Ham (Raw) Disk Veri Kurtarma: Bit-Bit İmaj, Sektör Kopyalama ve Carving

Hızlı Cevap: Ham (raw) disk veri kurtarma, arızalı bir diskten dosyaları tek tek kopyalamak yerine, diskin tüm yüzeyini sektör sektör, bit-bit bire bir kopyalama (imaj alma) ve sonra bu güvenli kopya üzerinde çalışma yaklaşımıdır. Bunun nedeni basittir: arızalı bir disk her okumada biraz daha ölür, bu yüzden ona en az dokunarak önce eksiksiz bir kopya alınır, asıl disk kasaya kaldırılır ve tüm kurtarma işi kopya üzerinde yapılır. Dosya sistemi bozuksa ya da silinmişse, dosyaları imaj içinden imzalarına (dosya başlık ve sonlarına) göre tarayıp geri kazanan tekniğe carving denir. Tüm bu süreçte alınan imajın bozulmadığını kanıtlamak için hash (MD5/SHA-256) doğrulaması kullanılır; bu, hem kurtarma güvenliği hem de adli geçerlilik için zorunludur.

Veri kurtarmada en kritik kural, arızalı diske mümkün olan en az müdahaleyi yapmaktır. Bu yüzden profesyonel bir laboratuvar, "diskten dosyalarını alalım" demez; önce diskin tamamının ham bir kopyasını çıkarır. Bunun neden hayati olduğunu ve "aynı diske yazmanın" neden ölümcül bir hata olduğunu veri kurtarma yazılımı aynı diske yazma neden ölümcül yazımızda anlattık. Disk RAW gösterip açılmıyorsa, yani dosya sistemi tanınmıyorsa, durumu disk RAW oldu, açılmıyor, formatsız veri kurtarma yazımızda ele aldık; bu yazı ise işin teknik omurgasına, ham imaj ve carving sürecine odaklanır.

Dosya kopyalama ile ham imaj arasındaki fark

Sıradan bir kopyalama, dosya sistemine sorar: "şu dosya nerede?" ve dosya sistemi cevap verirse o dosyayı alır. Ama dosya sistemi bozuksa, silinmişse ya da disk RAW gösteriyorsa, bu yöntem çalışmaz, çünkü "harita" bozuktur. Ham imaj ise dosya sistemini hiç dikkate almaz; diskin ilk sektöründen son sektörüne kadar her baytı, boş ya da dolu, silinmiş ya da sağlam, olduğu gibi kopyalar. Böylece elimizde diskin donmuş, eksiksiz bir anlık görüntüsü olur. Silinmiş dosyaların verisi, dosya sistemi onları "yok" saysa bile, fiziksel olarak diskte durduğu sürece bu imajın içindedir.

Bu yaklaşımın ikinci faydası güvenliktir. Arızalı bir disk sınırlı sayıda okumaya dayanır; her deneme onu biraz daha yıpratır. Ham imajı bir kez alıp asıl diski kasaya kaldırınca, bundan sonraki tüm analiz, kurtarma denemeleri ve hata olasılığı, asıl diske değil, güvenli kopyaya yansır. Asıl disk korunur.

Hata-toleranslı imaj alma: ddrescue ve donanım imajlayıcılar

Sağlam bir diskten imaj almak kolaydır, ama veri kurtarma genelde hatalı sektörlü disklerle uğraşır. Burada sıradan bir kopyalama aracı, ilk hatalı sektöre takılır ve durur ya da o sektöre defalarca asılıp diski öldürür. Hata-toleranslı imajlama bu sorunu çözer.

Açık kaynaklı GNU ddrescue, bu işin standart yazılım aracıdır. Çalışma mantığı akıllıdır: önce diskin kolay okunan, sağlam bölgelerini hızla kopyalar, hatalı bölgeleri işaretleyip atlar, sonra ikinci ve üçüncü geçişlerde yalnızca atladığı sorunlu bölgelere, farklı yönlerden ve daha sabırlı dener. Böylece en çok veri, diske en az yük bindirilerek kurtarılır. ddrescue bir harita (mapfile) tutar; işlem yarıda kesilse bile kaldığı yerden devam eder.

Ciddi donanım arızalarında, yazılım yetmez ve donanım imajlayıcılar devreye girer. PC-3000 ve DeepSpar gibi sistemler, okuma zaman aşımını, deneme sayısını ve kafa seçimini donanım düzeyinde kontrol ederek ddrescue'nin yapamadığı kadar hassas çalışır. Bu cihazları ve farklarını PC-3000 nedir ve DeepSpar disk imager bad sector klonlama yazılarımızda anlattık. Mekanik arıza varsa (tıkırtı, kafa hasarı), önce temiz odada onarım gerekir; temiz oda nedir yazımıza bakın.

Carving: dosya sistemi olmadan dosyaları geri kazanmak

İmaj alındıktan sonra, ideal durumda dosya sistemi (NTFS, exFAT, ext4) okunur ve dosyalar yapısıyla birlikte çıkarılır. Ama dosya sistemi tablosu bozuksa ya da disk biçimlendirildiyse, "harita" yoktur. İşte burada carving (dosya oyma) devreye girer.

Carving, dosya sistemine hiç bakmadan, ham imajı baştan sona tarar ve dosyaların karakteristik imzalarını arar. Çoğu dosya türünün belirli bir başlık (magic number) ve çoğu zaman bir bitiş işareti vardır: bir JPEG belirli baytlarla başlar, bir PDF "%PDF" ile başlar, bir ZIP "PK" ile başlar. Carving aracı bu imzaları bulur ve aradaki veriyi dosya olarak yeniden inşa eder. Açık kaynaklı PhotoRec, bu işin en bilinen aracıdır ve onu TestDisk PhotoRec ücretsiz veri kurtarma rehberi yazımızda anlattık.

Carving güçlüdür ama sınırlıdır. Dosya adlarını ve klasör yapısını çoğu zaman geri getiremez, çünkü bu bilgi dosya sisteminde tutulur, dosyanın içinde değil. Ayrıca diskte parçalı (fragmented) saklanmış, yani fiziksel olarak bölük bölük dağılmış bir dosya, carving ile eksik ya da bozuk çıkabilir. Bu yüzden mümkünse önce dosya sistemi onarımı denenir, carving son çare olarak kullanılır.

Yöntem Ne zaman Geri getirir Sınır
Dosya sistemi okuma Dosya sistemi sağlamsa Dosya + ad + klasör Bozuk tabloda çalışmaz
Dosya sistemi onarımı Tablo kısmen bozuksa Yapıyı çoğunlukla Ağır hasar kurtarılamaz
Carving Tablo yoksa/format Dosya içeriği Ad/klasör yok, parçalı dosya riski

Hash doğrulama: bütünlüğün kanıtı

Ham imaj alındığında, imajın asıl diskin birebir aynısı olduğunu ve sonradan değişmediğini kanıtlamak gerekir. Bunun yolu kriptografik özet (hash) almaktır. İmaj alınırken hem asıl diskin hem imajın MD5 ya da SHA-256 özeti hesaplanır; ikisi aynıysa kopya birebirdir. Sonradan herhangi bir analiz imajı değiştirseydi, özet tutmazdı. Hash doğrulamanın nasıl çalıştığını ve neden bir tek bitlik değişikliğin bile özeti tamamen değiştirdiğini hash doğrulama nedir, MD5 SHA-1 SHA-256 yazımızda anlattık.

Bu adım, sıradan veri kurtarmada bile iyi bir uygulamadır, ama adli bilişimde zorunludur. Bir mahkemede delilin geçerli olması için, ele geçirildiği andan itibaren değişmediğinin hash ile kanıtlanması ve delil zincirinin (chain of custody) korunması gerekir. Bu hukuki çerçeveyi adli bilişim süreci, KVKK ve delil zinciri yazımızda ele aldık. Adli imaj almanın standartları için NIST SP 800-86 referans alınır.

Tipik bir ham kurtarma akışı

  1. Değerlendirme: Diskin arızası belirlenir; mekanik hasar varsa önce temiz odada onarım yapılır.
  2. Bire bir imaj: Disk salt-okunur biçimde, hata-toleranslı bir araçla (ddrescue ya da donanım imajlayıcı) bit-bit kopyalanır; harita dosyası tutulur.
  3. Hash: İmajın özeti hesaplanır ve kaydedilir; bütünlük kanıtlanır.
  4. Asıl disk kasaya: Bundan sonra tüm işlem kopya üzerinde yapılır, asıl diske dokunulmaz.
  5. Dosya sistemi: Mümkünse dosya sistemi onarılıp dosyalar yapısıyla çıkarılır.
  6. Carving: Dosya sistemi yoksa, imaj imzalara göre taranıp dosyalar geri kazanılır.
  7. Doğrulama ve teslim: Kurtarılan dosyalar açılıp bütünlüğü kontrol edilir, ayrı bir ortama teslim edilir.

Yazma koruması neden şart

Ham imaj almanın temel kuralı, asıl diske tek bir bayt bile yazmamaktır. Ama işletim sistemleri, bir disk bağlandığında ona sessizce yazmaya meyillidir: Windows bir geri dönüşüm kutusu ya da indeksleme dosyası oluşturabilir, bir dosya sistemi günlüğü (journal) güncellenebilir, hatta diski "bağlama" eylemi bile bazı meta verileri değiştirebilir. Tek bir yazma, silinmiş bir dosyanın tam da kurtarmaya çalıştığınız verisinin üzerine düşebilir.

Bunu önlemek için yazma engelleyici (write blocker) kullanılır. Yazma engelleyici, bilgisayar ile disk arasına giren, okuma komutlarını geçiren ama yazma komutlarını donanım düzeyinde bloklayan bir aygıttır. Böylece disk salt-okunur olarak bağlanır ve asıl verinin değişmediği garanti altına alınır. Donanım yazma engelleyiciler, adli incelemenin standart ekipmanıdır; yazılım tabanlı engelleme de vardır ama donanım, daha güçlü bir garanti sunar.

Bu, neden "veri kurtarma yazılımını aynı diske kurmanın" ölümcül olduğunu da açıklar: yazılımı kurmak, taramak ve kurtarılanı aynı diske yazmak, tam da korumaya çalıştığınız veriyi ezer. Bu hatayı veri kurtarma yazılımı aynı diske yazma neden ölümcül yazımızda ayrıntılı anlattık.

Parçalanma ve carving'in sınırı

Carving'in en büyük düşmanı, dosya parçalanmasıdır (fragmentation). İdeal durumda bir dosya, diskte ardışık sektörlerde, baştan sona kesintisiz durur; carving aracı başlığı bulur, sonu bulur ve aradaki her şeyi tek parça olarak çıkarır. Ama gerçek disklerde, özellikle dolu ve uzun süre kullanılmış disklerde, bir dosya fiziksel olarak farklı bölgelere bölünmüş olabilir.

Carving, dosya sistemine bakmadığı için, bir dosyanın nereye dağıldığını bilmez. Parçalı bir dosyada carving aracı, başlangıçtan itibaren ardışık okuduğu için, dosyanın ikinci parçasının yerine araya giren başka bir veriyi alabilir; sonuç bozuk ya da eksik bir dosyadır. Bu yüzden carving, sürekli (contiguous) saklanmış dosyalarda çok başarılı, ağır parçalanmış dosyalarda ise kısmen başarılıdır. Modern dosya sistemleri parçalanmayı azaltmaya çalışsa da, tamamen ortadan kaldıramaz.

Hangi dosya türleri carving ile iyi kurtarılır

Tüm dosya türleri carving'e eşit yanıt vermez; bu, belirgin bir imzaya ve yapıya sahip olup olmamalarına bağlıdır.

Dosya türü Carving başarısı Neden
JPEG, PNG fotoğraf Yüksek Net başlık ve sonlandırıcı, çoğu küçük ve sürekli
PDF, Office (docx, xlsx) Orta-yüksek Belirgin imza, ama büyük dosyalar parçalanabilir
ZIP, RAR arşiv Orta İmza var ama parçalanma ve bozulmaya duyarlı
Video (MP4, MOV) Düşük-orta Büyük ve sıklıkla parçalanmış, eksik çıkabilir
Veritabanı, sanal disk Düşük Çok büyük, neredeyse her zaman parçalı
Düz metin, log Düşük Net imza yok, başlangıç ve sonu belirsiz

Bu tablo, neden bir kurtarmada "fotoğraflarınızın çoğu geldi ama o büyük video eksik" gibi sonuçların normal olduğunu açıklar. İdeal sonuç için her zaman önce dosya sistemi onarımı denenir; carving, dosya sistemi tamamen kayıpsa devreye giren güçlü ama sınırlı bir son çaredir. Carving araçlarından PhotoRec'in pratik kullanımını TestDisk PhotoRec ücretsiz veri kurtarma rehberi yazımızda gösterdik.

Sıkça Sorulan Sorular

Ham imaj ile dosya kopyalama farkı nedir? Dosya kopyalama dosya sistemine güvenir ve yalnızca görünen dosyaları alır; ham imaj dosya sistemini yok sayıp diskin her baytını kopyalar, böylece silinmiş ve gizli veri de kopyaya dahil olur.

Carving silinmiş dosyaları geri getirir mi? Çoğu zaman dosya içeriğini geri getirir, ama dosya adını ve klasör yapısını genelde getiremez; parçalı saklanmış dosyalar eksik çıkabilir.

Neden imaj alıp asıl diske dokunulmuyor? Arızalı disk her okumada biraz daha bozulur; bir kez güvenli kopya alıp asıl diski kaldırmak, geri kalan tüm denemelerin riskini kopyaya taşır ve asıl veriyi korur.

Hash neden gerekli? İmajın asıl diskin birebir aynısı olduğunu ve sonradan değişmediğini matematiksel olarak kanıtlar; adli süreçte delilin mahkemede geçerli olması için zorunludur.

Kaynaklar

Arızalı ya da RAW gösteren bir diskten ham imaj ve carving ile profesyonel kurtarma için DSET ile iletişime geçin.