Évaluation
Partir d'une copie technique exploitable
La reconstruction ne commence pas par l'arborescence affichée. Lorsque l'état du média le permet, elle débute par une copie technique complète, partielle ou priorisée selon les zones accessibles. Cette base protège l'original et stabilise le travail d'analyse.
Un support endommagé peut se déconnecter, bloquer sur certains secteurs, annoncer une capacité incohérente ou présenter des dossiers trompeurs. Une copie classique par fichiers risque d'insister sur les zones faibles et de négliger les données les plus importantes.
Le journal d'acquisition attribue un état à chaque plage : lue, reprise, non tentée, instable ou illisible. Un fichier incomplet peut ainsi être relié aux secteurs manquants plutôt qu'être classé vaguement comme corrompu.
Une image utile conserve une carte de lecture
La stratégie commence par les zones qui répondent, limite les sollicitations sur les zones lentes et ne reprend les erreurs qu'avec un objectif mesurable. Sans carte ni journal, une copie masque ses propres lacunes et réduit la fiabilité de la validation.
Salle blanche : uniquement pour une atteinte mécanique établie. L'environnement contrôlé sert à certaines interventions internes sur des disques durs; il ne corrige ni un système de fichiers, ni un SSD, ni une corruption logique.
Le diagnostic doit d'abord confirmer que la mécanique, l'électronique ou la mémoire autorise une acquisition. La reconstruction commence ensuite avec les lectures stabilisées et une liste explicite des zones absentes.
Analyser les structures sur l'image évite que chaque indexation ou nouvelle hypothèse relance le support malade. Le laboratoire peut revenir en arrière sans consommer davantage sa fenêtre de lecture.
Évaluation
Comprendre le rôle des métadonnées
Les métadonnées décrivent les noms, dossiers, tailles, dates, fragments, journaux et index. Lorsqu'elles sont cohérentes, elles permettent de reconstruire une organisation proche de l'original; lorsqu'elles manquent, l'incertitude augmente.
Un fichier peut subsister sans son ancien chemin, tandis qu'un dossier visible peut pointer vers des blocs illisibles. Une base présente peut également rester incohérente. Il faut donc relier le contenu aux informations encore fiables.
Les écritures effectuées après l'incident doivent être datées. Un formatage, une réparation ou une restauration recrée des structures différentes et peut réoccuper les blocs recherchés. La chronologie détermine quelles métadonnées demeurent crédibles.
Reconstruire les données ne signifie pas réparer le support. Une lecture suffisante pour acquérir certains blocs ne rend ni le contrôleur, ni la NAND, ni la mécanique fiable. Le résultat n'est jamais recopié sur l'original.
Les formats propriétaires ajoutent des relations invisibles dans un explorateur : index temporel d'un NVR, géométrie RAID d'un NAS, chaîne d'instantanés d'une machine virtuelle ou catalogue d'une application. Les blocs seuls ne suffisent pas toujours à rétablir ces liens.
Métadonnées et recherche par signature ne donnent pas le même résultat
| Méthode | Atout | Limite à déclarer |
|---|---|---|
| Structures du volume | Réunit chemins, dates et emplacements de contenu | Résultat tributaire des métadonnées encore cohérentes |
| Catalogue ou journal applicatif | Rétablit une séquence et des liens propres au logiciel | Lecture parfois limitée par un format fermé ou incomplet |
| Détection des formats | Repère du contenu malgré la perte des répertoires | Contexte, noms et rattachement des fragments souvent absents |
| Comparaison de plusieurs copies | Comble certaines lacunes d'une version avec une autre | Provenance et ordre temporel à démontrer |
La recherche par signature reste utile en dernier recours, mais elle ne sait pas toujours relier les fragments ni distinguer un ancien fichier supprimé d'un contenu actuel. Elle ne doit pas être présentée comme l'équivalent d'une structure restaurée.
Évaluation
Prioriser les fichiers au lieu de tout promettre
Lorsque le support est très dégradé, les données attendues doivent guider les lectures. Comptabilité, contrats, vidéos, photos récentes, base active ou projet client passent avant les fichiers temporaires.
La priorité influence l'ordre d'acquisition, les signatures recherchées et les dépendances à rassembler. Une base peut exiger plusieurs fichiers associés; quelques blocs absents peuvent rendre une archive inutilisable.
Le volume brut mesure mal le résultat. Quelques gigaoctets contenant une base cohérente et ses journaux peuvent valoir davantage que des millions de fragments anonymes. Datastrophe évalue donc le périmètre prioritaire couvert et les lacunes observées.
Décrire la priorité avec des critères vérifiables
Une demande exploitable indique :
- Les dossiers, utilisateurs ou partages attendus;
- La période utile et quelques noms connus;
- Les formats sensibles, comme les bases, les archives, les vidéos ou disques virtuels;
- Les dépendances nécessaires à l'application;
- Un échantillon sain pouvant servir de référence.
Ces renseignements permettent de réserver les meilleures lectures aux zones à forte valeur et de contrôler un résultat en fonction du besoin plutôt que du nombre de fichiers.
La chronologie relie la dernière utilisation normale, le premier symptôme, les tentatives et les versions recherchées. Elle aide à distinguer un fragment pertinent d'un ancien résidu sans rapport.
Chaque priorité doit former un ensemble fonctionnel. Une base peut demander son journal et sa version de moteur; une vidéo propriétaire, son flux et son index; un projet, ses médias liés et ses paramètres.
Évaluation
Valider les fichiers reconstruits
Un fichier livré n'est pas automatiquement exploitable. Il peut être partiel, ancien, doublonné, corrompu ou dépendre d'un logiciel précis. La validation constitue donc une étape autonome de la reconstruction.
Le contrôle commence par les données prioritaires. Une archive doit s'extraire, une base doit être ouverte avec les composants appropriés et une vidéo doit être lue sur la période attendue, pas seulement détectée.
La restitution distingue au minimum les fichiers validés, lisibles sans validation métier, partiels et non retrouvés. Un contenu récupéré par signature sans nom ni date ne reçoit pas le même statut qu'un document provenant de son chemin d'origine.
Donner un statut explicite à chaque résultat sensible
Un document peut être « ouvert et contrôlé », une archive « extraite sans erreur », une base « montée, cohérence métier à confirmer » et une vidéo « lisible avec une lacune horaire ». Ces descriptions valent davantage qu'un pourcentage global.
Une reprise partielle devient possible lorsque les manques sont actionnables : table absente, archive incomplète, période vidéo tronquée ou version non confirmée. L'entreprise peut alors chercher une autre source ou fonctionner temporairement avec un périmètre réduit.
Le protocole doit être choisi avant l'extraction : pages attendues pour un document, test complet pour une archive, requêtes ciblées pour une base, décodage continu pour une vidéo. Le détenteur des données confirme ensuite le sens métier.
Évaluation
Expliquer les limites sans dramatiser
Certaines frontières sont matérielles ou cryptographiques : secteurs déjà remplacés, cellules flash qui ne répondent plus, surface magnétique trop atteinte, structures disparues ou clés indisponibles. Le compte rendu doit rattacher chaque limite à ce qui a été constaté, sans certitude artificielle ni formulation alarmiste.
Deux supports ayant le même symptôme peuvent produire des résultats différents selon leur historique, les écritures postérieures, le système de fichiers et les données visées. La méthode réduit l'incertitude, mais ne l'annule pas.
Les fichiers reconstruits sont remis sur une destination saine et distincte des images de travail. Le média endommagé demeure identifié et hors ligne jusqu'à l'acceptation du périmètre restitué.
Une reconstruction réussie ne reproduit pas nécessairement l'état antérieur bit pour bit. Elle fournit les ensembles que les preuves disponibles permettent de contrôler, avec leur provenance, leurs lacunes et leur niveau de validation.
Cette approche limite aussi l'exposition : les recherches portent sur les formats, périodes et dossiers nécessaires, tandis que les copies techniques et leur durée de conservation suivent les règles convenues pour le dossier.
La reconstruction aboutit à un résultat vérifiable lorsque chaque fichier prioritaire est rattaché aux zones acquises, testé dans son usage prévu et classé selon son intégrité. Datastrophe remet alors les éléments exploitables avec leurs lacunes documentées, sans présenter les fragments détectés comme des fichiers récupérés.
Évaluation
Sources techniques primaires et limites
Périmètre documentaire — reconstruction des données d’un support endommagé: Pour limites de la reconstruction des données d’un support endommagé, les sources primaires consultées sont NIST SP 800-86. Preuve physique — reconstruction des données d’un support endommagé: Elles définissent les principes de préservation, de stockage et de validation, mais ne démontrent ni l’état physique précis, ni le comportement du contrôleur, ni la disponibilité des clés, ni la cohérence opérationnelle du matériel reçu. Preuve contrôleur — reconstruction des données d’un support endommagé: Ces éléments doivent être mesurés sur l’ensemble original et vérifiés sur des copies.
Évaluation
Demander une évaluation contrôlée
Ensemble complet — reconstruction des données d’un support endommagé: Pour évaluer limites de la reconstruction des données d’un support endommagé, fournissez l’appareil ou l’ensemble complet, les composantes d’alimentation et d’interface, l’ordre et les étiquettes des membres, l’historique des symptômes et la liste exacte des fichiers prioritaires. Chronologie d’incident — reconstruction des données d’un support endommagé: Les accès autorisés sont transmis par un canal protégé distinct; évitez un nouveau démarrage uniquement pour produire une capture.
Responsabilité du laboratoire — reconstruction des données d’un support endommagé: Datastrophe réalise directement le diagnostic, les contrôles d’intégrité et la récupération dans son propre laboratoire avec sa propre équipe. Diagnostic gratuit — reconstruction des données d’un support endommagé: Le diagnostic et la soumission sont gratuits. Limite du transport — reconstruction des données d’un support endommagé: Le transport privé aller-retour est inclus; le transporteur déplace seulement le colis scellé, sans accéder aux données ni les traiter.
Liste contrôlée — reconstruction des données d’un support endommagé: Avant tout paiement, le client reçoit le prix proposé et une liste vérifiée. Classes de vérification — reconstruction des données d’un support endommagé: Chaque élément est classé, dans l’ordre, recoverable_verified, partial, detected_unverified ou unrecoverable. Déclenchement du paiement — reconstruction des données d’un support endommagé: Seuls les éléments recoverable_verified, ouverts et jugés utilisables, sont présentés comme récupérables. Résultat non vérifié — reconstruction des données d’un support endommagé: Le paiement est demandé uniquement après l’acceptation de la liste et du prix.
Résultat non vérifié — reconstruction des données d’un support endommagé: Si aucune donnée utilisable n’est vérifiée, si la récupération échoue ou si le client refuse la liste ou le prix, aucuns frais standards ne sont exigés. Pièce exceptionnelle — reconstruction des données d’un support endommagé: La seule exception vise une pièce rare, coûteuse et non remboursable, commandée seulement après l’acceptation d’une proposition distincte, explicite et chiffrée.