Recuperacion de datos

Cada Sistema Operativo proporciona una manera de borrar los datos en el Disco Duro. Sin esto, un disco duro se llenaría rápidamente de archivos temporales, archivos de copia de seguridad y otros datos escritos en el disco por el sistema operativo o por programas instalados en el ordenador.

Además de los archivos creados y eliminados por los programas, también se encuentran los que ud. a creado y ya no necesita.

Un archivo borrado es cualquier archivo que ha sido borrado de manera lógica del sistema de archivo, pero aun puede permanecer físicamente en los medios de almacenamiento.

El sistema FAT utiliza una tabla de asignación de archivos para hacer un seguimiento de los archivos, mientras que NTFS utiliza MFT. Cuando un archivo es borrado con la tecla DELETE (o Clic derecho eliminar) lo que se hace es eliminar el puntero al archivo de la tabla, sin embargo, los datos siguen en el disco.

Como se puede apreciar, los datos pueden ser eliminados de varias maneras, pero esto no significa que los datos hayan sido destruidos por completo. Si se eliminan datos, cualquier herramienta forense podrá ser consultada para acceder a estos datos. La única manera de estar seguros de que los datos no podrán ser recuperados, es utilizando un software de borrado seguro para sobreescribir los datos.

Un software de borrado de disco, limpia el disco borrando todos los archivos y luego sobreescribiendo el espacio del mismo con una serie de 1 y 0. De este modo, los sectores del disco se sobreescriben haciendo irrecuperable los datos anteriores. Si alguien trata de recuperar los datos del disco, no podrá hacerlo ya que los datos se encuentran completamente destruidos.

Cuando se borra un archivo, no significa que los datos no puedan ser recuperados de manera completa o parcial. Los datos escritos en el disco, quedan allí generalmente hasta que se sobreescriben con otros datos o sean borrados por un imán. Como se dijo anteriormente, solo se elimina el puntero utilizado por el sistema de archivos para localizar los datos almacenados en el disco.

Muchas personas piensan que el “formateo” de un disco duro borra todos los datos, pero esto no necesariamente es así. El formato define la estructura del disco. El formato de bajo nivel (LLF por sus siglas en inglés) donde se definen las pistas y sectores presentes en el disco, borra los datos. Sin embargo, los discos duros modernos vienen con un LLF de fabrica, y los usuarios generalmente, no realizan LLF a los discos IDE y SCSI. Así, cuando hablamos de formato, nos referimos a un formato de alto nivel, proceso que define la estructura del disco. Así, el sistema de archivos nos dice en que un disco esta con formato FAT o NTFS.

Si un archivo no ha sido sobreescrito o dañado de alguna manera, siempre existe la posibilidad de que se puedan recuperar mediante software especial diseñado para tal propósito.

Para que los datos puedan ser recuperados, Ud. nunca debe instalar el software en la unidad que contiene los datos que desea recuperar. Por ej. Si ud. borra accidentalmente un archivo en unidad C: y luego descarga e instala el software de recuperación en la misma unidad, podría sobreescribir los datos que esta tratando de recuperar. Los Software de Informática Forense pueden utilizar discos de arranque para acceder a la unidad o conectarse a la maquina mediante un cable de red. De este modo, ud. puede restaurar los datos sin preocuparse por la corrupción de los mismos en el disco.

Si el equipo tiene dos unidades y ud. esta realizando una recuperacion de datos, puede instalar el software en la otra unidad. Sin embargo, si elimina el archivo en una partición de arranque, los archivos pueden ser instalados en el directorio de su sistema operativo u otros directorios utilizados para almacenar los archivos comunes.

Cuando ud. este utilizando estas herramientas, recuerde que mantener la integridad de los datos que esta tratando de recuperar, es de suma importancia y debe tomar las medidas necesarias para impedir que sean dañados o destruidos.