stringtranslate.com

Recuperación de datos

En informática , la recuperación de datos es un proceso de recuperación de datos eliminados, inaccesibles, perdidos, corruptos, dañados o formateados de almacenamiento secundario , medios extraíbles o archivos , cuando no se puede acceder a los datos almacenados en ellos de la forma habitual. [1] Los datos se recuperan con mayor frecuencia de medios de almacenamiento como unidades de disco duro internas o externas (HDD), unidades de estado sólido (SSD), unidades flash USB , cintas magnéticas , CD , DVD , subsistemas RAID y otros dispositivos electrónicos . La recuperación puede ser necesaria debido a daños físicos en los dispositivos de almacenamiento o daños lógicos en el sistema de archivos que impiden que el sistema operativo (OS) host lo monte . [2]

Los fallos lógicos se producen cuando los dispositivos de disco duro funcionan pero el usuario o el sistema operativo automatizado no pueden recuperar ni acceder a los datos almacenados en ellos. Los fallos lógicos pueden ocurrir debido a la corrupción del chip de ingeniería, particiones perdidas, fallos del firmware o fallos durante el formateo o la reinstalación. [3] [4]

La recuperación de datos puede ser un desafío muy sencillo o técnico, por lo que existen empresas de software especializadas en este campo. [5]

Acerca de

Los escenarios de recuperación de datos más comunes involucran una falla del sistema operativo, mal funcionamiento de un dispositivo de almacenamiento, falla lógica de los dispositivos de almacenamiento, daño o eliminación accidental, etc. (típicamente, en un sistema de una sola unidad, una sola partición , un solo SO), en cuyo caso el objetivo final es simplemente copiar todos los archivos importantes del medio dañado a otra unidad nueva. Esto se puede lograr usando un Live CD o DVD al iniciar directamente desde una ROM o una unidad USB en lugar de la unidad dañada en cuestión. Muchos Live CD o DVD proporcionan un medio para montar la unidad del sistema y las unidades de respaldo o medios extraíbles, y para mover los archivos de la unidad del sistema al medio de respaldo con un administrador de archivos o software de creación de discos ópticos . Estos casos a menudo se pueden mitigar mediante la partición del disco y el almacenamiento constante de archivos de datos valiosos (o copias de ellos) en una partición diferente de los archivos del sistema operativo reemplazables.

Otro escenario implica una falla a nivel de unidad, como un sistema de archivos o una partición de unidad comprometidos, o una falla de la unidad de disco duro . En cualquiera de estos casos, los datos no se pueden leer fácilmente desde los dispositivos de medios. Dependiendo de la situación, las soluciones incluyen la reparación del sistema de archivos lógico, la tabla de particiones o el registro de arranque maestro , o la actualización del firmware o técnicas de recuperación de la unidad que van desde la recuperación basada en software de datos dañados, hasta la recuperación basada en hardware y software de áreas de servicio dañadas (también conocidas como el "firmware" de la unidad de disco duro), hasta el reemplazo de hardware en una unidad dañada físicamente que permite la extracción de datos a una nueva unidad. Si es necesaria una recuperación de la unidad, la unidad en sí suele fallar de forma permanente y el enfoque se centra más bien en una recuperación única, recuperando todos los datos que se puedan leer.

En un tercer escenario, los usuarios han " borrado " accidentalmente archivos de un medio de almacenamiento. Normalmente, el contenido de los archivos borrados no se elimina inmediatamente de la unidad física; en su lugar, se eliminan las referencias a ellos en la estructura de directorios y, a partir de entonces, el espacio que ocupan los datos borrados queda disponible para su posterior sobrescritura. En la mente de los usuarios finales , los archivos borrados no se pueden descubrir a través de un administrador de archivos estándar, pero los datos borrados todavía existen técnicamente en la unidad física. Mientras tanto, el contenido del archivo original permanece, a menudo varios fragmentos desconectados , y puede recuperarse si no se sobrescribe con otros archivos de datos.

El término "recuperación de datos" también se utiliza en el contexto de aplicaciones forenses o de espionaje , donde se recuperan datos que han sido cifrados , ocultos o eliminados, en lugar de dañados. A veces, los datos presentes en el ordenador se cifran u ocultan debido a razones como ataques de virus que solo pueden ser recuperados por algunos expertos forenses informáticos.

Daño físico

Una amplia variedad de fallas pueden causar daños físicos a los medios de almacenamiento, que pueden ser resultado de errores humanos y desastres naturales. Los CD-ROM pueden tener su sustrato metálico o capa de tinte rayada; los discos duros pueden sufrir una multitud de fallas mecánicas, como choques de cabezales , fallas de PCB y fallas de motores; las cintas pueden simplemente romperse.

Los daños físicos en un disco duro, incluso en casos en los que se ha producido un fallo en el cabezal, no implican necesariamente una pérdida permanente de datos. Las técnicas empleadas por muchas empresas profesionales de recuperación de datos suelen permitir recuperar la mayoría, si no todos, los datos que se habían perdido cuando se produjo el fallo.

Por supuesto, existen excepciones, como los casos en los que se han producido daños graves en los platos del disco duro . Sin embargo, si se puede reparar el disco duro y crear una imagen completa o un clon, en la mayoría de los casos se puede reconstruir la estructura lógica de los archivos.

La mayoría de los daños físicos no pueden ser reparados por los usuarios finales. Por ejemplo, abrir una unidad de disco duro en un entorno normal puede permitir que el polvo del aire se asiente en el plato y quede atrapado entre el plato y el cabezal de lectura/escritura . Durante el funcionamiento normal, los cabezales de lectura/escritura flotan de 3 a 6 nanómetros por encima de la superficie del plato, y las partículas de polvo promedio que se encuentran en un entorno normal suelen tener alrededor de 30.000 nanómetros de diámetro. [6] Cuando estas partículas de polvo quedan atrapadas entre los cabezales de lectura/escritura y el plato, pueden provocar nuevas colisiones del cabezal que dañan aún más el plato y, por lo tanto, comprometen el proceso de recuperación. Además, los usuarios finales generalmente no tienen el hardware o la experiencia técnica necesarios para realizar estas reparaciones. En consecuencia, a menudo se contratan empresas de recuperación de datos para recuperar datos importantes, y las más reputadas utilizan salas blancas libres de polvo y estática de clase 100. [7 ]  

Técnicas de recuperación

La recuperación de datos de hardware dañado físicamente puede implicar varias técnicas. Algunos daños se pueden reparar reemplazando partes del disco duro. Esto por sí solo puede hacer que el disco sea utilizable, pero aún puede haber daños lógicos. Se utiliza un procedimiento especializado de creación de imágenes de disco para recuperar cada bit legible de la superficie. Una vez que se obtiene esta imagen y se guarda en un medio confiable, se puede analizar de manera segura para detectar daños lógicos y posiblemente permita reconstruir gran parte del sistema de archivos original.

Reparación de hardware

Los medios que han sufrido una falla electrónica catastrófica requieren la recuperación de datos para poder salvar su contenido.

Un error muy común es creer que una placa de circuito impreso (PCB) dañada puede ser reemplazada simplemente durante los procedimientos de recuperación por una PCB idéntica de una unidad en buen estado. Si bien esto puede funcionar en circunstancias excepcionales en unidades de disco duro fabricadas antes de 2003, no funcionará en unidades más nuevas. Las placas electrónicas de las unidades modernas suelen contener datos de adaptación específicos de la unidad (generalmente un mapa de sectores defectuosos y parámetros de ajuste) y otra información necesaria para acceder correctamente a los datos de la unidad. Las placas de reemplazo a menudo necesitan esta información para recuperar eficazmente todos los datos. Es posible que sea necesario reprogramar la placa de reemplazo. Algunos fabricantes (Seagate, por ejemplo) almacenan esta información en un chip EEPROM en serie , que se puede quitar y transferir a la placa de reemplazo. [8] [9]

Cada unidad de disco duro tiene lo que se llama un área del sistema o área de servicio ; esta parte de la unidad, a la que no tiene acceso directo el usuario final, generalmente contiene el firmware de la unidad y datos adaptativos que ayudan a que la unidad funcione dentro de los parámetros normales. [10] Una función del área del sistema es registrar los sectores defectuosos dentro de la unidad; esencialmente, le dice a la unidad dónde puede y dónde no puede escribir datos.

Las listas de sectores también se almacenan en varios chips conectados a la PCB y son exclusivas de cada unidad de disco duro. Si los datos de la PCB no coinciden con los almacenados en el plato, la unidad no se calibrará correctamente. [11] En la mayoría de los casos, los cabezales de la unidad harán clic porque no pueden encontrar los datos que coinciden con los almacenados en la PCB.

Daño lógico

Resultado de una recuperación de datos fallida de una unidad de disco duro.

El término "daño lógico" se refiere a situaciones en las que el error no es un problema de hardware y requiere soluciones a nivel de software.

Particiones y sistemas de archivos corruptos, errores de medios

En algunos casos, los datos de un disco duro pueden resultar ilegibles debido a daños en la tabla de particiones o el sistema de archivos , o a errores (intermitentes) en los medios. En la mayoría de estos casos, al menos una parte de los datos originales se puede recuperar reparando la tabla de particiones o el sistema de archivos dañados mediante un software de recuperación de datos especializado, como TestDisk ; un software como ddrescue puede crear imágenes de los medios a pesar de los errores intermitentes y crear imágenes de los datos sin procesar cuando hay daños en la tabla de particiones o en el sistema de archivos. Este tipo de recuperación de datos puede ser realizada por personas sin experiencia en hardware de unidades, ya que no requiere equipo físico especial ni acceso a los platos.

En ocasiones, los datos se pueden recuperar utilizando métodos y herramientas relativamente simples; [12] los casos más graves pueden requerir la intervención de un experto, en particular si partes de los archivos son irrecuperables. La extracción de datos es la recuperación de partes de archivos dañados utilizando el conocimiento de su estructura.

Datos sobrescritos

Una vez que se han sobrescrito físicamente los datos en una unidad de disco duro, generalmente se supone que ya no es posible recuperar los datos anteriores. En 1996, Peter Gutmann , un científico informático, presentó un artículo que sugería que los datos sobrescritos podrían recuperarse mediante el uso de microscopía de fuerza magnética . [13] En 2001, presentó otro artículo sobre un tema similar. [14] Para protegerse contra este tipo de recuperación de datos, Gutmann y Colin Plumb diseñaron un método de limpieza irreversible de datos, conocido como el método Gutmann y utilizado por varios paquetes de software de limpieza de discos.

Ha habido muchas críticas, principalmente sobre la falta de ejemplos concretos de recuperación de cantidades significativas de datos sobrescritos. [15] El artículo de Gutmann contiene una serie de errores e imprecisiones, en particular en lo que respecta a la información sobre cómo se codifican y procesan los datos en los discos duros. [16] Aunque la teoría de Gutmann puede ser correcta, no hay evidencia práctica de que los datos sobrescritos se puedan recuperar, mientras que la investigación ha demostrado que los datos sobrescritos no se pueden recuperar. [ especificar ] [17] [18] [19]

Las unidades de estado sólido (SSD) sobrescriben los datos de forma diferente a las unidades de disco duro (HDD), lo que hace que al menos una parte de sus datos sea más fácil de recuperar. La mayoría de las unidades SSD utilizan memoria flash para almacenar datos en páginas y bloques, a los que se hace referencia mediante direcciones de bloque lógico (LBA) que son administradas por la capa de traducción flash (FTL). Cuando la FTL modifica un sector, escribe los datos nuevos en otra ubicación y actualiza el mapa para que los nuevos datos aparezcan en la LBA de destino. Esto deja los datos previos a la modificación en su lugar, posiblemente con muchas generaciones, y recuperables mediante un software de recuperación de datos.

Datos perdidos, eliminados y formateados

A veces, los datos presentes en las unidades físicas (disco duro interno o externo, memoria USB , etc.) se pierden, se eliminan o se formatean debido a circunstancias como ataques de virus, eliminación accidental o uso accidental de SHIFT+DELETE. En estos casos, se utiliza un software de recuperación de datos para recuperar o restaurar los archivos de datos.

Sector lógico defectuoso

En la lista de fallos lógicos de los discos duros, un sector defectuoso es el fallo más común que hace que los datos no se puedan leer. A veces es posible evitar la detección de errores incluso en el software y, tal vez, con lecturas repetidas y análisis estadísticos, recuperar al menos algunos de los datos almacenados subyacentes. A veces, el conocimiento previo de los datos almacenados y los códigos de detección y corrección de errores se pueden utilizar para recuperar incluso datos erróneos. Sin embargo, si la unidad física subyacente se degrada lo suficiente, al menos se debe reemplazar el hardware que rodea los datos, o incluso puede ser necesario aplicar técnicas de laboratorio al medio de grabación físico. Cada uno de los enfoques es progresivamente más costoso y, como tal, cada vez menos buscado.

Al final, si el medio de almacenamiento físico final ha sido realmente alterado lo suficiente, no será posible recuperarlo por ningún medio; la información se habrá perdido irreversiblemente.

Recuperación remota de datos

Los expertos en recuperación no siempre necesitan tener acceso físico al hardware dañado. Cuando los datos perdidos se pueden recuperar mediante técnicas de software, a menudo pueden realizar la recuperación utilizando software de acceso remoto a través de Internet, LAN u otra conexión a la ubicación física del medio dañado. El proceso no es esencialmente diferente de lo que el usuario final podría realizar por sí mismo. [20]

La recuperación remota requiere una conexión estable con un ancho de banda adecuado. Sin embargo, no es aplicable cuando se requiere acceso al hardware, como en casos de daños físicos.

Cuatro fases de recuperación de datos

Por lo general, hay cuatro fases cuando se trata de una recuperación de datos exitosa, aunque eso puede variar dependiendo del tipo de corrupción de datos y la recuperación requerida. [21]

Fase 1
Reparar la unidad de disco duro
El disco duro se repara para que funcione de alguna forma, o al menos en un estado adecuado para leer los datos que contiene. Por ejemplo, si los cabezales están en mal estado, es necesario cambiarlos; si la placa de circuito impreso está defectuosa, es necesario repararla o reemplazarla; si el motor del eje está en mal estado, los platos y cabezales deben trasladarse a una nueva unidad.
Fase 2
Cree una imagen de la unidad en una nueva unidad o en un archivo de imagen de disco
Cuando falla una unidad de disco duro, la prioridad principal es extraer los datos de la unidad. Cuanto más tiempo se utilice una unidad defectuosa, más probabilidades hay de que se produzcan más pérdidas de datos. La creación de una imagen de la unidad garantizará que exista una copia secundaria de los datos en otro dispositivo, en el que sea seguro realizar procedimientos de prueba y recuperación sin dañar la fuente.
Fase 3
Recuperación lógica de archivos, particiones, MBR y estructuras del sistema de archivos
Una vez que se ha clonado la unidad en una nueva unidad, es conveniente intentar recuperar los datos perdidos. Si la unidad ha fallado lógicamente, existen varias razones para ello. Mediante la clonación, es posible reparar la tabla de particiones o el registro de arranque maestro (MBR) para leer la estructura de datos del sistema de archivos y recuperar los datos almacenados.
Fase 4
Reparar archivos dañados que fueron recuperados
Los datos pueden sufrir daños cuando, por ejemplo, se escribe un archivo en un sector de la unidad que ha resultado dañado. Esta es la causa más común de un fallo en la unidad, lo que significa que es necesario reconstruir los datos para que se puedan leer. Los documentos dañados se pueden recuperar mediante varios métodos de software o reconstruyendo manualmente el documento con un editor hexadecimal.

Restaurar disco

El sistema operativo Windows se puede reinstalar en un ordenador que ya tenga licencia para ello. La reinstalación se puede realizar descargando el sistema operativo o utilizando un "disco de restauración" proporcionado por el fabricante del ordenador. Eric Lundgren fue multado y condenado a prisión federal en Estados Unidos en abril de 2018 por producir 28.000 discos de restauración y pretender distribuirlos por unos 25 céntimos cada uno como una conveniencia para los talleres de reparación de ordenadores. [22]

Lista de software de recuperación de datos

Arrancable

La recuperación de datos no siempre se puede realizar en un sistema en funcionamiento. Como resultado, un disco de arranque , un Live CD , un Live USB o cualquier otro tipo de distribución en vivo contiene un sistema operativo mínimo.

Comprobadores de consistencia

Recuperación de archivos

Ciencias forenses

Herramientas de imagen

Véase también

Referencias

  1. ^ "Explicación de la recuperación de datos". www.ibm.com . Archivado desde el original el 28 de agosto de 2022 . Consultado el 28 de agosto de 2022 .
  2. ^ "Explicación de la recuperación de datos". www.ibm.com . Archivado desde el original el 28 de agosto de 2022 . Consultado el 1 de diciembre de 2022 .
  3. ^ "¿Qué es un fallo lógico?". Disklabs Forense digital y recuperación de datos . Archivado desde el original el 1 de diciembre de 2022. Consultado el 1 de diciembre de 2022 .
  4. ^ "¿Qué sucede cuando las unidades experimentan una falla lógica?". www.streetdirectory.com . Archivado desde el original el 1 de diciembre de 2022 . Consultado el 1 de diciembre de 2022 .
  5. ^ "Recuperación de datos: tecnología de respaldo". www.dell.com . Archivado desde el original el 1 de diciembre de 2022 . Consultado el 1 de diciembre de 2022 .
  6. ^ "Recuperación de datos en un disco duro Seagate de 3 TB". acsdata.com . Archivado desde el original el 13 de febrero de 2017.
  7. ^ Vasconcelos, Pedro. «La recuperación de datos por cuenta propia podría significar un «adiós»». El blog de recuperación de datos de Ontrack . Ontrack Data Recovery. Archivado desde el original el 26 de julio de 2019. Consultado el 26 de julio de 2019 .
  8. ^ "Guía de reemplazo de la placa de circuito del disco duro o cómo cambiar la PCB del disco duro". donordrives.com . Archivado desde el original el 27 de mayo de 2015. Consultado el 27 de mayo de 2015 .
  9. ^ "Firmware Adaptation Service - ROM Swap". pcb4you.com . Archivado desde el original el 29 de marzo de 2013. Consultado el 27 de mayo de 2015 .
  10. ^ Ariel Berkman (14 de febrero de 2013). "Ocultación de datos en las áreas de servicio del disco duro" (PDF) . recover.co.il . Archivado desde el original (PDF) el 26 de febrero de 2015 . Consultado el 23 de enero de 2015 .
  11. ^ "Informe de recuperación de datos: lea antes de elegir una empresa de recuperación de datos". 16 de abril de 2013. Archivado desde el original el 16 de abril de 2013.
  12. ^ Software de recuperación de datos Archivado el 17 de octubre de 2016 en Wayback Machine
  13. ^ Eliminación segura de datos de memorias magnéticas y de estado sólido Archivado el 9 de diciembre de 2007 en Wayback Machine , Peter Gutmann, Departamento de Ciencias de la Computación, Universidad de Auckland
  14. ^ Remanencia de datos en dispositivos semiconductores Archivado el 21 de febrero de 2007 en Wayback Machine , Peter Gutmann, IBM TJ Watson Research Center
  15. ^ Feenberg, Daniel (14 de mayo de 2004). "¿Pueden las agencias de inteligencia leer datos sobrescritos? Una respuesta a Gutmann". Oficina Nacional de Investigación Económica. Archivado desde el original el 9 de mayo de 2008. Consultado el 21 de mayo de 2008 .
  16. ^ https://kaleron.edu.pl/throwing-Gutmanns-algorithm-into-the-trash
  17. ^ "Limpieza de disco: una pasada es suficiente". anti-forensics.com . 17 de marzo de 2009. Archivado desde el original el 2 de septiembre de 2012.
  18. ^ "Limpieza de disco: una pasada es suficiente - Parte 2 (esta vez con capturas de pantalla)". anti-forensics.com . 18 de marzo de 2009. Archivado desde el original el 27 de noviembre de 2012.
  19. ^ Wright, Dr. Craig (15 de enero de 2009). "Sobrescritura de datos del disco duro". Archivado desde el original el 23 de mayo de 2010.
  20. ^ Barton, Andre (17 de diciembre de 2012). "Recuperación de datos a través de Internet". Data Recovery Digest . Archivado desde el original el 27 de mayo de 2015. Consultado el 29 de abril de 2015 .
  21. ^ Stanley Morgan (28 de diciembre de 2012). «[Infografía] Cuatro fases de la recuperación de datos». dolphindatalab.com . Archivado desde el original el 2 de abril de 2015. Consultado el 23 de marzo de 2015 .
  22. ^ Washington Post (26 de abril de 2018). «Un innovador en el reciclaje de productos electrónicos irá a prisión por intentar prolongar la vida útil de las computadoras». Washington Post . Archivado desde el original el 2 de mayo de 2018. Consultado el 2 de mayo de 2018 .

Lectura adicional