Ситуации, когда приходится объяснять, отчего стоимость тех или иных услуг именно такая, а не какая-то другая, случаются не только в IT, но и в целом во всей сфере оказания услуг. Я уже писал о том, как и почему стоимость той или иной услуги по восстановлению данных составляет именно ту сумму, которую вам озвучили, однако вопросов не становится меньше, поэтому было принято решение разложить прайс на пять частей (логические проблемы, проблемы в служебной области накопителя, замена блока магнитных головок, прочие физические проблемы, дисковые массивы) и по каждой из этих частей написать подробную статью. Перед вами первая часть из запланированных пяти — о том, из чего складывается стоимость логического восстановления данных.

Что такое логические проблемы? Под этим общим названием принято понимать те случаи, когда накопитель физически исправен, но по каким-то причинам пользователь не может получить доступ к своим данным. Замечу сразу, что при некоторых проблемах со служебной зоной поведение накопителя может быть таким же: накопитель исправен, но доступа к данным нет. Какая именно проблема приключилась с конкретным диском, можно выяснить в ходе диагностики, которая у нас бесплатна.

Логические проблемы условно можно разделить на следующие типы:

• Полная или частичная перезапись данных (переустановка операционной системы без предварительного резервирования данных; удаление информации с последующей записью новых данных; и т.п.).
• Форматирование раздела.
• Удаление информации.
• Шифрование данных (как инициированное вирусом-шифровальщиком, так и самим пользователем).
• Ошибки операционной системы (запись в сектора модифицированных или неверных данных).
• Проблемы интерфейса (криво установленный кабель, в результате чего происходит искажение сигнала и запись неверных данных; помехи от сильного источника электромагнитного поля, приводящие к искажению сигнала; и т.п.).
• Преднамеренное или непреднамеренное изменение структуры данных (например, замещение некоторых секций файла другими секциями того же или другого файла).

Полная или частичная перезапись данных

Перезапись данных всегда приводит к невозможности 100%-ного восстановления информации. Наиболее распространена переустановка операционной системы без предварительного резервирования данных.

Стоимость работ по извлечению информации после ее перезаписи варьирует в широких пределах. В нашей лаборатории вы можете получить эту услугу по цене от 1000 до 5000 сомов в зависимости от сложности. В лабораториях крупнейших мировых центров по восстановлению информации (с некоторыми из них мы имеем партнерские отношения, поэтому в некоторых случаях мы можем помочь через наших партнеров) стоимость таких работ может составлять до нескольких сотен тысяч долларов. Такая цена возможна в случаях, когда производится восстановление данных по остаточной намагниченности с использованием туннельного электронного микроскопа. Это кропотливая, длительная и непростая процедура, требующая дорогостоящего оборудования (туннельного микроскопа) и программного обеспечения (сшивающего RAW-споты слоев остаточной намагниченности в треки и декодирующего их в бинарном виде).

Стоимость услуги по восстановлению данных после перезаписи в нашей лаборатории складывается из следующих компонент:

1. Создание посекторного клона накопителя, с которого производится восстановление данных (все операции мы производим с клоном для того, чтобы исключить любой риск повреждения исходных данных).
2. Сканирование текущей файловой системы для определения карты секторов, которые используются в ней.
3. Создание карты секторов, не использующихся в текущей файловой системе.
4. Поиск валидных данных в обеих созданных картах, выливка данных на диск-приемник.
5. Анализ полученного результата, удаление поврежденных файлов.
6. Амортизация ПО, используемого для восстановления информации.
7. Амортизация используемого для подключения диска в режиме «только чтение» оборудования.
8. Накладные расходы (электроэнергия, аренда и т.п.).
9. Заложенная прибыль.

Работа может проводиться не в один проход. Финальная стоимость зависит от того, какой объем данных нам придется обрабатывать — чем больше объем, тем больше на работы требуется времени, тем большее время будет занято специальное оборудование и тем выше будет окончательная стоимость работ.

Форматирование раздела

Также, как и предыдущая проблема, является одной из наиболее широко распространенных. Форматирование раздела может происходить как случайно, так и намеренно. Результат: раздел имеется, данных в нем нет.

Стоимость восстановления данных из разделов после форматирования варьирует от 1000 до 10000 сомов. Складывается она из следующих моментов:

1. Создание посекторного клона накопителя, с которого производится восстановление данных (все операции мы производим с клоном для того, чтобы исключить любой риск повреждения исходных данных).
2. Сканирование файловой системы и реконструкция ее структуры до форматирования.
3. Выливка данных на внешний приемник.
4. Анализ полученного результата, уточняющее сканирование накопителя, если результат неудовлетворительный.
5. Амортизация ПО, используемого для восстановления информации.
6. Амортизация используемого для подключения диска в режиме «только чтение» оборудования.
7. Накладные расходы (электроэнергия, аренда и т.п.).
8. Заложенная прибыль.

В случае с форматированием раздела цена работ зависит от объема накопителя (чем он больше, тем больше требуется времени на производство работ и тем выше, соответственно, их стоимость) и от типа раздела. Дешевле всего восстановить данные из форматированных разделов NTFS, так как структурные особенности разделов этого типа позволяют полностью реконструировать исходную файловую систему с минимальными затратами времени. Наиболее дорогими для восстановления информации после форматирования являются разделы FAT и ZFS, так как их структурные особенности требуют больших объемов ручной работы (в первом случае как результат фрагментации, во втором — сжатия информации).

Удаление информации

Довольно часто бывает так, что пользователь или третье лицо случайно удаляет нужный файл или папку. Восстановление данных в этом случае достаточно непредсказуемо — если данные удалены с жесткого диска, и после удаления работа с ним не велась, то шансы на восстановление достаточно велики. Если данные удалены с телефона или SSD, шансы на восстановление обратно пропорциональны времени использования устройства после удаления файла.

Стоимость работ по восстановлению удаленных данных складывается из следующих моментов:

1. Безопасное подключение и подготовка носителя к извлечению данных.
2. Сканирование файловой системы и поиск удаленных файлов.
3. Копирование найденных данных на внешний приемник.
4. Анализ полученного результата, уточняющее сканирование накопителя, если результат неудовлетворительный.
5. Амортизация ПО, используемого для восстановления удаленных файлов.
6. Амортизация оборудования, используемого для подключения накопителя в режиме «только чтение».
7. Накладные расходы (электроэнергия, аренда и т.п.).
8. Заложенная прибыль.

Средний ценник на восстановление удаленных файлов с жесткого диска в настоящее время составляет 1000 сом, с телефона 3000 сом.

Шифрование данных

Данные могут быть зашифрованы как вирусом-шифровальщиком, так и самим пользователем (BitLocker, FileVault, EFS и пр.). В первом случае вирус сам сообщает о том, что данные зашифрованы, и начинает вымогать вознаграждение за расшифровку. Во втором случае проблемы обычно возникают в трех случаях:

1. Возникновение на накопителе дефектных секторов, приводящих к проблемам с штатной расшифровкой.
2. Переустановка системы без учета того, что данные были зашифрованы (при этом теряются ключи шифрования).
3. Утеря информации о ключах или паролях (забыли, потеряли листок где это записано, и пр.).

Стоимость услуги восстановления данных в случае с их зашифровкой варьирует от 7000 до 10000 сом в случае если это шифрованная файловая система (BitLocker, FileVault, TrueCrypt и пр.); в случае, если данные зашифрованы вирусом, стоимость расшифровки может составлять до 25000 сом. Из чего складывается данная услуга:

1. Создание посекторного клона накопителя, с которого производится восстановление данных (все операции мы производим с клоном для того, чтобы исключить любой риск повреждения исходных данных).
2. Сканирование накопителя, поиск информации для восстановления (ключи шифрования, метаданные и пр.).
3. Применение ключей шифрования, потоковая расшифровка данных на внешний диск-приемник.
4. Анализ полученного результата, уточняющее сканирование накопителя, если результат неудовлетворительный.
5. Амортизация ПО, используемого для восстановления информации.
6. Поиск алгоритмов шифрования в ручном режиме, если они не были обнаружены в автоматическом.
7. Амортизация используемого для подключения диска в режиме «только чтение» оборудования.
8. Накладные расходы (электроэнергия, аренда и т.п.).
9. Заложенная прибыль.

Высокая стоимость расшифровки данных в нестандартных случаях объясняется большим количеством ручной работы. Если дело касается стандартных случаев шифрования (BitLocker, FileVault), стоимость ниже, и зависит главным образом от того, насколько долго будет занят специализированный ПАК для извлечения данных.

Ошибки операционной системы

В некоторых случаях потеря данных может быть следствием некорректной работы операционной системы. Такие случаи достаточно редки, однако они все же встречаются. Наиболее распространенным типом ошибки при этом является работа штатной программы проверки диска checkdisk в ОС Windows.

Работа этой программы направлена на то, чтобы выявить и исправить ошибки файловой системы жесткого диска. При этом, если выявляются ошибки, связанные с дефектными секторами (например, повреждена часть записей в MFT), то данные, которые относятся к этим ошибкам, программа переносит (именно переносит, а не копирует) в особые папки, которые сама создает на диске. Чем это чревато? Во-первых, при больших объемах таких переносов может возникать перезапись данных. Во-вторых, программа не гарантирует, что будет произведен перенос всего файла.

Возможны и другие ошибки работы ОС, приводящие к утере доступа к данным — например, запись неверных данных в заголовок раздела или в файловые таблицы.

Работа с ошибками операционной системы тарифицируется также, как работа с удаленными данными, и составляет обычно 1000 сом. Что сюда входит:

1. Безопасное подключение и подготовка носителя к извлечению данных.
2. Сканирование файловой системы и поиск ошибок ОС.
3. Копирование найденных данных на внешний приемник.
4. Анализ полученного результата, уточняющее сканирование, если результат неудовлетворительный.
5. Амортизация ПО, используемого для восстановления удаленных файлов.
6. Амортизация оборудования, используемого для подключения накопителя в режиме «только чтение».
7. Накладные расходы (электроэнергия, аренда и т.п.).
8. Заложенная прибыль.

Проблемы интерфейса

Встречаются крайне редко, являются наиболее сложно диагностируемыми логическими проблемами с наиболее сложными методами восстановления. Стоимость работ с такими заказами составляет от 5000 сом за 1 Тбайт емкости диска.

В чем проявляются такие неисправности? При неправильной установке коннектора data-кабеля (будь то SATA, SAS/SCSI или USB) нестабильный контакт приводит к искажениям записи информации, имеющим определенный повторяемый характер. Например, одна из линий данных может вместо байтов 00h записывать FFh. При этом файл будет записан на устройство, но при его работе будут возникать ошибки: он либо не будет запускаться вообще, либо после запуска его содержимое будет искажено или повреждено.

Для восстановления поврежденных таким образом данных потребуется сделать следующее:

• Обнаружить все сектора, в которых имеются поврежденные или модифицированные данные;
• Настроить скрипт-машину таким образом, чтобы произвести пакетное потоковое исправление ошибок;
• Проконтролировать результат.

Таким образом, в стоимость работ указанного типа заложены следующие моменты:

1. Безопасное подключение и подготовка носителя к извлечению данных.
2. Создание посекторной копии накопителя.
3. Определение алгоритма повреждения данных.
4. Настройка скрипт-машины на потоковое пакетное исправление повреждений.
5. Анализ полученного результата, уточняющее сканирование, если результат неудовлетворительный.
6. Амортизация ПО, используемого для восстановления удаленных файлов.
7. Амортизация оборудования, используемого для подключения накопителя в режиме «только чтение».
8. Накладные расходы (электроэнергия, аренда и т.п.).
9. Заложенная прибыль.

Преднамеренное или непреднамеренное изменение структуры данных

Встречается еще реже, чем предыдущий тип логических неисправностей. Суть проблемы заключается в том, что в определенном файле часть данных замещается другими, не имеющими отношения к этому файлу. Как правило, это происходит при сбоях операций переноса или копирования. Также, как правило, замещенные данные на целевом носителе имеются, но являются «потерянными».

Работы в этом случае заключаются в поиске утерянных фрагментов данных и «посадке» их на место. Задача эта весьма нетривиальна, так как требует глубокого знания форматов файлов, с которыми производятся работы, а также, обычно, кропотливого поиска утерянных фрагментов данных в ручном режиме. Проблема в том, что обычно RAW-данные в фрагментированном виде не имеют уникальных структур, позволяющих их обнаруживать автоматически (таких, как заголовки), поэтому их поиск возможен только вручную.

Стоимость работ по восстановлению работоспособности единичного файла составляет от 500 до 10 000 сом и зависит от его типа, размера и характера повреждений. В эти работы закладываются:

1. Безопасное подключение и подготовка носителя к извлечению данных.
2. Определение алгоритма повреждения данных.
3. Поиск фрагментов утерянных данных.
4. Анализ полученного результата, уточняющее сканирование, если результат неудовлетворительный.
5. Амортизация ПО, используемого для восстановления удаленных файлов.
6. Амортизация оборудования, используемого для подключения накопителя в режиме «только чтение».
7. Накладные расходы (электроэнергия, аренда и т.п.).
8. Заложенная прибыль.

Заключение

Как видите, стоимость восстановления информации даже в относительно «легких» случаях логических проблем складывается из массы моментов, однако основными являются оборудование и ПО. И то, и другое имеет приличную стоимость; например, комплект оборудования компании ACE Lab для восстановления данных с жестких дисков (ПАК РС-3000) имеет стоимость 1500 долларов США в минимальной комплектации. Как профессиональный сервис, мы используем десятки наименований различного оборудования, имеющего аналогичную стоимость.

В следующей части этой статьи мы расскажем о том, из чего складывается стоимость работ при восстановлении информации с накопителей с проблемами в служебной зоне.