Un empleado eliminó accidentalmente una carpeta de nuestro servidor de archivos. ¿Existe alguna forma de restaurar esta carpeta sin tener que restaurar nuestra copia de seguridad? (Ya que esto desharía mucho trabajo en las carpetas de otros usuarios). Las instantáneas no están habilitadas, por lo que no es una solución.
Además, ¿qué podríamos hacer para prevenir este problema en el futuro? ¿Podemos habilitar algún tipo de papelera de reciclaje en el servidor a la que se mueven (temporalmente) los archivos cuando se eliminan?
Respuesta1
NTFS no elimina inmediatamente el contenido de los archivos ni el nombre del archivo. Es posible que las entradas de MFT todavía estén allí, simplemente marcadas como eliminadas. Por lo tanto, es posible restaurar archivos marcando y eliminando el indicador "eliminado".
Sin embargo, tenga en cuenta que cuantos más cambios se realicen en el disco, menos probable será la recuperación. Además, no hay garantía de que el contenido del archivo no haya sido modificado mientras tanto. Es posible que haya habido un archivo diferente temporalmente, sobrescribiendo parte de tus datos. Por lo tanto, se recomienda encarecidamente realizar una verificación de integridad de los datos recuperados. En muchos casos esto no es posible (por ejemplo, archivos de texto que no tienen ningún tipo de suma de comprobación).
En la práctica, he utilizado con éxitoKit de herramientas forenses Lite de AccessDataque está disponible de forma gratuita. Ten cuidado con esto, puedes destruir todo tu disco. Deberías saber lo que estás haciendo, y si no conocías los detalles anteriores sobre NTFS, tal vez no deberías usarlo.