Problemas e compatibilidade dos sistemas de arquivos

> Problemas e soluções com ficheiros perdidos
> FAT 32 Problemas e soluções
> Problemas e soluções NTFS
> Problemas e soluções HFS/HFS+

> Recuperar de uma imagem VMware
> Arquivos apagados da caixa de reciclagem em Windows®
> Os arquivos apagados da reciclagem em Mac OS X
> Ficheiros NTFS cifrados

> Compatibilidade

Problemas e soluções com ficheiros perdidos

> Um ficheiro que se encontra com a ajuda de um algoritmo de pesquisa de assinatura de ficheiros chama-se de “perdido”. Estes ficheiros podem ser encontrados nos discos sem nenhum tipo de dados do sistema de ficheiros ou numa única unidade depois de realizar a exploração de Recuperação de Ficheiros eliminados. No geral, este tipo de ficheiros apenas pode ser recuperado se estiverem armazenados num cluster ou em vários clusters consecutivos do disco. A fragmentação pesada da unidade irá afectar negativamente a recuperação.
> Se o tamanho destes ficheiros perdidos não puder ser detectado, ser-lhes-á atribuído um tamanho pré-determinado especificado internamente no programa. O tamanho predeterminado pode ser demasiado pequeno para o ficheiro detectado; por exemplo, quando um ficheiro de mapa de bits puder ser detectado, mas a imagem é cortada numa posiçaõ Neste caso o tamanho do ficheiro perdido que foi encontrado é demasiado pequeno e será possível ajustar o tamanho de cada ficheiro, seleccionando Mudar o tamanho no menu de Especialista. Não importa se especifica um tamanho superior ao tamanho real do ficheiro, já que a maioria dos tipos de ficheiros armazena o seu próprio tamanho correcto no ficheiro.

> Pode colocar-se outro problema se o ficheiro recuperado tiver um formato de armazenamento OLE utilizado por formatos de ficheiros como Microsoft ® Word, Excel, PowerPoint, e muitos outros fornecedores. Neste caso, EasyRecovery™ procura detectar a extensão correcta e mudar o nome da extensão (por exemplo, para um DOC, .XLS ou.PPT). Se isto não funcionar a extensão do ficheiro continuará a ser ".MOF”.

FAT 32 Problemas e soluções

> No Windows® 2000 e versões superiores, cada vez que se elimina uma entrada (ficheiro ou pasta), o sistema operativo apaga a ordem das palavras mais alta do cluster de início de 32 bits. Por isso, o valor correcto do cluster de início no momento da recuperação da entrada não é conhecido. Sem o conhecimento exacto do cluster de início, nenhuma ferramenta de recuperação pode encontrar nem restaurar com êxito uma entrada eliminada. Para ultrapassar este problema, EasyRecovery™ concebeu uma solução. Dependendo do tamanho do disco, gera valores prováveis do cluster de início do ficheiro/pasta seleccionados para serem recuperados./ No caso de uma pasta, o programa procurará automaticamente múltiplas combinações, o que pode dar lugar a uma demora no processo de leitura, no caso de um ficheiro, irá pedir ao utilizador que comprove cada uma das múltiplas combinações.

Problemas e soluções NTFS

> Foi observado que o controlador (driver) do sistema de ficheiros no caso das unidades NTFS procurar optimizar o espaço utilizado pela MFT mudando o seu tamanho de cada vez que o sistema é ligado. Uma vez modificado o tamanho da MFT (se se o reduzir), não será possível recuperar todas as entradas eliminadas.

Problemas e soluções HFS/HFS+

> Mac OS X utiliza HFS / HFS + (Sistema de ficheiros hierárquicos) para o armazenamento de dados no disco rígido. Isto é muito diferente dos FAT ou NTFS utilizados pelo Windows®. O sistema de ficheiros HFS / HFS+ da Mac usa o registo por diário para minimizar a perda de dados. Basicamente, o registo diário implica o acompanhamento de todas as mudanças realizadas nos ficheiros num volume em Mac. Normalmente, este ficheiro de registo diário pode ser utilizado pelo sistema para retornar ao estado anterior dos dados no disco rígido. Contudo, em alguns casos, este ficheiro de registo diário pode encontrar-se danificado e não poderá reverter-se o sistema. A recuperação completa da rota e dos nomes do ficheiro nem sempre é possível, mas os dados podem ser recuperados. Se se usar a recuperação de ficheiros eliminados, logo de seleccionar a opção RAW irá recuperar-se uma grande quantidade deste tipo de dados perdidos.

Recuperar de uma imagem VMware

A EasyRecovery™ Enterprise suporta a recuperação de arquivos VMDK armazenados em sistemas de arquivos locais (ou seja, o VMware Workstation, Fusion), quer em formato liso ou escasso hospedado. Todas as imagens “locais” VMDK são suportadas.

Nota: Arquivos VMDK armazenados em sistemas de arquivos VMFS não são suportados atualmente (ou seja, produtos de data center VMware vSphere).

Imagens VMDK são discos rígidos virtuais contendo sistemas operacionais virtuais rodando em um sistema host - tipicamente Windows ou Linux. Muitas vezes, há vários imagens VMDK criadas para cada sistema virtual e escolher a imagem VMDK correta é fundamental para uma varredura de recuperação bem sucedida. Para digitalizar um arquivo VMDK, carregar a imagem VMDK e escolher o volume correspondente.

Razões para arquivos VMDK múltiplos:

· Vários arquivos VMDK chamados "instantâneos" (ou "delta links '). Se criar um instantâneo em VMware, ele irá iniciar um novo VMDK, e nunca vai tocar no VMDK original. Todas as alterações ao VMDK original serão gravadas no VMDK novo e o VMDK novo vai aumentar de tamanho.

· Múltiplos arquivos VMDK chamados de "extensões". Você pode dividir os dados da imagem completa em vários arquivos VMDK.

· Se a imagem usa mais de um arquivo VMDK, irá criar outro arquivo VMDK, e que é chamado de arquivo "descriptor'. Este arquivo descritor muito pequeno contém uma descrição com links para todos os arquivos VMDK que pertencem à imagem.

Cenários:

· Se houver apenas um arquivo VMDK único (não instantâneos ou extensões),a EasyRecovery™ Enterprise vai encontrar o descritor embutido no arquivo único, e pode usá-lo.

· Se houver arquivos VMDK múltiplos, o cliente precisa escolher o arquivo descritor. Dependendo de que ponto de tempo o cliente quer recuperar, o descritor de instantâneo correspondente deve ser escolhido ... quanto mais tardio o instantâneo mais recente os dados.

Se houver mais de um arquivo VMDK, escolha o arquivo VMDK pequeno (descritor). Dependendo de qual instantâneo (ponto no tempo) que deseja recuperar, escolha o instantâneo correspondente (ou se existem mais arquivos VMDK para esse instantâneo, escolha o arquivo descritor pertencente a esse instantâneo). Quanto mais recente o instantâneo, o mais completo dos dados.

Arquivos apagados da caixa de reciclagem em Windows®

> Quando um ficheiro é enviado para a Reciclagem sob o sistema operativo NTFS, não será convertido o nome do ficheiro. Os ficheiros serão assim renomeados: "D letra da unidade de memória # do ficheiro eliminado”.

> Ao recuperar ficheiros que foram extraídos da reciclagem (pasta "RECYCLER") deve-se procurar a letra “D” seguida pela letra da unidade de memória do ficheiro original, seguida por um número. Por exemplo, um ficheiro eliminado da unidade de memória E: pode ter a denominação “DE10.DOC” e um ficheiro eliminado da unidade de memória C: pode ter a denominação ““DC.XLS”. Serão convertidas as extensões dos ficheiros assim como as datas eliminadas. Esta regra não se aplica aos ficheiros que tenham sido eliminados da Indicação do Comando ou a partir das aplicações; estes ficheiros conservarão os seus nomes de ficheiro.

Os arquivos apagados da reciclagem em Mac OS X

> Quando se elimina um ficheiro no sistema operativo OS X de Mac, o ficheiro é mudado para a reciclagem. Uma vez que o ficheiro foi eliminado da reciclagem, o nome é totalmente banido do sistema de ficheiros HFS+. A única forma de recuperar os dados é procurando os bits e bytes em bruto do ficheiro com o algoritmo de pesquisa de assinatura do ficheiro. Pelo que, é muito importante assegurar-se que ao explorar um volume de Mac para procurar dados eliminados, se selecciona sempre a opção do analisador RAW.

Ficheiros NTFS cifrados

> Ao guardar os ficheiros cifrados, assegure-se de usar um sistema operativo baseado no Windows® NT, compatível com o quantificado (Windows ® 2000/XP) e guarde os dados recuperados numa unidade de memória NTFS. Caso contrário, o ficheiro cifrado não poderá ser decifrado e será guardado num formato de quantificação em bruto com a extensão “.$efs”. Os ficheiros com esta extensão podem ser posteriormente importados para uma unidade de memória NTFS através da ferramenta adicional “efsimport.exe” de EasyRecovery™
> Se se recuperou um ficheiro cifrado de um utilizador cuja conta já não se encontra disponível ou que perdeu a sua chave privada (por exemplo, devido a uma falha massiva do sistema) poderão voltar-se a ler os dados através de uma das seguintes soluções:

> - Usar o “snap-in” de Certificados de Windows® NT para importar o certificado do utilizador e ler o ficheiro. Isto supõe que se tenha previamente exportado o certificado do utilizador.
> - Recuperar o ficheiro como Agente de recuperação (os ficheiros cifrados são cifrados com a chave de utilizador e a chave do Agente de recuperação, uma pessoa delegada, cuja conta é configurada como Agente de recuperação).
>   O agente de recuperação pode ir à máquina com o ficheiro cifrado e carregar o seu certificado de recuperação e a chave privada e levar a cabo a recuperação na máquina.
>   NOTA: Num ambiente de pequena empresa ou doméstico, onde não existem agentes de recuperação, a recuperação pode ser feita num equipamento independente utilizando a conta do administrador local, que é configurada como agente de recuperação predeterminado.
> - Faça uma cópia de segurança dos seus ficheiros cifrados (com Microsoft Backup) num ficheiro .bkf e envie o ficheiro .bkf para o computador do Agente de recuperação. O Agente de recuperação deve restaurar os ficheiros num sistema seguro, decifrá-oos e enviá-los novamente ao utilizador.

> Consulte o manual do sistema operativo do Windows ® para obter mais informação sobre a decifragem dos ficheiros cifrados (recuperação de cifragem) que tenha sido guardada num disco NTFS.

Compatibilidade

> EasyRecovery™ é compatível com todos os sistemas de ficheiros de Windows® e de Mac OS X. É possível que surja algum problema com a forma em que EasyRecovery™ acede ao disco e algumas ferramentas antivírus, anti-adware e anti-spyware podem informar sobre um erro. Para um melhor uso, desactive ou desinstale qualquer ferramenta antivírus, anti-adware e anti-spyware antes de executar EasyRecovery™.

> EasyRecovery™ também é compatível com os sistemas de ficheiros ISO9660 e EXT2 / 3, bem como com unidades com sistemas sem ficheiros (RAW).

> EasyRecovery™ não pode recuperar dados de discos e dispositivos fisicamente danificados. Por vezes, estes podem ser enviados para o nosso laboratório para recuperação. Para obter mais informação sobre esta opção, ponha-se em contacto connosco aqui.

EasyRecovery ™ é uma marca comercial da Kroll Ontrack Inc.
Microsoft e Windows são marcas registradas da Microsoft Corporation. Todas as outras marcas são propriedade dos seus respectivos proprietários.