Hoe werkt datarecovery
Data recovery op logisch niveau:
Op het moment dat bestanden worden verwijderd, wordt het bestand zelf eigenlijk niet echt verwijderd. Het enige wat eigenlijk gebeurt, is dat Windows de ruimte waar het plaatje op de harde schijf stond, vrij geeft voor gebruik. Omdat Windows weet dat u het bestand heeft “weggegooid” laat Windows u het bestand niet meer zien. Op het moment dat onze software naar uw harde schijf kijkt, hebben wij de mogelijkheid om te kijken naar het gebied wat voor u de “vrije diskruimte” heet. Deze “vrije diskruimte” staat nog vol met data (verwijderde bestanden) omdat Windows alleen de verwijzingen naar verschillende plekken op de schijf heeft vrijgegeven, maar de “data” zelf ongemoeid laat. Wij kunnen deze data gebruiken voor data-recovery van logische schade. Om de data te kunnen lezen, kijken de onderzoekers vaak in “hexadecimale” waarden naar de computer-gegevens. Pas op het moment dat Windows de ruimte nodig heeft voor een “nieuw” bestand, worden de verwijderde bestanden overschreven. Op dat moment is de data uiteraard niet meer terug te vinden.
U ziet dat de hexadecimale waarden FF D8 FF blauw zijn gearceerd. FF D8 FF is de waarde die onderzoekers zien aan het begin van een JPG-bestand. Een plaatje of een foto dus.
Met deze wetenschap kunnen onderzoekers op zoek gaan naar de waarde FF D8 FF in de zogenaamde lege diskruimte. Deze waarde is het begin van een JPEG-bestand, en omdat het einde van een JPG bestand FF D9 is, kunnen de onderzoekers het stuk hexadecimale waarden van FF D8 FF tot en met FF D9 selecteren. Ze kunnen dit stuk kopiëren en opslaan als bijvoorbeeld enter.shop-logo.jpg. Op deze manier kan een afbeelding uit de lege diskruimte “gerecovered” worden.
De hexadecimale weergave van het (begin) van een plaatje:
Het zelfde plaatje maar dan “normaal” weergegeven:
Elk soort bestand heeft zo zijn eigen begin. Dit begin wordt de “header” genoemd. Veel bestanden hebben ook een vast einde. De zogenaamde “footer“. Door steeds naar de header en footer van een bepaald type bestand te zoeken, kunnen onderzoekers deze “weggegooide” bestanden weer inzichtelijk maken. (data recovery)
Data recovery op fysiek niveau:
Naast de logische schade wordt in de wereld van Data Recovery ook vaak gesproken over fysieke schade.
Deze term is voor veel mensen duidelijker dan de term logische schade.
Fysieke schade is zoals de naam al suggereert: schade aan de onderdelen van de harde schijf.
Zo kan de PCB of Controller defect zijn, kunnen de leeskoppen niet goed meer functioneren. Ook kan de magnetische laag op de platters (De schijfjes binnen in de harddisk) gedegradeerd zijn of kan het zijn dat de motor niet meer of niet goed meer draait.
In alle gevallen van fysieke schade is cleanroom-recovery de beste optie om uw waardevolle data weer terug te krijgen.
De kosten en baten lopen echter in veel gevallen te ver uit elkaar en daardoor is cleanroom recovery niet altijd de gewenste optie.
Middels onze hard- en software kunnen wij in sommige gevallen toch nog data van uw harde schijf halen, ondanks de fysieke schade die aan de harddisk is ontstaan. Wij kunnen schijven bijvoorbeeld achterstevoren inlezen, waardoor data soms ineens wel weer leesbaar wordt. Ook kunnen wij het spanningsniveau op de leeskoppen, de zogenaamde “heads”, opvoeren, waardoor een slechtere magnetische laag op de platter, (tijdelijk) wel leesbaar wordt.
Op deze manier kunnen wij u toch helpen met de recovery van data op schijven met (lichte) fysieke schade.
De kans op data recovery van fysiek slechte schijven is echter wel aanzienlijk kleiner dan bij logische schade.