* Entrada MFT perdida (archivos perdidos)
Si se ha perdido la entrada MFT, pero el contenido del archivo sigue estando en la unidad, es posible recuperar el archivo si se sabe dónde se encuentra. Esta pérdida se produce si el sistema operativo reutiliza la entrada MFT original mientras que el contenido del archivo permanece sin cambios.
Si una unidad fue formateada y le instaló gigabytes de un nuevo sistema operativo Windows, el inicio del antiguo sistema de archivos, incluidas muchas entradas MFT, se destruiría. Por el contrario, los archivos en sí mismos podrían seguir estando en ubicaciones más allá de la parte sobrescrita.
Un software de recuperación para estos «archivos perdidos» sin referencia debe escanear cada sector de la unidad y comparar su contenido con una lista de firmas de archivos conocidas. Surgen otros problemas, como decidir la longitud de un archivo después de que la lista de firmas lo haya identificado.
Según nuestra experiencia, la recuperación de archivos perdidos es un proceso laborioso y largo, cuyos resultados suelen ser dudosos. Al final, se queda con una gran cantidad de archivos sin nombre, de contenido desconocido y, muy a menudo, dañados.
** La asignación del archivo se sobrescribió
Si la asignación del archivo ha sido destruida o sobrescrita por otros datos, como en los dos casos inferiores de la matriz de recuperación, no hay ninguna posibilidad de recuperar este archivo. Una vez sobrescrita, es imposible recuperar la información que se almacenaba inicialmente en ella. En teoría, se podría leer la «magnetización residual» con una tecnología avanzada como el MFM (microscopio de fuerza magnética), pero se desconoce si alguien puede hacerlo realmente. Sin duda, si esta tecnología existe, no es «comercialmente disponible y asequible».
Ningún software de recuperación de datos ni ninguna empresa de servicios de recuperación de datos podrá recuperar este archivo, aunque es posible que aún pueda ver su nombre en GetDataBack.
Recuperación de datos a partir de una imagen tras un problema físico (sectores defectuosos)
Cuando ejecuta GetDataBack en una imagen obtenida de una unidad con daño físico, normalmente obtendrá buenos resultados de recuperación, siempre que dicha imagen contenga solo «algunos» sectores irrecuperables.
Varios factores contribuyen a esta perspectiva optimista:
-
Una unidad con sectores defectuosos no suele verse muy alterada por los intentos del usuario de «arreglar» el problema.
-
Si se trata de una unidad FAT, la tabla de asignación de archivos y su copia siguen estando ahí para que GetDataBack las utilice.
-
La mayoría de las estructuras de sistemas de archivos están disponibles.
Por supuesto, el éxito depende de su capacidad para obtener esta imagen. Los archivos que estaban asignados en las partes dañadas también quedarán dañados tras la recuperación.
Recuperación de datos tras eliminar o recrear una partición
Cuando se elimina una partición, solo se ven afectados la tabla de particiones y el registro de arranque. Las estructuras importantes, como MFT y FAT, no suelen sufrir daños.
Incluso recrear la partición, siempre y cuando no formatees el volumen, no debería alterar las estructuras de datos importantes.
Con GetDataBack, debería poder realizar una recuperación de datos casi perfecta.
Recuperación de datos tras formatear
En FAT, al formatear un volumen se borran las tablas de asignación de archivos y se elimina el directorio raíz. Muchos archivos siguen ahí, pero usted ha perdido:
-
Todas las entradas en el directorio raíz: Los archivos solo se pueden recuperar como «archivos perdidos». Los subdirectorios del primer nivel solo tendrán números en lugar de su nombre original. Los subdirectorios de niveles más profundos muestran su nombre original.
-
Las tablas de asignación de archivos: Esto provocará el «problema de fragmentación» que se describe en el capítulo «Reconstrucción lógica de una unidad formateada en FAT con GetDataBack».
Dentro de las limitaciones anteriores, obtendrá una recuperación de datos «aceptable». La mayoría de los archivos no deberían estar dañados. Deberá buscar sus archivos en los directorios numerados. Los archivos fragmentados, como los archivos de correo electrónico de Outlook o las bases de datos, se corromperán y probablemente quedarán inutilizables.
En NTFS, al formatear un volumen se crea una nueva MFT. Sin embargo, esto solo afecta a las primeras 25 entradas aproximadamente. Por lo general, no afecta a las entradas MFT de los archivos de usuarios anteriores.
Esto significa que puede esperar una «buena» recuperación de datos. Casi todos los archivos deberían recuperarse correctamente.
Los resultados serán aún mejores si ha formateado una unidad formateada anteriormente con formato FAT con NTFS o viceversa. En este caso, es probable que la FAT o MFT original no resulte dañada, ya que estas estructuras se encuentran en áreas diferentes de la unidad.
Recuperación de datos tras instalar un nuevo sistema operativo Windows
Aquí es donde realmente comienzan los problemas. La instalación de un nuevo OS puede sobrescribir fácilmente 10 GB o más.
Todos los archivos ubicados en estos 10 GB se perderán irremediablemente. Además, las entradas de directorios (FAT) y las entradas MFT (NTFS) ubicadas allí se perderán, dejando los archivos sin referencia («archivo perdido»), incluso si se encuentran más allá de los 10 GB.
En FAT, esto también destruirá los FAT, causando así problemas de fragmentación.
Como se ha explicado anteriormente, no existe en el mercado ninguna tecnología capaz de recuperar datos a partir de la «magnetización residual». Todo lo que se pueda recuperar provendrá del área no sobrescrita.
Evaluación de daños
Ejemplo Supongamos que inicialmente tenía un disco duro de 20 GB con formato FAT, con 10 GB utilizados para 50 000 archivos en 2000 directorios.
Has instalado un nuevo OS de 2 GB en esa unidad.
-
Se pierde el 10 % de todos los datos del disco duro (2 de 20 GB).
-
Pierdes el 20 % de los datos del disco duro (2 de 10 GB, suponiendo que tus datos se concentran en los primeros 10 GB del disco duro de 20 GB).
-
Se pierde el 20 % de los archivos que estaban asignados en el área sobrescrita.
-
Dado que la mayoría de las entradas del directorio se encuentran en los primeros 2 GB, se pierde un 30 % adicional de los archivos («archivos perdidos»).
-
Se pierde un 10 % adicional de todos los archivos debido a la fragmentación y la superposición entre las dos áreas.
Podrá recuperar aproximadamente el 40 % de sus archivos sin daños. El 60 % restante estará dañado, se habrá perdido o no se podrá recuperar en absoluto.
Si los archivos del disco dependían de otros archivos, por ejemplo, tablas para bases de datos, este número se reduce aún más:
-
Si sus archivos dependen unos de otros por pares, por ejemplo, si tiene un documento de Word para «Contratos» y otro para «Anexos», solo quedará el 0,4*0,4*100 = 16 % de todos los pares (proyectos).
-
Si tiene proyectos de 5 archivos cada uno solo en el disco duro (0,4)^5*100 = 1 % de estos proyectos se recuperan sin daños.
Nota importante: en el ejemplo anterior, la pérdida del 10 % de los datos RAW puede provocar la pérdida del 99 % de sus proyectos.
Si se trata de una unidad previamente formateada en NTFS, las perspectivas son más halagüeñas:
-
Perderás menos archivos debido a la fragmentación y la superposición, solo un 5 % en lugar de un 10 %.
-
También perderá menos entradas MFT que entradas de directorio en FAT, un 10 % en lugar de un 30 %. NTFS tiende a distribuir la MFT por toda la unidad.
Recuperaría el 65 % de sus archivos sin daños.
Recuperaría el 42 % de sus proyectos de 2 archivos, casi tres veces más que con FAT.
Recuperaría el 12 % de sus proyectos de 5 archivos, doce veces más que con FAT.
Recuperación de datos tras crear una imagen o «clonar» una unidad
Las consecuencias de crear una imagen de un disco, por ejemplo, con Norton's Ghost, son similares a las que se producen tras instalar un nuevo OS en él. Si la imagen era bastante grande, las posibilidades de recuperar muchos archivos son bastante escasas.
Recuperación de datos tras borrar archivos
Aunque parezca fácil, recuperar archivos borrados puede ser más complicado que recuperar archivos de un disco con sectores defectuosos, o después de un Fdisk o formateo.
La eliminación de archivos es el tema menos comprendido. Irónicamente, lo que dificulta tanto la recuperación de datos de archivos borrados es el hecho de que el usuario aún puede trabajar con su disco duro. Sus intentos por recuperar los archivos borrados a menudo arruinan sus posibilidades.
Veamos cómo el sistema operativo elimina un archivo.
Eliminación de archivos en FAT
Un único archivo se borra por
-
marcando su entrada en el directorio con E5,
-
liberando la entrada FAT asociada.
Se eliminan directorios completos por
-
marcar la entrada del directorio con E5. Las entradas del directorio de los archivos dentro del directorio eliminado suelen permanecer sin cambios,
-
liberando las entradas FAT tanto del directorio como de los archivos que contiene.
Tras la eliminación, existe un posible problema de fragmentación, ya que la información de asignación almacenada en la FAT se pierde de forma irrevocable.
Eliminación de archivos en NTFS
Un archivo se elimina marcando su entrada MFT como no utilizada. El MFT todavía contiene la asignación del archivo. Por lo tanto, el archivo es más fácil de recuperar que su equivalente FAT.
La papelera de reciclaje
Lo que hemos descrito anteriormente se aplica a la «eliminación permanente» de archivos. Si no los borras de forma permanente, se mueven a la «Papelera de reciclaje» y se pueden recuperar desde allí.
Al mover los archivos a la Papelera de reciclaje, se renombran (por cualquier motivo) con números, pero conservan su extensión de archivo. Por ejemplo, «Mis vacaciones.doc» obtendrá un nuevo nombre como «d24.doc» en la carpeta de la Papelera de reciclaje. Estos detalles internos no importan siempre y cuando estos archivos sigan estando en la Papelera de reciclaje. El OS le proporcionará el nombre correcto cuando decida recuperar estos archivos.
Sin embargo, si «vacía» la Papelera de reciclaje, se llevarán a cabo los procesos de eliminación descritos anteriormente para estos archivos renombrados. Si más adelante desea recuperar el archivo «Mis vacaciones.doc», tendrá que buscar un nombre de archivo desconocido con la extensión «doc».
Posibilidades de recuperar con éxito archivos borrados
Las ubicaciones de los archivos borrados ya no están protegidas por el sistema de archivos. Esas ubicaciones podrían reciclarse la próxima vez que el OS cree un nuevo archivo. Por eso es tan problemático que el usuario siga trabajando con el disco duro afectado.
Los archivos se crean constantemente. Los procesos escriben archivos de registro, las impresoras ponen en cola los trabajos de impresión y el navegador de Internet crea muchos archivos temporales. Incluso arrancar y ejecutar Windows desde la unidad afectada puede sobrescribir las áreas críticas.
Para proteger los archivos borrados, el usuario debe dejar de trabajar con la unidad inmediatamente y conectarla a otro ordenador como unidad adicional.
Hemos probado cuánto tiempo se puede recuperar un archivo borrado antes de que el OS recicle la entrada del directorio, la tabla maestra de archivos (MFT) o la asignación del archivo borrado. Ocurrió casi al instante. Esto nos lleva a ser muy pesimistas sobre las perspectivas de recuperar «un par» de archivos borrados.
Sin embargo, si ha eliminado, por ejemplo, 1 GB compuesto por 1000 archivos, y no sigue trabajando con esta unidad, las posibilidades de recuperar la mayoría de estos archivos son bastante buenas. Si trabaja con FAT, es posible que se enfrente a un problema de fragmentación.
Recuperación de datos a tiempo
A menudo se subestima la dimensión temporal cuando se trata de la recuperación de datos. Perder datos durante una semana puede ser tan grave como perderlos para siempre.
Esto pone de relieve la importancia de un software de recuperación de datos como GetDataBack de Runtime. Contratar los servicios de una empresa de recuperación de datos siempre conllevará un plazo de entrega de varios días. Hacerlo usted mismo requiere un poco de preparación y, tras un par de horas, la recuperación de datos estará completada.
Aunque es necesario buscar ayuda profesional para las unidades con daño físico, la mayoría de las pérdidas de datos se deben a daños lógicos en el sistema de archivos. Los servicios de recuperación no utilizarán herramientas mejores que las que usted puede utilizar.
