Peculiaridades de la recuperación de datos según el SO

Un sistema de archivos se puede definir como un método de organización y obtención de datos en un medio de almacenamiento digital. Es la principal herramienta utilizada por el sistema operativo para realizar un seguimiento de archivos. Diferentes sistemas operativos emplean diferentes sistemas de archivos, que no sólo determinan la forma en que se administran los datos en el disco, sino que también influyen en las posibilidades de recuperar los perdidos, ya que cada sistema de ficheros da su propia serie de pasos durante la eliminación de archivos o el formato de dispositivo de almacenamiento.

Sugerencia: Para obtener más información sobre los sistemas de archivos y sus tipos, por favor, consulte el artículo sobre los conceptos básicos de los sistemas de archivos.

La información a continuación le ayudará a evaluar las perspectivas de recuperar datos después de la eliminación accidental de archivos o el formateo según el sistema de ficheros en su almacenamiento.

Sugerencia: Los casos más típicos de pérdida de datos a los que se hace referencia en este artículo se describen en el artículo sobre los principios de recuperación de datos.

Sistemas de archivos de Windows

Los sistemas de archivos principales de Windows son FAT (FAT32), exFAT y NTFS. Además, en algunos servidores basados ​​en Windows, también se utiliza ReFS, el sistema de archivos ReFS de próxima generación. Vale la pena señalar que la recuperación de datos de los almacenamientos con estos tipos de sistemas de archivos puede verse obstaculizada por la fragmentación de archivos y sólo es posible hasta que los ficheros se sobrescriban.

Sistema de archivos: FAT/FAT32

• Eliminación de archivos: El registro de directorio respectivo se marca como "no utilizado". Los clústeres se marcan como "libres", lo que destruye la cadena de clústeres utilizada por el archivo.

  • Recuperación de archivos no fragmentados: El nombre, el tamaño y la posición del archivo en el disco permanecen dentro del registro del directorio, lo que aumenta casi hasta el 100% la posibilidad de restaurarlo.

  • Recuperación de archivos fragmentados: La cadena de clústeres del archivo se destruye sin dejar información sobre los fragmentos del último. Aún así, el nombre, el tamaño y la posición de inicio del archivo se conservan. Con el método heurístico (el método de prueba y error) es posible predecir la ubicación de los fragmentos, pero sin ninguna garantía de que sea correcta.

• Formateo: La tabla de asignación de archivos se destruye. Y se crea una nueva carpeta raíz.

  • Recuperación de archivos no fragmentados: El nombre, el tamaño y la posición en el disco del archivo se permanecen dentro del registro de directorio, lo que aumenta casi hasta el 100% la posibilidad de recuperarlo.

  • Recuperación de archivos fragmentados: La cadena de clústeres del archivo se destruye sin dejar información sobre sus fragmentos. Aún así, el nombre, el tamaño y la posición de inicio del archivo se conservan. Con el método heurístico (el método de prueba y error) es posible predecir la ubicación de los fragmentos, pero sin ninguna garantía de que sea correcta.

Sistema de archivos: NTFS

• Eliminación de archivos: El registro respectivo en la Tabla maestra de archivos (Master File Table o MFT en inglés) se marca como "no utilizado". El mapa de bits del espacio ocupado se actualiza para limpiar los clústeres usados. La entrada del archivo se elimina del registro de directorio.

  • Recuperación de archivos: El nombre, el tamaño y la posición en el disco del archivo permanecen dentro del registro de la Tabla maestra de archivos, lo que aumenta casi hasta el 100% las posibilidades de recuperación.

• Formateo: El registro respectivo en la Tabla maestra de archivos se marca como "no utilizado". El mapa de bits del espacio ocupado se actualiza para liberar los clústeres usados. La entrada del archivo se elimina del registro de directorio.

  • Recuperación de archivos no fragmentados: El nombre, el tamaño y la posición del archivo en el disco permanecen dentro del registro de la Tabla maestra de archivos, lo que aumenta las posibilidades de recuperarlo casi hasta el 100%.

  • Recuperación de archivos fragmentados: La información sobre el nombre, el tamaño y la cadena de fragmentos del archivo permanece dentro del registro respectivo en la Tabla maestra de archivos, lo que aumenta las posibilidades de recuperarlo casi hasta el 100%. Aún así, la posibilidad de recuperación es menor para archivos muy fragmentados.

Sistema de archivos: ReFS

• Eliminación de archivos: La estructura de los metadatos se modifica con la operación de Copiar en escrito (Copy-on-Write o COW en inglés) y el área se marca como libre para nuevas entradas.

  • Recuperación de archivos: El sistema almacena una gran cantidad de copias de seguridad antiguas, lo que hace posible la recuperación de datos con un resultado de hasta el 100%.

Sugerencia: Por favor, lea las instrucciones, si necesita recuperar datos de los sistemas de archivos de Windows.

Sistemas de archivos de macOS

El macOS de Apple solía usar HFS+ como el sistema de archivos principal en Mac, iPods, etc., pero luego este fue reemplazado por APFS introducido en macOS High Sierra.

Vale la pena resaltar que la recuperación de datos de los sistemas HFS+ y APFS sólo es posible hasta que se sobrescriban los archivos.

Sistema de archivos: HFS+

• Eliminación de archivos: El sistema de archivos borra los datos sobre el fichero de los registros de metadatos del árbol B (B-Tree en inglés) y actualiza el mapa de espacio libre.

  • Recuperación de archivos: Se borran el nombre, el tamaño y la posición del archivo en el disco; sin embargo, el registro por diario (journal) del sistema de archivos aún puede contener esta información, lo que permite recuperar archivos no dañados. El uso de IntelliRAW™ aumenta las posibilidades de recuperar ficheros; sin embargo, la información sobre el nombre del archivo todavía se puede perder.

Sistema de archivos: APFS

• Eliminación de archivos: El sistema de archivos está optimizado para el uso en unidades de estado sólido y aplica el comando TRIM para limpiar de inmediato los bloques que contienen el archivo eliminado por el usuario, lo que ayuda a acelerar la escritura posterior.
  • Recuperación de archivos: Como se ha mencionado ya, la recuperación de datos sobrescritos (borrados) es imposible, por lo que el uso de TRIM tiene un impacto muy negativo en las posibilidades de restaurar archivos eliminados del sistema APFS. En general, las posibilidades de recuperar todos los archivos son extremadamente bajas.

Sugerencia: Siga las instrucciones correspondientes, si necesita recuperar datos de los sistemas de archivos de macOS.

Sistemas de archivos de Linux

En las distribuciones modernas de Linux se usan Ext2, Ext3, Ext4, XFS, ReiserFS, JFS (JFS2) y Btrfs.

Sistema de archivos: XFS

• Eliminación de archivos: XFS borra parcialmente la información sobre el nodo del archivo y actualiza el árbol de bloques libres. La información sobre el nombre del archivo se desenlaza de la entrada de directorio.

  • Recuperación de archivos no fragmentados: Con la ayuda de la heurística, es posible encontrar el nombre y el tamaño del archivo y la posición redondeada al bloque. Las posibilidades de recuperar ficheros son cercanas al 100%; mientras que las posibilidades de recuperar sus nombres reales son casi del 80%.

  • Recuperación de archivos fragmentados: El nombre del archivo, su tamaño y cadena de fragmentos se pueden recuperar con la ayuda de la heurística. Si los datos del archivo no están dañados, la posibilidad de recuperarlo es cerca del 100%. Las posibilidades de restaurar el nombre real del archivo son cercanas al 80%.

• Formateo: XFS destruye el mapa de clústeres usados ​​y crea un nuevo directorio raíz. Los grupos de asignación de archivos también se actualizan.

  • Recuperación de archivos no fragmentados: La información sobre los archivos de usuario permanece en el disco. Las posibilidades de recuperar datos son cercanas al 100%; mientras que las posibilidades de recuperar los nombres de archivo iniciales son cerca del 95%.

  • Recuperación de archivos fragmentados: Las perspectivas son las mismas que en caso de archivos no fragmentados.

Sugerencia: Consulte las instrucciones, si necesita recuperar datos de los sistemas de archivos de Linux.

Sistema de archivos: Ext2

• Eliminación de archivos: Ext2 marca el nodo del archivo como “libre” y actualiza el mapa de bloques libres. La información sobre el nombre de archivo se desenlaza de la entrada de directorio. El enlace del nombre de archivo al nodo se borra.

  • Recuperación de archivos no fragmentados: La información sobre el inicio y el tamaño del archivo puede permanecer en el disco. El análisis de nodos puede ayudar a recuperar archivos no dañados. Al mismo tiempo, la información sobre el nombre de archivo se pierde.

  • Recuperación de archivos fragmentados: Las posibilidades son las mismas que en caso de archivos no fragmentados.

• Formateo: Todos los grupos de asignación, así como los nodos de archivos, se borran.

  • Recuperación de archivos no fragmentados: La recuperación completa de archivos es posible con el método heurístico, sin embargo, sin los nombres de archivo originales.

  • Recuperación de archivos fragmentados: La recuperación de archivos no dañados sólo es posible con la ayuda de la heurística. Aún así, los nombres de archivo originales se perderán.

Sistema de archivos: Ext3/Ext4

• Eliminación de archivos: El sistema de archivos borra el nodo del archivo y actualiza el mapa de bloques libres. La información sobre el nombre de archivo está desenlazada de la entrada de directorio, pero se conserva el enlace al nodo correspondiente.

  • Recuperación de archivos no fragmentados: La información sobre el inicio y el tamaño del archivo se destruye de forma permanente, pero puede permanecer en el registro por diario (journal) del sistema de archivos. El vínculo del nombre del archivo a su ubicación en el disco falta. La heurística y el análisis del registro por diario permiten recuperar archivos, conservando sus nombres originales.

  • Recuperación de archivos fragmentados: Por lo general, la información sobre los primeros 12 bloques del archivo falta. Tampoco queda la información sobre el nombre y el tamaño del archivo. Las posibilidades de recuperación de archivos eliminados son bastante bajas, sin embargo, la información sobre los archivos eliminados hace poco puede permanecer en el registro por diario (journal) del sistema de archivos, lo que aumenta hasta el 100% las posibilidades de recuperarlos junto con sus nombres de archivo originales.

• Formateo: Todos los grupos de asignación, así como los nodos de archivos se borran. Según el controlador, el registro por diario (journal) del sistema de archivos aún puede contener información sobre algunos archivos creados recientemente.

  • Recuperación de archivos no fragmentados: La recuperación de archivos no dañados sólo es posible con la heurística avanzada y el análisis del registro por diario; sin embargo, en la mayoría de los casos, los nombres de archivo iniciales no se pueden recuperar.

  • Recuperación de archivos fragmentados: Sólo la heurística avanzada y el análisis del registro por diario permiten recuperar archivos por completo; pero, en la mayoría de los casos, los nombres de archivo iniciales se pierden.

Sistema de archivos: ReiserFS

• Eliminación de archivos: El sistema actualiza el árbol S+ (S+-tree en inglés) para excluir el archivo y también actualiza el mapa de espacio libre.

  • Recuperación de archivos no fragmentados: El nodo del árbol S+ puede permanecer en el disco (una copia en el registro por diario del sistema de archivos y una copia anterior, creada con Copiar en escrito). En este caso, las posibilidades de recuperar archivos son de hasta el 100%.

  • Recuperación de archivos fragmentados: La posibilidad es la misma que en caso de archivos no fragmentados.

• Formateo: El sistema de archivos crea un nuevo árbol S+ sobre el existente.

  • Recuperación de archivos no fragmentados: El nodo del árbol S+ puede permanecer en el disco (una copia en el registro por diario del sistema de archivos y una copia anterior, creada con Copiar en escrito). En este caso, la posibilidad de recuperar archivos es cercana al 100%.

  • Recuperación de archivos fragmentados: Las posibilidades son las mismas que en caso de archivos no fragmentados.

Sistema de archivos: JFS (JFS2)

• Eliminación de archivos: JFS actualiza el contador de uso de objetos y borra el inodo en el mapa de uso de inodos. El directorio se reconstruye para reflejar los cambios.

  • Recuperación de archivos no fragmentados: El inodo del archivo permanece en el disco, lo que aumenta las posibilidades de recuperarlo casi hasta el 100%. Sin embargo, es poco probable que se recupere el nombre de archivo.

  • Recuperación de archivos fragmentados: Las perspectivas son las mismas que en caso de archivos no fragmentados.

Sistema de archivos: Btrfs

• Eliminación de archivos: Dado que el sistema de archivos se basa en Copiar en escrito (Copy-on-Write o COW en inglés), los cambios en los extentes de metadatos (nodos del árbol B) y los extentes de datos (contenidos de archivos) se realizan en las copias creadas en nuevas ubicaciones mientras que los originales permanecen en sus lugares, marcados como no utilizados.

  • Recuperación de archivos: Tanto los datos antiguos como los metadatos que apuntan a ellos se pueden encontrar en el disco, lo que permite conseguir un resultado de recuperación de datos de hasta el 100%. Sin embargo, la fragmentación puede ralentizar el proceso.

Sistemas de archivos de BSD, Solaris, Unix

Estos sistemas suelen utilizar UFS, UFS2 y ZFS.

Sistema de archivos: UFS/UFS2

• Eliminación de archivos: UFS borra el nodo del archivo y actualiza el mapa de bloques libres. La información sobre el nombre de archivo se desenlaza de la entrada de directorio.

  • Recuperación de archivos no fragmentados: La información sobre el inicio y el tamaño del archivo se destruye de forma permanente. El vínculo del nombre del archivo a su ubicación en el disco falta. Los métodos heurísticos permiten recuperar archivos no dañados de un tipo conocido. Al mismo tiempo, en UFS, rara vez se puede encontrar archivos no fragmentados debido a las especificaciones de su algoritmo de Soft Updates.

  • Recuperación de archivos fragmentados: La información sobre los primeros 12 bloques del archivo falta. Tampoco queda la información sobre el nombre y el tamaño del archivo. Las posibilidades de recuperar archivos eliminados son bastante bajas, sin embargo, esto es posible.

• Formateo: Todos los grupos de asignación, así como los nodos de archivos se borran.

  • Recuperación de archivos no fragmentados: La recuperación completa de archivos es posible con la heurística, aunque todavía se pierden los nombres de archivo iniciales.

  • Recuperación de archivos fragmentados: La recuperación de archivos no dañados sólo es posible con la ayuda de la heurística. Sin embargo, los resultados carecerán de nombres de archivo originales.

Sistema de archivos: ZFS

• Eliminación de archivos: El sistema de archivos gestiona todas las modificaciones con el método de Copiar en escrito (Copy-on-Write o COW): se crea una copia del bloque original y se le asigna el espacio de almacenamiento libre. Después de eso, los enlaces del bloque de datos se actualizan y el uberblock se reemplaza por un nuevo uberblock.

  • Recuperación de archivos: Según el uso del sistema de archivos y lo lleno que esté el grupo de almacenamiento (storage pool), las copias anteriores pueden permanecer durante mucho tiempo, lo que permite recuperar archivos con sus nombres iniciales en hasta el 100% de los casos. Con todo, como los datos están dispersos en bloques de tamaño dinámico en los discos del grupo ZFS, la recuperación es posible siempre que los metadatos del grupo de almacenamiento estén intactos y se puedan leer para ensamblar correctamente el almacenamiento.

Sugerencia: Consulte las instrucciones si necesita recuperar datos de los sistemas de archivos de Unix, Solaris o BSD.

Sistemas de archivos en clúster

SysDev Laboratories ofrece servicios de recuperación de datos de varios sistemas de archivos en clúster, como Apple Xsan (sistema de archivos CentraVision, sistema de archivos StorNext), RedHat Linux Global File System (GFS), VMware ESX Server Virtual Machine File System (VMFS). Si necesita recuperar datos de cualquiera de los sistemas de archivos anteriormente mencionados, contáctenos y solicite el servicio de recuperación remota.

Última actualización: el 05 de septiembre de 2022