File Carving Dengan PhotoRec: Yang Bisa Kembali dan Yang Tidak Akan Pernah

File Carving Dengan PhotoRec: Yang Bisa Kembali dan Yang Tidak Akan Pernah

Isi file sering kali bisa kembali. Nama file, folder, dan tanggalnya kemungkinan besar tidak akan pernah. Memahami kenapa garis pisah itu ada membedakan recovery yang berakhir baik dari klien yang merasa tertipu saat serah terima.

Pekerjaan drive NTFS biasanya dimulai sama: disk eksternal yang tiba-tiba dilaporkan Windows sebagai RAW, isinya dokumen kantor bertahun-tahun, tanpa backup. Pertanyaan klien selalu "file saya bisa balik?" Jawaban jujurnya punya dua sisi, dan keduanya perlu dijelaskan di awal.

Perbaiki filesystem dulu, carving paling akhir

Carving — memulung file dari sisa data berdasarkan ciri khas isinya — adalah jalan terakhir, bukan langkah pertama. Volume NTFS yang tidak mau mount sering kali masih punya Master File Table utuh di balik boot sector rusak atau dirty flag. Perbaikan level filesystem — ntfsfix di Linux, disusul mount read-only — mengembalikan seluruh volume lengkap dengan nama, folder, dan timestamp persis seperti semula.

Kalau itu berhasil, pekerjaan selesai dalam satu jam dan klien tidak pernah perlu tahu apa itu carving.

Kerjakan di image drive, bukan di drive-nya langsung, begitu hardware menunjukkan tanda-tanda kerusakan fisik. Setiap pembacaan dari disk yang memburuk seperti menarik uang dari saldo yang makin tipis. Tarik sekali saja — buat file image, lalu jalankan semua percobaan recovery pada salinannya.

Cara kerja signature carving

Bayangkan buku yang halaman judulnya sobek, tapi Anda tetap bisa mengenali isinya dari gaya tulisan dan kalimat pembuka tiap bab. Itu persis yang dilakukan PhotoRec pada file.

Saat filesystem benar-benar hancur, PhotoRec mengabaikannya sepenuhnya. Ia memindai sektor mentah mencari signature, magic bytes pembuka format file yang dikenal. Kontainer ZIP (yang sebenarnya adalah isi .docx atau .xlsx) diawali PK; JPEG diawali FF D8; PDF diawali %PDF. Begitu signature muncul, PhotoRec membaca maju sampai penanda akhir format itu atau sampai datanya tidak lagi masuk akal, lalu menulis hasilnya sebagai file terpulihkan.

Inilah kenapa carving tetap bekerja saat yang lain gagal. Isi file ada di data cluster, dan cluster itu biasanya tak tersentuh walau struktur yang menamai dan menatanya sudah hancur.

Yang tidak akan pernah kembali

Nama file, struktur direktori, dan timestamp tidak disimpan di dalam isi file. Di NTFS, semuanya ada di MFT. Saat MFT hilang, metadata itu ikut hilang, dan tidak ada tool carving yang bisa merekonstruksinya, karena informasinya secara fisik sudah tidak ada.

Sebagai gantinya, Anda mendapat skema penamaan output PhotoRec: f0030136.docx, f0030194.xlsx, ribuan jumlahnya, di direktori bernomor yang datar.

Di pekerjaan yang melatari artikel ini, sekitar 1.600 dokumen kantor kembali utuh dan terbaca. Semuanya tanpa nama. Itu carving yang sukses. Tapi bagi klien yang mengharapkan pohon foldernya, itu juga kejutan. Karena itulah percakapannya dilakukan sebelum pekerjaan dimulai, bukan sesudahnya.

Menyortir ribuan file tanpa nama

Tumpukan file f*.docx bukan deliverable. Triase-lah yang membuat jasa ini bernilai.

1. Urutkan per tipe dan ukuran dulu. Ekstensinya bisa dipercaya, PhotoRec menetapkannya dari signature. File mungil biasanya template dan fragmen; file pekerjaan asli klien umumnya berukuran menengah.
2. Gali metadata internalnya. Format Office membawa author, title, dan tanggal pembuatan di dalam kontainer ZIP-nya, dan itu selamat dari carving. Script yang membaca docProps/core.xml dari tiap dokumen lalu mengganti nama file dari title dan tanggal tertanamnya bisa memulihkan nama lebih banyak file daripada yang Anda duga.
3. Full-text index sisanya. Untuk file tanpa metadata berguna, mengindeks teks hasil ekstraksi membuat klien bisa mencari berdasarkan yang mereka ingat — nama proyek, nama klien, alamat — daripada menggulir thumbnail.

Titik lemah carving: fragmentasi

Carving berasumsi cluster sebuah file bersambungan. File terfragmentasi — umum pada dokumen besar berumur panjang dan file mailbox di drive yang lama berjalan nyaris penuh — awalnya di satu tempat dan sambungannya di tempat lain. PhotoRec membaca terus melewati celah itu dan ikut menyalin data yang tidak ada hubungannya.

Hasilnya file yang terbuka tapi berubah jadi sampah di tengah jalan, atau tidak terbuka sama sekali. File kecil jarang terfragmentasi. Itulah kenapa dokumen kantor hasil carving-nya bagus, sementara arsip PST bergiga-giga dan video hasilnya buruk.

Mengelola ekspektasi

Sebelum pekerjaan carving apa pun dimulai, klien mendengar ringkasan yang sama: isi kemungkinan besar terpulihkan, nama dan folder tidak, file besar yang terfragmentasi bisa parsial, dan deliverable mencakup triase, bukan sekadar tumpukan file.

Sepakat sejak awal mengubah "nama file saya hilang" menjadi "Anda sudah bilang ini akan terjadi, dan search index-nya menambal itu." Di pekerjaan recovery, hasil teknis ditentukan fisika. Pengalaman klien ditentukan briefing.

Intinya

Coba perbaikan filesystem dulu; carving hanya saat strukturnya benar-benar hancur. Carving menukar metadata dengan isi: nama sebuah file hilang, isi file biasanya tidak. Rencanakan triase sebagai bagian pekerjaan, brief klien sebelum sektor pertama dibaca, dan tumpukan 1.600 dokumen tanpa nama menjadi arsip yang bisa dicari, bukan kekecewaan.