Diagnostic
Partir d'une copie technique exploitable
Reconstruire les données d'un support endommagé exige d'abord d'en obtenir une acquisition, plutôt que de se fier aux dossiers encore affichés. Selon la stabilité, cette image couvre tout le média, seulement une partie ou les plages liées aux priorités. L'original est ainsi moins sollicité et l'analyse dispose d'une base reproductible.
Un média dégradé répond parfois de façon intermittente, bloque sur certains secteurs ou annonce une capacité incohérente. Une copie classique par dossiers risque alors de revenir sans cesse sur les mêmes zones faibles et de consacrer la fenêtre de lecture à des éléments secondaires.
Le journal d'acquisition associe une provenance à chaque plage : lecture directe, reprise ultérieure, zone non tentée ou erreur persistante. Lorsqu'un fichier est incomplet, cette carte permet de relier le défaut aux blocs réellement absents au lieu d'accuser indistinctement le système de fichiers.
Conserver une carte de lecture exploitable
La stratégie ne force pas chaque secteur jusqu'à épuisement. Elle acquiert d'abord les zones stables, limite les sollicitations sur les plages lentes et ne revient sur celles-ci qu'avec un objectif mesurable. Les états lu, instable, non tenté et illisible restent distincts.
Une image sans journal cache ses lacunes. Le nombre de blocs copiés ne suffit pas si personne ne sait quelles zones manquent et quelles tentatives les ont sollicitées.
La salle blanche n'intervient que lorsqu'un diagnostic établit le besoin d'ouvrir un disque mécanique. Elle ne répare ni système de fichiers, ni SSD, ni clé USB. Pour ces supports, le laboratoire travaille sur la stabilité électronique, l'acquisition et la reconstruction logique.
Le diagnostic des dommages détermine d'abord si alimentation, mécanique, électronique ou mémoire autorisent la lecture. L'arborescence est ensuite analysée sur la copie afin de tester plusieurs hypothèses sans rallumer l'original à chaque question.
Diagnostic
Comprendre le rôle des métadonnées
Noms, répertoires, tailles, dates, fragments, journaux et index sont décrits par les métadonnées. Lorsqu'elles restent cohérentes, la restitution peut se rapprocher de l'organisation initiale. Si elles manquent, le contenu peut encore exister sans son chemin ni sa version.
Un répertoire visible peut renvoyer vers des contenus illisibles, tout comme une base présente peut manquer de cohérence. La reconstruction ne rattache donc les fragments qu'aux repères encore vérifiables et distingue clairement toute association hypothétique.
Les écritures après l'incident changent la crédibilité des structures. Un formatage recrée des tables, une réparation relie ou libère des entrées et une restauration réoccupe des blocs. Leur date et leur ordre indiquent quelles métadonnées peuvent encore décrire l'état recherché.
La restitution ne réhabilite pas le média pour un nouvel usage. Le fait d'avoir lu certaines zones ne rend fiables ni la mécanique, ni le contrôleur, ni la NAND. Les résultats sont écrits sur une destination distincte, jamais replacés sur la source.
Les systèmes propriétaires ajoutent des relations invisibles : index temporel d'un NVR, géométrie RAID, chaîne de snapshots ou catalogue applicatif. Extraire les blocs ne constitue que le début ; il faut reconstruire ces relations ou expliquer ce que leur absence empêche.
Distinguer la structure et recherche par signature
| Source d'information | Ce qu'elle peut restituer | Réserve à mentionner |
|---|---|---|
| Structures du système de fichiers | Chemins, noms, dates et allocation des fragments | Leur fiabilité dépend des écritures subies |
| Index ou journal de l'application | Séquence temporelle et relations propres au métier | Le format peut être propriétaire ou incomplet |
| Détection de signatures | Corps de certains formats sans dépendre du répertoire | Provenance, noms et assemblage restent incertains |
| Comparaison avec d'autres exemplaires | Complément d'une version ou d'une période absente | La chronologie de chaque source doit être démontrée |
Une signature ne sait pas toujours distinguer un fichier actuel d'un ancien contenu supprimé, ni assembler tous les fragments. Cette méthode est précieuse en dernier recours, mais ne vaut pas une structure reconstruite et validée.
Diagnostic
Prioriser les fichiers au lieu de tout promettre
Sur un média très dégradé, les données attendues doivent piloter les lectures. Base métier, contrats, vidéos, dernières photos ou projet actif passent avant les caches et fichiers temporaires. Cette hiérarchie utilise au mieux une stabilité qui peut être limitée.
Les priorités influencent l'ordre des zones, les formats recherchés et les dépendances à réunir. Une base peut exiger données et journaux ; une archive devient parfois inutilisable à cause de quelques blocs ; une vidéo propriétaire réclame son index temporel.
La quantité brute décrit mal l'utilité du résultat. Un petit ensemble cohérent peut suffire à reprendre, alors que des millions de fragments anonymes restent inexploitables. Datastrophe évalue donc la couverture des priorités et documente les manques qui les affectent.
Décrire une priorité vérifiable
Une demande utile précise :
- Répertoires, comptes ou partages qui doivent être retrouvés ;
- Période visée et exemples de noms dont on est certain ;
- Formats critiques tels que bases, archives, vidéos et disques virtuels ;
- Composants dont l'application a besoin pour ouvrir ces éléments ;
- Fichier sain comparable qui servira de témoin.
Ces repères orientent les premières lectures vers les zones qui ont une valeur concrète. Ils permettent ensuite d'éprouver un ensemble fonctionnel, plutôt que de maximiser un nombre d'octets qui ne contiendrait peut-être aucune priorité.
La documentation de l'incident relie le dernier usage normal, le symptôme, les tentatives et les contenus attendus. Ces repères aident à écarter une version ancienne ou un fragment sans rapport.
Une priorité doit être envisagée avec ce qui la rend utilisable. La base dépend parfois de ses journaux et d'un moteur compatible ; la vidéo, de son flux et de l'index horaire ; le projet, de ses médias et paramètres. Un composant retrouvé mais impossible à exploiter ne reçoit pas un verdict complet.
Diagnostic
Valider les fichiers reconstruits
Un fichier présent dans la restitution peut être ancien, incomplet, corrompu, dupliqué ou lisible seulement par un logiciel spécifique. La validation constitue donc une étape distincte, menée d'abord sur les éléments prioritaires.
Le contrôle doit correspondre au format : extraction d'une archive, import d'une base, lecture continue d'une vidéo ou ouverture de plusieurs pages d'un document. Détecter le nom et la taille ne suffit pas.
Le rapport sépare au moins quatre états : élément contrôlé, fichier lisible mais non accepté par le métier, résultat incomplet et objet non retrouvé. Un contenu reconnu uniquement par son format, sans chemin ni date, n'offre pas le même niveau de preuve qu'un document ouvert depuis sa structure d'origine.
Donner un statut précis aux résultats sensibles
Le statut doit décrire le test effectué : document parcouru, archive extraite, base importée sous réserve d'une validation métier ou vidéo lisible avec une interruption repérée. Cette formulation distingue ce que le laboratoire a vérifié de ce que le détenteur doit encore accepter dans son activité.
Un résultat incomplet devient exploitable lorsque les lacunes sont nommées : plage horaire absente, table non vérifiée, séquence coupée ou archive tronquée. L'entreprise peut alors rechercher un autre exemplaire, ressaisir certains éléments ou organiser un mode dégradé.
Le protocole est défini avant l'extraction, avec les pages, requêtes, plages horaires ou tests attendus. Sans critère préalable, le nombre de fichiers risque de masquer les défauts qui comptent réellement.
Diagnostic
Expliquer les limites sans dramatiser
Blocs écrasés, mémoire flash illisible, plateaux rayés, métadonnées détruites et chiffrement sans clé imposent des frontières techniques. Elles doivent être expliquées précisément, sans vocabulaire spectaculaire ni taux de réussite appliqué indistinctement à tous les cas.
Deux médias affichant la même erreur peuvent pourtant conduire à des issues différentes, selon leur format, leur historique, les écritures postérieures et les fichiers recherchés. Les mesures et validations réduisent l'incertitude sans jamais l'annuler.
Les résultats sont placés sur un stockage sain, distinct de l'acquisition de travail. Le média endommagé garde son identification et reste hors ligne jusqu'à l'acceptation du résultat. Il n'est utilisé ni pour remettre les fichiers ni pour tester un retour en production.
Une issue favorable ne reproduit pas forcément chaque bit de l'ancien état. Elle correspond aux ensembles prioritaires que les acquisitions et structures disponibles permettent de vérifier, en conservant la trace de leur origine et de leurs défauts.
Le ciblage réduit également l'exposition des données : les recherches se limitent aux formats, périodes et dossiers convenus, puis les copies techniques suivent la durée de conservation acceptée. Une reconstruction professionnelle décrit un résultat vérifié et ses limites ; elle ne promet pas un retour général « comme avant ».
Le verdict final d'une récupération de données relie ainsi chaque fichier prioritaire à son niveau d'intégrité et à la portion de source réellement acquise. Il permet d'accepter un résultat partiel en connaissance de cause, sans confondre présence, ouverture et exploitabilité.
Diagnostic
Sources techniques primaires et limites
Périmètre documentaire — reconstruction des données d’un support endommagé: Pour limites de la reconstruction des données d’un support endommagé, les références primaires retenues sont NIST SP 800-86. Preuve physique — reconstruction des données d’un support endommagé: Elles cadrent la préservation, la structure de stockage et la validation, sans prouver l’état physique exact, le comportement du contrôleur, la disponibilité des clés ni la cohérence métier du matériel reçu. Preuve contrôleur — reconstruction des données d’un support endommagé: Ces points exigent des mesures sur l’ensemble d’origine et des contrôles sur des copies.
Diagnostic
Faire établir un diagnostic contrôlé
Ensemble complet — reconstruction des données d’un support endommagé: Pour le diagnostic de limites de la reconstruction des données d’un support endommagé, transmettez l’appareil ou le lot complet, les éléments d’alimentation et d’interface associés, l’ordre et les étiquettes, la chronologie des symptômes et la liste précise des données prioritaires. Chronologie d’incident — reconstruction des données d’un support endommagé: Les accès autorisés passent par un canal protégé distinct ; ne redémarrez pas la source uniquement pour obtenir une nouvelle capture.
Responsabilité du laboratoire — reconstruction des données d’un support endommagé: Datastrophe effectue directement le diagnostic, les contrôles d’intégrité et la récupération dans son propre laboratoire, avec sa propre équipe. Diagnostic gratuit — reconstruction des données d’un support endommagé: Le diagnostic et le devis sont gratuits. Limite du transport — reconstruction des données d’un support endommagé: Le transport privé aller-retour est compris ; le transporteur déplace uniquement le colis scellé, sans accéder aux données ni les traiter.
Liste contrôlée — reconstruction des données d’un support endommagé: Avant tout paiement, le client reçoit le prix proposé et une liste contrôlée. Classes de vérification — reconstruction des données d’un support endommagé: Chaque élément est classé, dans l’ordre, recoverable_verified, partial, detected_unverified ou unrecoverable. Déclenchement du paiement — reconstruction des données d’un support endommagé: Seuls les éléments recoverable_verified, ouverts et jugés exploitables, sont présentés comme récupérables. Résultat non vérifié — reconstruction des données d’un support endommagé: Le paiement intervient après acceptation de la liste et du prix.
Résultat non vérifié — reconstruction des données d’un support endommagé: Si aucune donnée exploitable n’est vérifiée, si la récupération échoue ou si le client refuse la liste ou le prix, aucun frais standard n’est dû. Pièce exceptionnelle — reconstruction des données d’un support endommagé: Une pièce rare, coûteuse et non remboursable constitue la seule exception et requiert une proposition séparée, explicite et chiffrée acceptée au préalable.