Yanlışlıkla biçimlendirilen Toshiba MQ01ABD100 model, 1 TB kapasiteli bir sabit disk Datotex laboratuvarına ulaştı. Biçimlendirme sonrasında eski dosyalara erişilemiyordu. İncelememizde diskin bazı alanlarında okuma sorunlarıyla da karşılaştık.
Bu nedenle çalışmayı doğrudan disk üzerinde sürdürmek yerine, önce kontrollü bir sektör kopyası oluşturduk. Eski dosya ve klasörleri bu kopya üzerinden araştırdık.
Disk tanınıyordu, ancak eski dosyalar görünmüyordu
İlk inceleme için diski MRT Ultra sistemine bağladık. Model, kapasite ve kimlik bilgilerinin okunabildiğini kontrol ettikten sonra Data Explorer üzerinden disk yapısını inceledik.
Disk tanınıyor ve mevcut bölüm tablosu okunabiliyordu. Ancak karşımıza biçimlendirme sonrasında oluşturulmuş yeni bir NTFS dosya sistemi çıkıyordu. Müşterinin biçimlendirme öncesinde kullandığı dosya ve klasörler bu yapıda görünmüyordu.
Diskin bilgisayar tarafından tanınması, eski verilerin de erişilebilir olduğu anlamına gelmiyordu. Yeni dosya sisteminin dışında kalan eski kayıtları ayrıca incelememiz gerekiyordu.
Okuma sorunları nedeniyle önce disk imajını aldık
Bu vakada biçimlendirmeye ek olarak okuma problemleri de vardı. Kaynak diski tekrar tekrar taramak yerine, MRT üzerinden kontrollü sektör bazlı imaj alma işlemine geçtik.
Disk imajı, okunabilen sektörlerin başka bir ortama kopyalanmasıdır. Böylece dosya arama ve analiz işlemlerini kaynak diski yeniden okumadan, oluşturduğumuz kopya üzerinde sürdürebildik.
İmaj alma aşamasının ardından dosya sistemi incelemesine geçtik.
Disk imajında eski NTFS kayıtlarını araştırdık
Oluşturduğumuz imajı UFS Explorer Professional Recovery ile taradık. Burada yalnızca yeni oluşturulmuş bölümde görünen dosyalara değil, biçimlendirme öncesinden kalan dosya ve klasör kayıtlarına da baktık.
Ön analizde 351,22 GB veri ve 207.634 dosya kaydı tespit edildi. Bunlar arasında belge, fotoğraf, video, arşiv ve diğer kullanıcı dosyalarına ait kayıtlar bulunuyordu.
Dosya adlarının ve klasör yapılarının önemli bir bölümüne ulaşabildik. Bu, verileri yalnızca dosya türlerine göre toplamak yerine, mümkün olduğu ölçüde eski dizin düzeniyle çıkarmamızı sağladı.
Buradaki önemli ayrım şu: Taramada bir dosya kaydının bulunması, o dosyanın mutlaka eksiksiz ve açılabilir olduğu anlamına gelmez. Ön analizdeki sayılar tespit edilen kapsamı gösterir; tek başına sağlam dosya veya teslim miktarı değildir.
Geri Dönüşüm Kutusu kayıtlarını da inceledik
Tarama sırasında Windows’un $RECYCLE.BIN klasöründe, daha önce Geri Dönüşüm Kutusu’na taşınmış dosyalara ait kayıtlar da bulundu.
Bu kayıtlar üzerinden elde edebildiğimiz dosyaları diğer kullanıcı verilerinden ayrı düzenledik. Böylece biçimlendirme öncesinde kullanılan klasörlerle, Geri Dönüşüm Kutusu’ndan çıkarılan dosyaların birbirine karışmasını önledik.
Çalışmanın sonucu
Disk imajı üzerinde yaptığımız incelemeler sonucunda biçimlendirme öncesine ait verilere eriştik. Kurtarma çalışmasını tamamlayarak elde edilen verileri müşterimize teslim ettik.
Bu vaka, biçimlendirilmiş bir diskte eski dosya kayıtlarının hâlâ bulunabileceğini gösteriyor. Ancak aynı sonucu her disk için beklemek doğru değil. Biçimlendirmeden sonra diskin kullanılıp kullanılmadığı, eski verilerin üzerine yeni veri yazılması ve diskin okunabilir durumu sonucu etkiler.
Benzer bir durumda disk üzerine yeni dosya kaydetmemek, yeniden biçimlendirmemek ve kurtarılan dosyaları aynı diske yazmamak önemlidir. Özellikle okuma sorunu da varsa, tekrar tekrar tarama yapmak yerine önce diskin durumunun değerlendirilmesi gerekir.
Datotex’te uyguladığımız inceleme süreci hakkında bilgi almak için harddisk veri kurtarma hizmetimizi (https://datotex.com/hizmetler/harddisk-veri-kurtarma/) inceleyebilirsiniz
