Zes bestandsredders onder de loep
Falende hardware is één bron van dataverlies, maar vaker is het probleem te wijten aan menselijke fouten. En dan zou software wel eens de held van dienst kunnen zijn.
De meeste besturingssystemen beschermen hun gebruikers tegen het per ongeluk wissen of overschrijven van bestanden. In Windows is dat in eerste instantie de prullenbak. Heb je een bestand overschreven, dan kun je mogelijk nog een beroep doen op de schaduwkopieën, althans in Windows Vista en 7.
In het eigenschappenvenster van een bestand staat het tabblad Vorige versies. Daar vind je eventueel het originele bestand nog terug, op voorwaarde dat de functie Systeemherstel geactiveerd was en dat tussen de twee bestandsversies in een systeemherstelpunt werd gecreëerd. In Windows Vista Home is deze functie niet te vinden, maar de gratis tool Shadow Explorer heeft dezelfde functie.
Techniek
Maar wat als gewiste bestanden niet meer in de prullenbak zitten? Ook dan is er nog niks verloren. Wanneer je een bestand verwijdert blijven de eigenlijke gegevens in eerste instantie intact. Windows haalt alleen de verwijzingen naar dat bestand uit het bestandssysteem.
De exacte manier waarop dat gebeurt is bij NTFS en FAT(32) verschillend. Bij FAT32 wordt de eerste letter van de bestandsnaam verwijderd en door een standaardsymbool vervangen. Was de bestandsnaam langer dan 11 tekens (8+3), dan wordt er een extra ingang voor de bestandsnaam voorzien en blijft bij die ingang de eerste letter intact alsnog intact.
Erger is dat ook alle clusternummers van dat bestand in de bestandstoewijzingstabel verwijderd worden, wat al deze clusters meteen vrijmaakt voor eventuele andere data; alleen het nummer van de begincluster in de directory blijft intact. Het wordt zo een heel stuk lastiger om zo’n bestand te recupereren als dat niet in aaneensluitende clusters was opgeslagen (lees: was gefragmenteerd).
Bestandsrecuperatie bij NTFS blijkt doorgaans iets makkelijker. Windows geeft de dataclusters van het gewiste bestand weliswaar ook vrij, maar behoudt verder alle essentiële informatie over dat bestand bij, waaronder ook de complete lijst van alle gebruikte, al dan niet op elkaar aansluitende clusters van dat bestand, de zogenoemde ‘run list’.
Hoe we testen
Om de hersteltools op hun waarde te testen hebben we verschillende scenario’s voorzien: we proberen onder meer bestanden terug te vinden op twee FAT- en NTFS-partities met een hele reeks gewiste data, waarvan telkens één partitie zonder en één met fragmentatie, en een geformatteerde FAT-partitie zonder fragmentatie.
Tenzij anders vermeld, werken de besproken tools onder Windows XP of hoger en voorziet de commerciële software in een gratis proefversie (met beperkingen).
Falende hardware is één bron van dataverlies, maar vaker is het probleem te wijten aan menselijke fouten. En dan zou software wel eens de held van dienst kunnen zijn.
De meeste besturingssystemen beschermen hun gebruikers tegen het per ongeluk wissen of overschrijven van bestanden. In Windows is dat in eerste instantie de prullenbak. Heb je een bestand overschreven, dan kun je mogelijk nog een beroep doen op de schaduwkopieën, althans in Windows Vista en 7.
In het eigenschappenvenster van een bestand staat het tabblad Vorige versies. Daar vind je eventueel het originele bestand nog terug, op voorwaarde dat de functie Systeemherstel geactiveerd was en dat tussen de twee bestandsversies in een systeemherstelpunt werd gecreëerd. In Windows Vista Home is deze functie niet te vinden, maar de gratis tool Shadow Explorer heeft dezelfde functie.
Techniek
Maar wat als gewiste bestanden niet meer in de prullenbak zitten? Ook dan is er nog niks verloren. Wanneer je een bestand verwijdert blijven de eigenlijke gegevens in eerste instantie intact. Windows haalt alleen de verwijzingen naar dat bestand uit het bestandssysteem.
De exacte manier waarop dat gebeurt is bij NTFS en FAT(32) verschillend. Bij FAT32 wordt de eerste letter van de bestandsnaam verwijderd en door een standaardsymbool vervangen. Was de bestandsnaam langer dan 11 tekens (8+3), dan wordt er een extra ingang voor de bestandsnaam voorzien en blijft bij die ingang de eerste letter intact alsnog intact.
Erger is dat ook alle clusternummers van dat bestand in de bestandstoewijzingstabel verwijderd worden, wat al deze clusters meteen vrijmaakt voor eventuele andere data; alleen het nummer van de begincluster in de directory blijft intact. Het wordt zo een heel stuk lastiger om zo’n bestand te recupereren als dat niet in aaneensluitende clusters was opgeslagen (lees: was gefragmenteerd).
Bestandsrecuperatie bij NTFS blijkt doorgaans iets makkelijker. Windows geeft de dataclusters van het gewiste bestand weliswaar ook vrij, maar behoudt verder alle essentiële informatie over dat bestand bij, waaronder ook de complete lijst van alle gebruikte, al dan niet op elkaar aansluitende clusters van dat bestand, de zogenoemde ‘run list’.
Hoe we testen
Om de hersteltools op hun waarde te testen hebben we verschillende scenario’s voorzien: we proberen onder meer bestanden terug te vinden op twee FAT- en NTFS-partities met een hele reeks gewiste data, waarvan telkens één partitie zonder en één met fragmentatie, en een geformatteerde FAT-partitie zonder fragmentatie.
Tenzij anders vermeld, werken de besproken tools onder Windows XP of hoger en voorziet de commerciële software in een gratis proefversie (met beperkingen).
