información. Cuando los ficheros se encuentran fragmentados, la información
sobre las distintas ubicaciones de las partes que lo componen es contenida en esas
tablas mencionadas anteriormente como es de suponer.
En los volúmenes NTFS, la MFT no se encuentra en un sector predefinido y
además, este puede variar en el tiempo si hay sectores defectuosos en la ubicación
actual de la MFT. Al arrancar, Windows consulta otro tipo de información en su
sector de arranque para poder localizar la actual tabla MFT en uso, si esos datos
están dañados, la MFT no puede ser localizada y Windows invitará al usuario a
formatear la partición.
Borrado de ficheros
Al borrar un archivo, en la inmensa mayoría de casos, realmente no se destruyen
los datos del fichero inmediatamente. En lugar de ello, el sistema de archivos hace
algunos cambios en la información de las tablas para informar que el archivo se ha
eliminado y el espacio físico donde estaba ubicado queda disponible para ser
usado. En algunos casos se conservan también todos los metadatos sobre el
archivo hasta que se sobrescriban con otros metadatos de un nuevo fichero
(Windows). Por el contrario, otros sistemas como Mac OS X destruyen por
completo el registro de archivo del fichero eliminado.
Si bien los sistemas operativos y sus sistemas de ficheros varían en el número de
metadatos guardados y su trato al eliminar archivos y carpetas, todos los sistemas
dejan los datos de archivo reales sin tocar hasta que sea necesario asignar ese
espacio a otro nuevo archivo. Esto hace que en algunos casos, ficheros borrados
hace mucho tiempo puedan ser recuperados si no se generaron muchos ficheros
nuevos en el sistema posteriormente. Hay aplicaciones de borrado seguro como
“srm” en sistemas GNU/Linux que permiten borrar de forma 100% segura
archivos.
Recuperación de archivos
Se debe tener claro que si los datos del disco se sobrescriben, los datos antiguos
desaparecen y ningún programa / método de recuperación de datos podrá
recuperarlos. Por eso siempre se recomienda no utilizar un disco del cual se quiera
rescatar información eliminada.
Para los archivos que no han sido sobrescritos, hay dos métodos básicos de
recuperación de archivos que la gran mayoría de software de recuperación de
datos implementa. Uno es usando los metadatos y/o haciendo lo que denominan
File carving (Recuperación de archivos en bruto).
A) Recuperación de archivos a través de análisis de la información sobre los
archivos y carpetas.
Este es el primer método que un programa de recuperación de archivos intenta
realizar. Si la zona de metadatos está accesible se podrán recuperar los archivos