Haage&Partner HAAGE&PARTNER

IntelligentScan-Technologie


R-Studio verwendet die einzigartige IntelligentScan-Technologie um Dateien in den untersuchten Bereichen wiederherzustellen.

Während der ausgewählte Bereich untersucht wird, liest R-Studio Daten direkt vom Datenträger, analysiert sie und versucht dann die Datensätze zu bestimmen, die zu den Daten gehören. Die folgenden Datensatztypen sind möglich:

1. MBR-Datensatz
2. NTFS-Bootsektor-Datensatz
3. FAT-Bootsektor-Datensatz
4. MFT-Datensatz
5. NTFS-Verzeichnisdatensatz
6. FAT-Datensatz
7. FAT-Verzeichnisdatensatz
8. Ext2FS-SuperBlocks-Datensatz
9. UFS/FFS Superblock-Datensatz
10. HFS/HFS+ Volume-Header
11. HFS/HFS+ B-Tree+ Node


Alle diese Datensatztypen haben verschiedene, jedoch bekannte, Strukturen. Durch das Wissen über gültige Werte für die Datensatzfelder und die Verbindungen zwischen ihnen für jeden Datensatztyp, kann R-Studio einen Datensatztyp für die Daten bestimmen. Wenn der Datensatztyp nicht eindeutig bestimmt werden kann, dann wird der Datensatztyp zugeordnet, der am wahrscheinlichsten ist. Die gleichen Daten können verschiedenen Datensatztypen zugeordnet werden, wobei jede Zuordnung eine bestimmte Wahrscheinlichkeit hat. Eine Liste der möglichen Dateien wird aus diesen Datensätzen erzeugt.

R-Studio erzeugt eine Datensatzliste für jeden Datensatztyp. Diese Liste enthält Verweise zu den Datensätzen, die einem Datensatztyp zugeordnet sind, die aus der Liste mit den Zuordnungswahrscheinlichkeiten erstellt wurde. Die gleichen Daten können in verschiedenen Datensatzlisten einbezogen werden. R-Studio analysiert dann die Verbindungen zwischen den Elementen in jeder Liste und zwischen den verschiedenen Listen und erzeugt eine Liste der gefundenen Partitionen und ihren Parametern (Partitionsanfangspunkt und wahrscheinliche Größe, Dateisystemtyp, Clustergröße und Existenzwahrscheinlichkeit).

Mit Hilfe der Dateiliste und der Partitionenliste rekonstruiert R-Studio das Dateisystem und die Dateien in den gefundenen Partitionen. Eine Datei kann mehreren verschiedenen Partitionen zugeschrieben werden.

Wenn ein ganzer Datenträger oder ein Teilbereich davon untersucht wurde, dann zeigt R-Studio alle gefundenen Partitionen an. Die Parameter der gefundenen Partitionen können manuell korrigiert werden, wenn zusätzliche Informationen auf ihnen verfügbar sind.

Mit der IntelligentScan-Technologie kann R-Studio nicht nur auf neuen oder bestehenden Partitionen wiederherstellen. Auch Daten auf Partitionen die gelöscht oder neu formatiert wurden, können gefunden und wiederhergestellt werden. Wenn, beispielsweise eine NTFS-Partition als FAT-Partition neu formatiert wurde, dann zeigt R-Studio zwei Partitionen am gleichen Platz auf dem Datenträger an, eine mit dem FAT-Dateisystem und eine mit NTFS. Die gefundenen Dateien können dann wiederhergestellt werden.

Die IntelligentScan-Technologie macht R-Studio zu einem sehr mächtigen Werkzeug, aber sie ist nicht allmächtig. Da für die Datenrekonstruktion eine Annäherung nach der Wahrscheinlichkeitstheorie verwendet wird, können keine 100% richtigen Resultate garantiert werden. Auch wenn R-Studio die Datenstruktur richtig rekonstruiert hat, kann nicht garantiert werden, dass alle gefundenen Dateien komplett und richtig wiederhergestellt wurden, da sie schon von neuen Daten überschrieben worden sein können.