Fayl Bərpa Alqoritmləri

 Salam dostlar,

Bu yazımda sizə fayl bərpa proqramlarının (Recuva, Wondershare, EaseUS Data Recovery və s.) faylları bərpa etməsi haqqında bəhs etmək istərdim ki, məhz bu proqramlar silinmiş məlumatların (şəkil, video, sənəd və s.) geri qaytarılması üçün xüsusi alqoritmlərdən istifadə edir. Bu prosesin texniki tərəflərini izah etmək üçün əvvəlcə bir neçə əsas anlayışı bilmək lazımdır:

Silinmiş faylların vəziyyəti

Əksər fayl sistemlərində (məsələn, NTFS, FAT32, exFAT) fayl silindikdə, həmin fayl fiziki olaraq diskin üzərindən silinmir ki, bu zaman:

• Fayl sistemində faylın olduğu yer boş olaraq işarələnir və həmin sahə üzərində yeni məlumat yazıla bilməsi üçün icazə verilir;
• Faylın "metadata"-ları (fayl adı, ölçüsü, yaradılma tarixi və s.) xüsusi strukturlarda saxlanılır (məsələn, NTFS-də MFT / Master File Table).

Bu səbəbdən, fayl silindikdən dərhal sonra onu bərpa etmək mümkündür, çünki həmin məlumat fiziki olaraq diskin üzərində qalır. Ancaq yeni məlumat həmin yerə yazıldıqda (overwrite), bərpa prosesi çətinləşir və ya qeyri-mümkün olur.

Fayl bərpa proqramlarının işləmə prinsipi

Fayl bərpa proqramlarının əsas məqsədi fayl sisteminin strukturunu təhlil edərək və diski "raw" səviyyəsində analiz edərək silinmiş faylları aşkar etməkdir ki, məhz bu proses aşağıdakı mərhələlərdən ibarətdir:

Fayl sisteminin analiz edilməsi

• Proqram əvvəlcə fayl sisteminin növünü (NTFS, FAT32, ext4 və s.) müəyyən edir;
• Fayl sistemində faylların saxlanılma qaydası və "metadata"-ların strukturu barədə məlumatı əldə edir;
• Silinmiş faylların metadata məlumatları axtarılır (məsələn, NTFS-də MFT baxılır). Əgər "metadata" yerindədirsə, faylın hansı bloklarda yerləşdiyi və ölçüsü asanlıqla bərpa edilir.

"Raw" səviyyəsində məlumatın skan edilməsi

Fayl sistemindən "metadata" məlumatları əldə olunmadıqda və ya fayl ciddi şəkildə zədələnmiş olduqda, proqramlar aşağıdakı metodlarla işləyir:

• Diskin "raw" (byte) səviyyəsində skan edilməsi;
• Məlumat bloklarının (sektorların) məzmununun təhlil edilməsi;
• Faylların tanınması üçün "fayl başlıqları" (file headers) və "fayl ayaq izləri" (file footers) istifadə olunur.

Fayl başlıqları və ayaq izləri

Hər bir fayl növü (şəkil, video, sənəd və s.) unikal bir başlıq və ya strukturla başlayır. Məsələn:

• "JPEG" faylları FFD8 FFE0 və ya FFD8 FFE1 "hexadecimal" başlığı ilə başlayır;
• "PNG" faylları 89 50 4E 47 0D 0A 1A 0A başlığı ilə başlayır;
• "MP4" faylları 66 74 79 70 4D 50 34 32 başlığı ilə başlayır.

Fayl bərpa proqramları bu başlıqları skan edir və uyğun fayl bloklarını tapır. Bu metod "metadata" mövcud olmadıqda bu cür işləyir.

Fayl strukturlarının yenidən qurulması

Tapılan fayl başlıqları əsasında proqramlar:

• Faylın hansı sektorlarda yerləşdiyini müəyyən edir;
• Faylı birləşdirərək tam məlumatı bərpa etməyə çalışır.

Əgər fayl hissələrə bölünübsə (fragmented), bu daha mürəkkəb olur və bərpa prosesini çətinləşdirir.

Əsas alqoritmlər

Fayl bərpa prosesində istifadə edilən alqoritmlərdən bəziləri bunlardır:

"Metadata" əsaslı bərpa alqoritmləri

• Fayl sisteminin "metadata" strukturlarını (MFT, FAT və s.) oxumaq və silinmiş faylların yerlərini müəyyənləşdirmək üçün istifadə olunur;
• Sadə hallarda bu, faylın tam bərpası üçün kifayət edir.

Fayl imzası əsaslı bərpa alqoritmləri

• Fayl başlıqları (file headers) və ayaq izləri (file footers) əsasında faylları aşkar etmək üçün istifadə olunur;
• "Raw" məlumat səviyyəsində analiz aparır;
• Məsələn, bir "JPEG" faylını müəyyən etmək üçün FFD8 FFE0 başlığını (file headers) və FFD9 (file footers) ayaq izini axtarır.

Fragmentasiya ilə işləyən alqoritmlər

• Fayllar diskdə bir neçə ayrı-ayrı sektor və ya bloklarda saxlanıla bilər (fragmented);
• Proqramlar fayl hissələrini (parçalarını) birləşdirmək üçün məntiqli model qururlar;
• Fayl başlığı və ölçüsü əsasında hissələrin uyğunluğunu yoxlayır;
• Diskin digər sektorlarında faylın hissələrini axtarırlar.

"Overwritten" məlumatları bərpa alqoritmləri

Bu, ən çətin prosesdir, çünki yeni məlumat köhnə məlumatın üzərinə yazıldıqda, həmin sektorların əvvəlki məzmunu silinir. Bəzi xüsusi alqoritmlər maqnitli disklərdə (HDD) zəif maqnit izlərini analiz edərək müəyyən məlumatı bərpa etməyə çalışır, lakin bu metod:

• Yavaş və baha başa gəlir;
• Ancaq ixtisaslaşmış laboratoriyalarda mümkündür.

"SSD"-lərdə bərpa vəziyyəti

"SSD"-lərdə fayl bərpası "HDD"-lərlə müqayisədə daha çətindir, çünki:

• SSD-lərdə "TRIM" əmri aktivdir. Bu əmrlə silinmiş faylların saxlandığı bloklar dərhal təmizlənir, bu da məlumatın fiziki səviyyədə də itməsinə səbəb olur.
• Bərpa üçün yalnız "metadata" əsaslı metodlar istifadə edilə bilər, lakin "TRIM" aktivdirsə, şanslar çox aşağıdır.

Fayl bərpası zamanı məhdudiyyətlər

1. Yeni məlumatın yazılması - faylın olduğu yerə yeni məlumat yazıldıqda, bərpa qeyri-mümkün olur;
2. Fayl sisteminin zədələnməsi - disk formatlanıbsa və ya fayl sistemində ciddi səhvlər varsa, bərpa prosesi daha mürəkkəb olur;
3. "TRIM" və ya digər texnologiyalar - "SSD"-lərdə "TRIM" aktivdirsə, məlumat tamamilə itə bilər.

Fayl bərpa proqramlarının əsas komponentləri

• Skaner - diskin və fayl sisteminin strukturunu təhlil edir;
• Alqoritmlər - "metadata" və ya fayl imzası əsasında faylları tanıyır;
• Rekonstruksiya modulu - faylları birləşdirir və istifadəçiyə təqdim edir.

Beləliklə,

Fayl bərpa proqramlarının fayl bərpası istiqamətindəki uğuru disk vəziyyətindən, məlumatın silinmə üsulundan və yeni məlumatın yazılma dərəcəsindən asılıdır. Alqoritmlər "metadata"-lar, "raw" məlumat skanı, fayl başlıqları və fragmentasiya kimi müxtəlif yanaşmalarla işləyir. Amma ən yaxşı nəticəni əldə etmək üçün silinmiş məlumatın üzərinə yeni məlumat yazılmamasına xüsusis diqqət etmək və bu halda işi peşəkarlara buraxmaq lazımdır.

Dostlar,

Güman edirəm ki, fayl bərpa proqramları haqqında olan bu yazım sizin üçün faydalı olar.

Təşəkkür edirəm

Hörmətlə,

Müəllif

Araz Əhmədov