Erklärung von Inhaltsbewusst Wiederherstellung und Datenschnitzung

Wenn Sie nach einem Datenrettungstool suchen, haben Sie wahrscheinlich Hersteller erwähnen sehen, dass Dinge wie „File Carving“, „Signature Search“ oder „Content-Aware Recovery“ unterstützt werden. Was bedeuten diese Begriffe, gibt es Unterschiede zwischen diesen Technologien und helfen sie wirklich, mehr Daten wiederherzustellen? Lesen Sie diesen Artikel, um es herauszufinden!

Inhalt

Entdecken von gelöschten Dateien mit Signature Search

Wenn Sie unserem Blog folgen, haben Sie wahrscheinlich bereits den Artikel „Warum und wie gelöschte Dateien wiederhergestellt werden können“ gelesen. In diesem Artikel sprechen wir viel darüber, wie Windows und andere Betriebssysteme Dateien löschen, was mit ihrem Inhalt passiert und was getan werden kann, um die Daten wiederherzustellen. In diesem Artikel haben wir die inhaltsbezogene Wiederherstellung kurz als eine der möglichen Methoden erwähnt. Lassen Sie uns in dieser detaillierteren Überprüfung sehen, wie die inhaltsbezogene Wiederherstellung tatsächlich funktioniert. Schließlich sind die heutigen inhaltsbezogenen Wiederherstellungsalgorithmen viel komplexer als früher und tun viel mehr als das Match-Identify-Extract-Ding, wie unser Übersichtsartikel Sie glauben machen könnte.

Alle inhaltsbezogenen Wiederherstellungen sind ohne Ausnahme auf Signature Search basiert. Dies ist dieselbe Technik, die von Antivirus-Tools verwendet wird, um bekannte Viren in Dateien zu identifizieren. Im Allgemeinen bedeuten „Signature Search“, „inhaltsbezogene Wiederherstellung“ und „File Carving“ dasselbe. Die spezielle Implementierung dieser Technologie kann jedoch bei Produkten erheblich unterschiedlich sein.

Im Gegensatz zu Antivirus-Tools durchsuchen Signature Search-Datenwiederherstellungsalgorithmen jedoch unzugeordneten (leeren) Festplattenspeicher anstelle von vorhandenen Dateien. (Unter bestimmten Umständen führen sie jedoch eine vollständige Festplattensuche durch; dazu später mehr). Aber sagen wir zum Beispiel, dass wir gerade eine Datei finden, die gerade gelöscht wurde.

Bei der Suche nach gelöschten Dateien analysiert der Signature Search-Algorithmus zunächst das Dateisystem, um herauszufinden, welche Blöcke auf der Festplatte leer sind (nicht mit vorhandenen Daten belegt). Beachten Sie, dass dies nur möglich ist, wenn das Dateisystem noch verfügbar ist. Wenn Sie die Festplatte formatiert oder neu partitioniert haben, ist das ursprüngliche Dateisystem möglicherweise nicht verfügbar, und Signature Search muss alle Festplattensektoren ohne Ausnahme analysieren.

Der Algorithmus liest also einen Datenblock von der Festplatte, der von keiner Datei beansprucht wird. Was passiert als nächstes? Der Algorithmus durchsucht diesen Block, um herauszufinden, ob dieser bestimmte Datenblock als Anfang einer Datei in einem bestimmten bekannten Format identifiziert werden kann. Dies geschieht durch Abgleich der Daten mit der Liste der Signaturen, die in der integrierten Datenbank des Tools gespeichert sind (daher der Name „Signature Search“). Wenn eine bekannte Signatur erkannt wird, meldet das Tool freudig, dass es eine Datei gefunden hat? Nicht so schnell. Vorher führt der Algorithmus mindestens eine sekundäre Überprüfung durch, manchmal sind jedoch mehrere Überprüfungen erforderlich. Wenn das Tool beispielsweise eine Signatur entdeckt, die %PDF% sagt, meldet es nicht sofort die Entdeckung einer PDF-Datei. Schließlich haben wir bereits zwei %PDF%-Signaturen in diesem Artikel, und dies ist keineswegs eine PDF-Datei! Der Algorithmus analysiert also den Datenblock, um herauszufinden, ob seine anderen Daten der Struktur eines bestimmten Dateiformats entsprechen. Dies könnte beispielsweise bedeuten, dass bestimmte Daten an einem bestimmten Offset gespeichert werden müssen: eine Prüfsumme, die Länge oder Datum/Uhrzeit der Datei oder etwas anderes. Für einige Dateiformate müssen mehrere Überprüfungen durchgeführt werden, aber die Erkennungsqualität kann immer noch gering sein.

Angenommen, der Datenblock gehört definitiv zu einer bekannten Datei (sagen wir, einem PDF-Dokument). Was passiert als nächstes?

Der nächste Schritt besteht darin, die Länge der Datei zu ermitteln. Die Länge der Datei kann durch weitere Analyse der im Header der Datei verfügbaren Informationen berechnet werden. Durch die Bestimmung der Länge der Datei können wir leicht ihren Anfang und ihr Ende oder die ersten und letzten Sektoren berechnen, die zu dieser Datei gehören? oder auch nicht?

Probleme der datenorientierten Wiederherstellung

Die Wiederherstellung von Signaturen ist nur einfach, wenn Sie eine einzelne, nicht fragmentierte Datei aus einem zusammenhängenden Bereich freien Speichers wiederherstellen. Im wirklichen Leben passiert dies jedoch selten. Oft gibt es Lücken im freien Speicherplatz, die auf der Festplatte verstreut sind und zwischen den Dateien liegen. Größe und Position dieser Lücken hängen von vielen Faktoren ab, wie dem verwendeten Dateisystem, der Windows-Version, der Menge an freiem Festplattenspeicher und ob Sie kürzlich eine Defragmentierung auf diesem Volume durchgeführt haben. Das Wiederherstellen einer gelöschten Datei mit datenorientierter Analyse wird daher zu einer Art Lotterie. Wenn eine Datei klein ist oder in einem zusammenhängenden Bereich freien Speichers gespeichert ist, kann diese Datei vollständig wiederhergestellt werden. Wenn die Datei jedoch von Anfang an fragmentiert war, verhalten sich die verschiedenen Signaturen-Suchalgorithmen sehr unterschiedlich.

Die meisten Dateischnitzalgorithmen scannen zuerst das Dateisystem und lesen dann nur unzugeordneten (leeren) Festplattenspeicher. Dies ist eine der besseren Methoden zur Wiederherstellung fragmentierter Dateien, da sie Teile der Festplatte ignoriert, die von vorhandenen Daten belegt sind, und sich stattdessen auf leere Bereiche konzentriert, die wahrscheinlich Informationen enthalten, die früher Teil gelöschter Dateien waren.

Sparse-Dateien

Andere Algorithmen ignorieren das Dateisystem und scannen den gesamten Festplattenbereich. Dieser scheinbar „dumme“ Ansatz liefert möglicherweise nicht die besten Ergebnisse, wenn eine wiederherzustellende Datei zuerst fragmentiert wurde. Er kann jedoch auf Dateisystemen wie NTFS (sowie ext2/ext3/ext4, die in Linux verwendet werden) bessere Ergebnisse liefern, die sogenannte Sparse-Dateien verwenden. Sparse-Dateien versuchen, den Dateisystemplatz effizienter zu nutzen, wenn das System eine neue große Datei erstellt. Anstatt den erforderlichen Festplattenspeicher zuzuweisen (und tatsächlich Nullen auf die Festplatte zu schreiben, was *langsam* ist, wenn Sie z. B. eine Datei erstellen, die einen langen Film enthält), ermöglicht die Verwendung von Sparse-Dateien dem System nur das Schreiben von kurzen Informationen (Metadaten), die die leeren Blöcke auf der Festplatte darstellen, anstatt des tatsächlichen „leeren“ Speichers. Als Ergebnis werden Datenblöcke nur auf die Festplatte geschrieben, wenn sie tatsächlich (nicht leer) sind.

Was bedeutet das im Kontext der wiederherstellung von Inhalten? Es bedeutet einfach, dass das Ignorieren von zugewiesenem (aber nicht leerem) Festplattenspeicher ein Fehler wäre. Idealerweise sollte ein Carving-Tool in der Lage sein, Sparse-Dateien zu erkennen. In der Realität tun dies jedoch nur wenige oder keine Tools. Daher kann der Versuch, sowohl zugewiesene als auch nicht zugewiesene Sektoren zu carven, zu besseren Ergebnissen führen als nur das Carven von nicht zugewiesenem Speicherplatz.

Fragmentierung

Das andere Problem ist die Fragmentierung. In realen Datenrettungsszenarien kann Fragmentierung Ihr schlimmster Feind sein. Wie wir bereits in dem sehr umfassenden Artikel ?Wiederherstellung fragmentierter Dateien? besprochen haben, gibt es keine einzige All-in-One-Lösung für dieses Problem. Alle Datenrettungsalgorithmen behandeln Fragmentierung unterschiedlich und versuchen, so viele verwendbare Informationen wie möglich wiederherzustellen. Wenn Sie sich für dieses Thema interessieren, klicken Sie bitte auf den obigen Link, um mehr zu erfahren.

Kein Dateisystem?

Was soll ein Datenrettungstool tun, wenn auf dem Volume kein Dateisystem vorhanden ist? Obwohl Sie immer eine Signatursuche verwenden können, um eine inhaltsbezogene Wiederherstellung durchzuführen, ist dies möglicherweise nicht die optimale Wahl. Stattdessen werden einige der fortschrittlicheren Tools wie [Partition Recovery] versuchen, zuerst das ursprüngliche Dateisystem zu lokalisieren und wiederherzustellen. Warum ist das möglich?

Es könnte natürlich verschiedene Szenarien geben. Wenn beispielsweise eine NTFS-Festplatte formatiert wird (oder wenn die Festplatte neu partitioniert wird), kann das gesamte Dateisystem erhalten bleiben, da es auf der Festplatte als Datei gespeichert wird. Ja, das gesamte Dateisystem ist nichts anderes als eine Datei namens $MFT. Wenn ein Datenrettungstool also zuerst diese eine Datei schnitzt (und wiederherstellt), wird die Wiederherstellung anderer Dateien von diesem Partition so viel einfacher. Nicht jedes Tool auf dem Markt kann das tun, und selbst in denen, die das können, ist diese Funktionalität normalerweise Flaggschiff-Tools oder den teuersten Editionen vorbehalten. Wenn Sie ein Tool benötigen, das dies tun kann, versuchen Sie Partition Recovery.

Schlussfolgerung

In der realen Welt funktioniert die inhaltsbasierte Wiederherstellung ziemlich gut. Wenn Sie jedoch unbedingt diese eine Datei benötigen und Ihr bevorzugtes Datenwiederherstellungstool nicht hilft, können Sie versuchen, ein anderes Tool mit einem anderen Ansatz auszuprobieren, um zu sehen, ob dieses auf Ihre Datei zugreifen kann.

Häufig gestellte Fragen

Die inhaltsbewusste Wiederherstellung ist ein Prozess, bei dem beschädigte oder verlorene Daten wiederhergestellt werden, indem der Inhalt der Dateien analysiert wird. Dabei werden verschiedene Techniken wie Dateisignaturen, Dateistrukturanalyse und Inhaltsvergleich verwendet, um die Daten wiederherzustellen. Diese Methode ermöglicht es, auch Daten wiederherzustellen, deren Dateinamen oder Metadaten verloren gegangen sind.

Die inhaltsbewusste Wiederherstellung bietet mehrere Vorteile gegenüber herkömmlichen Wiederherstellungsmethoden. Erstens ermöglicht sie eine gezieltere Wiederherstellung von Daten, da sie den Inhalt der Dateien berücksichtigt und nur relevante Daten wiederherstellt. Zweitens ist sie effizienter, da sie den Wiederherstellungsprozess beschleunigt und unnötige Datenverarbeitung vermeidet. Drittens minimiert sie das Risiko von Datenverlust, da sie eine präzisere und zuverlässigere Wiederherstellung ermöglicht. Insgesamt verbessert die inhaltsbewusste Wiederherstellung die Genauigkeit, Effizienz und Zuverlässigkeit des Wiederherstellungsprozesses.

Die inhaltsbewusste Wiederherstellung und die Datenschnitzung sind zwei verschiedene Methoden zur Wiederherstellung von Daten. Bei der inhaltsbewussten Wiederherstellung wird versucht, die ursprüngliche Struktur und den Inhalt der Daten wiederherzustellen, indem beschädigte oder verlorene Teile rekonstruiert werden. Bei der Datenschnitzung hingegen werden gelöschte oder verlorene Daten durch das Durchsuchen des Speichermediums nach Fragmenten oder Spuren wiederhergestellt. Die Datenschnitzung ist weniger genau und kann zu unvollständigen oder beschädigten Daten führen.

Ja, die inhaltsbewusste Wiederherstellung kann in verschiedenen Anwendungsfällen besonders nützlich sein. Zum Beispiel kann sie bei der Wiederherstellung von beschädigten oder gelöschten Dateien helfen, indem sie versucht, den Inhalt der Dateien wiederherzustellen, auch wenn Metadaten oder Dateiinformationen verloren gegangen sind. Sie kann auch bei der Wiederherstellung von Daten nach einem Systemabsturz oder einer Datenkorruption verwendet werden, um den Inhalt der Dateien wiederherzustellen, selbst wenn die Dateistruktur beschädigt ist.