Natychmiast po usunięciu ważnych plików na dysku twardym użytkownik powinien
A. uchronić dysk przed zapisem nowych danych.
B. przeprowadzić test S.M.A.R.T. tego dysku.
C. wykonać defragmentację dysku.
D. zainstalować program diagnostyczny.
Pytanie z egzaminu CKE, czerwiec 2020 (arkusz E.12-SG-20.06).
Najważniejsze w takiej sytuacji jest zatrzymanie dalszego zapisu na dysku, bo po usunięciu plików system operacyjny zwykle nie kasuje od razu całej ich zawartości z talerzy dysku. Najczęściej usuwa tylko wpisy w strukturach systemu plików, np. w tablicy alokacji albo metadanych NTFS, i oznacza zajmowane klastry jako wolne. Dane mogą więc jeszcze fizycznie istnieć, ale są traktowane jako miejsce gotowe do ponownego użycia. Każdy zapis, nawet pozornie drobny, może nadpisać fragment usuniętego pliku i wtedy odzysk będzie trudny albo niemożliwy. Z mojego doświadczenia najlepsza praktyka to od razu przestać używać tego dysku, nie instalować niczego, nie pobierać programów na ten nośnik i najlepiej podłączyć go jako drugi dysk do innego komputera lub uruchomić system z pendrive ratunkowego. W profesjonalnym podejściu wykonuje się obraz sektorowy dysku na inny nośnik, a dopiero potem pracuje na kopii. W informatyce śledczej używa się nawet blokad zapisu, tzw. write blockerów. To jest bardzo rozsądna zasada: najpierw zabezpiecz dane, potem diagnozuj i odzyskuj. Przy okazji warto pamiętać o kopiach zapasowych w modelu 3-2-1, bo odzyskiwanie po skasowaniu to już działanie awaryjne, nie normalna strategia ochrony danych.
W tej sytuacji łatwo pomylić diagnostykę dysku z procedurą odzyskiwania danych. Test S.M.A.R.T. może powiedzieć coś o kondycji nośnika, na przykład o liczbie realokowanych sektorów, błędach odczytu czy temperaturze pracy, ale nie przywraca skasowanych plików. Co więcej, samo sprawdzanie dysku nie rozwiązuje głównego problemu: system plików uznał miejsce po usuniętych danych za wolne i może je w każdej chwili wykorzystać. S.M.A.R.T. bywa bardzo przydatny przy podejrzeniu uszkodzenia fizycznego, ale tutaj kluczowe jest ograniczenie zapisu, a nie ocenianie zdrowia dysku. Instalowanie programu diagnostycznego lub narzędzia do odzyskiwania na tym samym dysku to klasyczny błąd. Instalator zapisuje pliki programu, biblioteki, wpisy konfiguracyjne, czasem tworzy katalogi tymczasowe i modyfikuje rejestr systemu. Te operacje mogą trafić dokładnie w sektory, w których nadal leżą usunięte dokumenty albo zdjęcia. Moim zdaniem to jedna z najczęstszych wpadek, bo ktoś chce szybko pomóc, a niechcący pogarsza sprawę. Defragmentacja jest jeszcze bardziej ryzykowna. Jej zadaniem jest przenoszenie fragmentów plików i porządkowanie ich rozmieszczenia na dysku, więc generuje ogromną liczbę operacji zapisu. Przy próbie odzyskania skasowanych danych defragmentacja działa prawie jak mieszanie kart po tym, gdy chcemy odtworzyć ich wcześniejszy układ. Typowy błędny tok myślenia polega na założeniu, że skoro dysk jest sprawny albo uporządkowany, to pliki łatwiej wrócą. W praktyce jest odwrotnie: najpierw trzeba zabezpieczyć nośnik przed nadpisaniem, a dopiero potem używać narzędzi odzyskiwania, najlepiej zapisując wyniki na zupełnie innym dysku.