikke med å gjenopprette systemet. Full gjenoppretting av bane og filnavn er ikke alltid mulig, men det kan fortsatt være mulig å gjenopprette dataene. Ved å bruke Gjenoppretting av slettede filer med alternativet RAW haket av, gjenopprettes en stor del av denne typen tapt data.

Gjenoppretting fra en VMware image

EasyRecovery™ Enterprise støtter gjenoppretting av VMDK-filer lagret i det lokale filsystemet (f.eks VMware Workstation eller Fusion) i enten flatt eller sparse-format. Alle "lokale" VMDK-bilder støttes.

Merk: VMDK-filer i VMFS-filsystem støttes for tiden ikke (f.eks datasenterprodukter fra VMware vSphere).

VDMK-bilder er virtuelle harddisker med et virtuelt operativsystem som kjøres under et hovedsystem - vanligvis Windows eller Linux. Det opprettes ofte flere bilder for hvert virtuelle system, så det er svært viktig å velge riktig VMDK-bilde for en lykket gjenoprettning. For å skanne et VMDK-fil, laste VMDK-bilden og velg ønsket størrelse.

Grunner for flere VMDK filer:

· Flere VMDK-filer som kalles "snapshots" (eller "deltalinks"). Hvis du tar en snapshot i VMware lages en ny VMDK, så den opprinnelige VMDK:n forblir urørt. Alle endringer i den opprinnelige VMDK:n er skrevet til den nye VMDK: n som vil øke i størrelse.

· Flere VMDK-filer som kalles "extents". Du kan dele bildet inn i flere VMDK-filer.

· Hvis bildet bruker mer enn én VMDK-fil, et nytt VMDK-fil vil bli opprettet som kalles en "descriptor". Denne descriptor inneholder en liste med linker til alle VMDK-filer knyttet til bildet.

Scenarier:

· Hvis det bare er én VMDK-fil (ingen snapshots eller extents) vil EasyRecovery™ Enterprise finne den integrerte descriptor i filen og bruke den.

· Hvis det er flere VMDK-filer, må brukeren velge descriptor. Avhengig av når brukeren ønsker å gjenopprette må tilsvarende snapshotdeskriptor velges ... senere øyeblikksbilde, jo nyere data.

Hvis det er mer enn én VMDK-fil, velger du den lille VMDK-fil (descriptor). Avhengig av hvilken snapshot (hvilket tidspunkt) du ønsker å gjenopprette, velg tilsvarende snapshot (eller hvis det er flere VMDK-filer for den valgte øyeblikksbilde, den tilknyttede descriptor). Den nyere snapshot, jo mer fullstendig data.

Slettede filer fra papirkurven i Windows®

> Når en fil sendes til papirkurven i operativsystemet NTFS, bevares ikke filnavnet. Filenes navn endres til «D stasjonsbokstav slettet fil#».

> Når filer som har blitt fjernet fra papirkurven (mappen «RECYCLER») skal gjenopprettes, må du se etter «D», etterfulgt av navnet på stasjonen der originalfilen var, etterfulgt av et nummer. For eksempel kan en fil slettet fra stasjonen E: hete «DE10.DOC», mens en fil slettet fra C: kan hete «DC.XLS». Filtypene lagres, i tillegg til dato for sletting. Dette gjelder ikke for filer som ble fjernet fra ledeteksten eller fra programmene – disse beholder filnavnet.

Slettede filer fra papirkurven i Mac OS X

> Når en fil slettes under operativsystemet Mac OS X, fjernes filen fra papirkurven. Når filen først er fjernet fra papirkurven, er navnet fullstendig slettet fra filsystemet HFS+. Den eneste måten å gjenopprette data på er å se etter rå bits og bytes i filen ved hjelp av søkealgoritmen for filsignaturen. Derfor er det svært viktig å sørge for, når man skanner et Mac-volum på leting etter slettede data, at RAW-analysealternativet alltid er valgt.

NTFS-krypterte filer

> Når du lagrer krypterte filer, må du kontrollere at du bruker et Windows® NT-basert operativsystem som støtter kryptering (Windows® 2000/XP), og lagre gjenopprettet data til en NTFS-stasjon. Hvis ikke kan ikke den krypterte filen dekrypteres, og den lagres i et kryptert råformat med filtypen «.$efs». Filer med denne filtypen kan importeres senere til en NT-stasjon ved hjelp av verktøyet «efsimport.exe» fra EasyRecovery™ .
> Hvis du har gjenopprettet en kryptert fil for en bruker som ikke lenger har en tilgjengelig konto, eller som har mistet nøkkelen sin (f.eks. på grunn av systemsvikt), kan du bruke en av følgende løsninger for å lese dataene på nytt:

> - Bruk Windows® NT Certificates snap-in til å importere brukerens sertifikat, slik at du kan lese filen. Dette forutsetter at du tidligere har eksportert brukersertifikatet.
> - Gjenopprett filen som Gjenopprettingsagent (kryptertefiler krypteres med brukerens nøkkel og nøkkelen til en gjenopprettingsagent, en person hvis konto er konfigurert som gjenopprettingsagent).
>   Gjenopprettingsagenten kan gå til maskinen med den krypterte filen og laste sitt gjenopprettingssertifikat og private nøkkel for å utføre gjenoppretting på maskinen.
>   MERK: For små bedrifter og hjem som ikke har noen gjenopprettingsagent, kan gjenoppretting gjøres på en frittstående datamaskin ved hjelp av lokal administratorkonto, da denne som er konfigurert som standard gjenopprettingsagent.
> - Ta sikkerhetskopier av krypterte filer (ved hjelp av Microsoft Backup) til en .bkf-fil, og send .bkf-filen til gjenopprettingsagentens datamaskin. Gjenopprettingsagenten bør gjenoppbygge filene på et sikkert system, dekryptere dem, og returnere dem til brukeren.

> Se brukermanualen for Windows®-operativsystemet ditt for mer informasjon om dekryptering av krypterte (krypteringsgjenoppretting) filer som er lagret på en NTFS-stasjon.

Kompatibilitet

> EasyRecovery™ er kompatibelt med alle filsystemer fra Windows® og Mac OS X. Du kan oppleve problemer med måten EasyRecovery™ aksesserer disken på, og enkelte antivirus-, adware- og anti-spionvareprogrammer kan melde om feil. For beste resultat bør du deaktivere eller avinstallere eventuelle virusprogrammer, anti-annonseprogrammer- og anti-spionvareprogrammer før du kjører EasyRecovery™.

> EasyRecovery™ er også kompatibelt med filsystemene ISO9660 og EXT2/3, i tillegg til stasjoner uten filsystem (RAW).

> EasyRecovery™ kan ikke gjenopprette data fra stasjoner og enheter om er fysisk ødelagte. Disse kan i enkelte tilfeller gjenopprettes på vårt laboratorium. Ta kontakt med oss her dersom du ønsker mer informasjon om dette.

EasyRecovery ™ er et varemerke for Kroll Ontrack Inc.
Microsoft og Windows er varemerker for Microsoft Corporation. Alle andre varemerker tilhører deres respektive eiere.