Récupération de données sur disque dur Linux : outils et méthodes

Peu de moments sur une machine Linux semblent aussi définitifs que de voir un disque apparaître vide après un accidentel rm, un malencontreux mkfs, ou une partition qui a silencieusement cessé d'apparaître dans lsblk. La partie encourageante est que la récupération de disque dur Linux est fréquemment possible. Le problème est le timing : chaque nouvelle écriture qui atterrit sur le disque affecté après la perte peut écraser les blocs exacts qui contiennent encore vos fichiers, donc les choix que vous faites dans les premières minutes comptent plus que l'outil que vous finirez par utiliser.

Il n'existe pas d'outil de récupération universel car il n'existe pas de panne unique. Un fichier supprimé, une partition reformatée, un système de fichiers corrompu et un disque qui commence à générer des erreurs d'E/S nécessitent chacun une approche différente et souvent un outil différent. Ce guide parcourt les principaux scénarios de perte de données sous Linux, les outils de récupération de disque adaptés à chacun, les différences de systèmes de fichiers qui modifient vos chances, et les précautions qui maintiennent vos données récupérables pendant que vous travaillez.

Partie 1. Récupération de disque dur Linux : identifier le problème de perte de données

Chaque tâche de récupération de disque Linux commence par un diagnostic honnête. Utiliser le mauvais outil sur la mauvaise panne fait perdre des heures et peut même réduire vos chances de récupérer des données, car certains outils modifient les structures mêmes que vous essayez de lire. Faites correspondre votre situation au tableau ci-dessous avant d'exécuter quoi que ce soit :

Remarque : Créez une image des disques présentant des erreurs de lecture avant qu'un autre outil effectue des analyses ou des opérations de récupération. Réparer un système de fichiers corrompu sur le disque d'origine est risqué car les outils de réparation écrivent des modifications pendant leur fonctionnement ; réparez toujours une copie à la place.

Partie 2. Que faire avant la récupération de données sur disque Linux

Les actions que vous effectuez avant de commencer la récupération de données sur disque Linux déterminent la quantité d'informations perdues qui reste récupérable. Red Hat est clair sur ce point : toute opération d'écriture sur le périphérique affecté peut écraser les données perdues, et le disque doit être laissé démonté et déconnecté dans la mesure du possible.

• Arrêter d'écrire sur le disque affecté : Arrêtez immédiatement toute utilisation normale. Les journaux, caches, téléchargements et mises à jour en arrière-plan peuvent tous écraser des données récupérables sans que vous le remarquiez. Si le disque affecté contient le système Linux en cours d'exécution, démarrez depuis un média live à la place afin que le disque ne soit pas monté en lecture-écriture.
• Démonter la partition affectée : Utilisez umount pour empêcher les applications de modifier le système de fichiers. Laissez le volume démonté autant que possible, car certains systèmes de fichiers journalisés peuvent encore effectuer une relecture du journal lors d'un montage normal en lecture seule, modifiant des métadonnées dont vous pourriez avoir besoin ultérieurement.
• Ne pas formater ni repartitionner : Le formatage crée de nouvelles structures de système de fichiers qui peuvent écraser les métadonnées de récupération. Le repartitionnement peut également modifier les informations de partition nécessaires pour localiser les volumes et fichiers perdus.
• Éviter fsck avant de récupérer les données : fsck peut modifier les structures du système de fichiers lors de la réparation des erreurs, détruisant potentiellement les métadonnées dont dépendent les outils de récupération. Récupérez d'abord les données importantes, ou effectuez les tentatives de réparation sur une image ou un clone plutôt que sur le disque d'origine.
• Préparer un disque de destination séparé : Enregistrez les fichiers récupérés sur un autre disque physique plutôt que de les réécrire sur la source affectée. Assurez-vous que la destination dispose de suffisamment d'espace libre pour tout ce que vous espérez récupérer.
• Cloner d'abord un disque instable : Si le disque présente des erreurs de lecture, des déconnexions ou d'autres instabilités, utilisez GNU ddrescue pour capturer les secteurs lisibles dans une image avant de faire quoi que ce soit d'autre. Effectuez ensuite les analyses de récupération sur cette image plutôt que de solliciter à plusieurs reprises le disque d'origine.

Partie 3. Meilleurs outils de récupération de disque dur Linux

Aucun outil unique ne gère tous les problèmes de perte de données sur les disques et systèmes de fichiers Linux. Le bon outil de récupération de disque dur Linux dépend du problème spécifique auquel vous êtes confronté. Le tableau ci-dessous compare chaque outil selon son interface, sa principale force et sa principale limitation :

Les six outils ci-dessous couvrent les flux de travail graphiques et en ligne de commande, allant de la récupération générale de fichiers à la réparation de partitions, à l'imagerie de disques et à l'analyse avancée du système de fichiers.

Wondershare Recoverit pour la récupération générale de données Linux

Recoverit Linux Recovery est l'option visuelle de cette comparaison. Il se connecte depuis Windows ou macOS à une machine Linux accessible sur le réseau, de sorte qu'aucune installation n'est requise sur le système cible. Il prend en charge les systèmes de fichiers EXT4, BTRFS, XFS et BFS ainsi que plus de mille formats de fichiers, et peut analyser les données supprimées et formatées tout en vous permettant de prévisualiser les fichiers avant de procéder à la récupération.

Wondershare Recoverit

Votre expert en récupération de données sûr et fiable

Télécharger Télécharger

Récupérez facilement des fichiers supprimés ou perdus dans plus de 500 situations de perte de données, telles que la suppression, le formatage et la corruption de disque. Le logiciel récupère en toute confiance tous les types de données, quelle que soit la façon dont ils ont disparu.

Choisissez Recoverit lorsque vous souhaitez un filtrage et une prévisualisation dans une interface graphique et que vous pouvez vous connecter en toute sécurité au système Linux. Ne le présentez pas comme un package Linux natif, un moyen de réparer EXT4, un remplacement de ddrescue, ou une méthode pour analyser un disque que le système Linux ne peut pas lire.

Fonctionnalités clés

• Prise en charge des distributions Linux : Prend en charge plus de 600 distributions Linux actives dans diverses configurations système lors de l'analyse à distance.
• Récupération de lecteur formaté : Recherche dans le stockage Linux formaté les données récupérables qui subsistent après les modifications du système de fichiers.
• Analyse approfondie avec résultats en direct : Affiche les fichiers découverts pendant l'analyse, afin que vous puissiez suivre les résultats de récupération au fur et à mesure qu'ils apparaissent.
• Recherche IA Describe-It : Trouve les fichiers cibles à partir de descriptions de contenu, ainsi que des filtres par type de fichier et par date.
• Récupération de données de partition perdue : Recherche dans les partitions Linux perdues les fichiers accessibles sans nécessiter d'abord un accès normal au volume.

Comment récupérer des données Linux avec Recoverit

Préparez l'adresse IP, le port, le nom d'utilisateur et le mot de passe de la machine Linux avant de commencer. Suivez ensuite ces étapes pour vous connecter et démarrer la récupération :

Étape 1. Connectez-vous à la machine Linux. Ouvrez Recoverit, choisissez Autres outils, puis Récupération Linux. Saisissez l'adresse IP, le port, le nom d'utilisateur et le mot de passe, puis sélectionnez Connecter.

Étape 2. Analysez le lecteur cible. Recoverit commence l'analyse automatiquement une fois connecté. Passez en revue les fichiers analysés et appliquez Filtres de fichiers pour affiner la recherche.

Étape 3. Prévisualisez et exportez les fichiers. Une fois le fichier cible trouvé, prévisualisez-le, puis appuyez sur Récupérer pour enregistrer le fichier sur votre ordinateur Linux.

TestDisk pour la récupération de partitions perdues

TestDisk est un utilitaire open source de CGSecurity conçu pour récupérer des partitions perdues à partir de supports de stockage. La page de téléchargement actuelle de CGSecurity répertorie TestDisk 7.2 comme la dernière version stable, publiée en février 2024. Le programme utilise un menu textuel pour examiner les disques et gérer les structures de partition découvertes.

• Analyse utile : TestDisk recherche les limites de partition et peut lister les fichiers sur de nombreux systèmes de fichiers découverts, ce qui permet de valider un résultat avant une écriture.
• Capacité de réparation sélective : Il peut récupérer des partitions supprimées et restaurer les secteurs de démarrage FAT32 et NTFS endommagés à l'aide des copies de secteur de démarrage de sauvegarde disponibles. Pour les systèmes de fichiers EXT, il peut localiser les superblocs de sauvegarde.
• Risque principal : Clonez d'abord le matériel défaillant, car certaines opérations de récupération de TestDisk peuvent modifier les données de la table de partition.

PhotoRec pour la récupération de fichiers par signature

PhotoRec est un outil de découpe de fichiers open source distribué avec TestDisk par CGSecurity. Au lieu de dépendre des métadonnées du système de fichiers, il extrait les fichiers directement à partir des données brutes du disque, ce qui le rend utile après qu'un formatage ou une corruption détruise les informations dont dépendent les outils basés sur les métadonnées. Il est livré avec la même version 7.2 que TestDisk.

• Meilleur atout : Il reconnaît des centaines de formats de fichiers grâce aux signatures trouvées dans les données brutes des secteurs de stockage, même lorsque le système de fichiers d'origine ne peut pas être monté.
• Accès en lecture seule à la source : PhotoRec lit la source sans réécrire le contenu récupéré sur le disque affecté lui-même. CGSecurity déconseille explicitement d'enregistrer les fichiers récupérés sur la même partition.
• Principal compromis : Les fichiers récupérés perdent souvent leurs noms de fichiers et leur structure de répertoires d'origine lors de l'extraction par signature, il faut donc prévoir de trier les résultats par la suite.

GNU ddrescue pour les disques durs défaillants

GNU ddrescue copie les secteurs lisibles des disques défaillants vers des images ou des disques de remplacement. Son fichier de carte suit les zones de disque copiées, échouées et en attente sur plusieurs passes de récupération, et les applications de récupération peuvent ensuite examiner l'image complétée sans solliciter le lecteur source défaillant. La version actuelle, la version 1.30, a apporté des améliorations majeures pour la récupération automatique à partir de disques avec une tête morte. Source

• Valeur du fichier de carte : Il reprend les sessions d'imagerie interrompues grâce aux enregistrements du fichier de carte sans redémarrer les régions de disque déjà traitées.
• Passes de nouvelle tentative : Il réessaie les secteurs défectueux en utilisant des passes configurables tout en préservant les données capturées lors des tentatives précédentes.
• Accès direct au disque : Il prend en charge l'accès direct au disque qui contourne la mise en cache du noyau lorsque le support du système d'exploitation est disponible.

R-Linux pour les fichiers EXT supprimés

Conçu pour les systèmes de fichiers EXT2, EXT3 et EXT4, R-Linux est un utilitaire gratuit capable de récupérer des fichiers à partir de partitions endommagées, supprimées ou reformatées. Il prend également en charge l'analyse par type de fichier connu lorsque les enregistrements du système de fichiers sont indisponibles, et peut fonctionner à partir d'images disque pour limiter les accès répétés au lecteur source. Source

• Reconstruction de la structure : Il reconstruit les structures de fichiers et de dossiers d'origine lorsque suffisamment de métadonnées du système de fichiers sont disponibles.
• Recherche par attributs : Il recherche les versions supprimées de fichiers par nom, taille, extension et type de fichier reconnu.
• Surveillance SMART : Il affiche les attributs SMART pour les disques durs pris en charge afin d'aider à identifier les avertissements relatifs à l'état du matériel.

The Sleuth Kit pour la récupération avancée EXT4

The Sleuth Kit est une boîte à outils d'investigation numérique open source permettant d'examiner les images disque et les systèmes de fichiers, y compris EXT4. Il peut inspecter les noms de fichiers supprimés, les métadonnées des inodes et les données non allouées sans dépendre de l'accès normal au système d'exploitation. Il est mieux adapté à la récupération avancée et à l'analyse forensique qu'à la simple restauration en un clic. Source

• Liste des noms supprimés : Il répertorie les noms de fichiers alloués et supprimés à l'aide d'outils tels que fls, aidant à identifier les entrées récupérables.
• Examen des métadonnées : Il examine les métadonnées du système de fichiers, y compris les inodes EXT, pour retracer les fichiers supprimés et leurs structures de données associées.
• Extraction d'image : Il utilise tsk_recover pour extraire des fichiers alloués ou non alloués d'une image disque vers un répertoire de récupération séparé.

Partie 4. Méthodes de récupération de disque Linux par scénario de perte de données

Le choix du bon outil de récupération de disque Linux dépend du problème de perte de données auquel vous êtes confronté. Associez chaque scénario ci-dessous aux outils conçus pour gérer ses défis spécifiques :

• Fichiers supprimés : Recoverit peut analyser les fichiers supprimés sur le stockage Linux pris en charge, tandis que R-Linux cible la récupération EXT2, EXT3 et EXT4. The Sleuth Kit peut examiner les entrées supprimées et les métadonnées du système de fichiers. Démontez d'abord le volume affecté pour réduire les écritures supplémentaires.
• Partition supprimée ou manquante : TestDisk peut localiser les partitions perdues et reconstruire les entrées endommagées de la table de partition. Recoverit peut à la place récupérer les fichiers des partitions perdues sans restaurer d'abord leurs structures de partition.
• Lecteur formaté : PhotoRec extrait le contenu de fichiers restant lorsque le formatage remplace les métadonnées importantes du système de fichiers. Pour une analyse de fichiers plus approfondie, Recoverit peut rechercher dans le stockage formaté les données qui restent récupérables.
• Système de fichiers corrompu : Si le disque présente des erreurs de lecture ou une instabilité, créez-en une image avec ddrescue avant toute réparation ou analyse de récupération répétée. Pour les données importantes, travailler à partir d'un clone ou d'une image est plus sûr que de réparer le disque original.
• Disque dur défaillant : Utilisez Recoverit sur les disques lisibles ; choisissez ddrescue lorsque le matériel présente des erreurs de lecture. Créez une image avec ddrescue avant que des analyses répétées n'ajoutent une charge de lecture sur un matériel défaillant. Pour les disques qui ne peuvent plus être lus de manière fiable, >Recoverit peut aider à analyser ce qui reste accessible.

Partie 5. Récupération de données de disque Linux par système de fichiers

Les systèmes de fichiers déterminent quelles méthodes de récupération de données Linux peuvent restaurer les données perdues, car chacun stocke les métadonnées et les informations sur les fichiers supprimés différemment. La documentation du noyau Linux indique que EXT4 journalise les métadonnées du système de fichiers par défaut, et non les données. Comparez vos options sur les systèmes de fichiers Linux courants ci-dessous :

Remarque : EXT4 mérite une attention particulière car son comportement lors de la suppression peut limiter la récupération de fichiers. Comprendre cette différence explique pourquoi certaines tentatives de récupération EXT4 renvoient moins de données que prévu.

Partie 6. Pourquoi la récupération de disque Linux échoue parfois

Plusieurs limites techniques peuvent empêcher les tentatives de récupération de disque réussies sous Linux, même avec les bons outils. Ces six causes sont les raisons les plus courantes pour lesquelles les données perdues deviennent impossibles à récupérer :

• De nouvelles données ont écrasé les blocs : Les nouvelles écritures peuvent réutiliser les blocs qui contenaient des données supprimées, remplaçant le contenu original et rendant la récupération logicielle impossible.
• TRIM a supprimé les données SSD effacées : TRIM indique à un SSD que les blocs logiques supprimés ne sont plus nécessaires. NVMe les contrôleurs peuvent désallouer ces blocs, après quoi leur contenu précédent peut ne plus être récupérable.
• Les métadonnées du système de fichiers ont disparu : L'absence de métadonnées d'inode et de répertoire peut empêcher les outils de récupération de restaurer les noms de fichiers originaux, les chemins et les structures de dossiers.
• Le disque a subi des dommages physiques : Les dommages mécaniques ou électroniques peuvent empêcher un accès logiciel fiable et peuvent nécessiter des services professionnels de récupération de données.
• Le disque n'est plus détecté : Le logiciel ne peut pas analyser un disque non détecté tant que le périphérique de stockage n'est pas à nouveau accessible ou qu'une image lisible n'est pas créée.
• Les fichiers n'ont été récupérés qu'en partie : Les blocs réutilisés ou illisibles peuvent laisser les fichiers récupérés incomplets ou corrompus. Les fichiers fragmentés présentent un risque plus élevé car leur contenu peut s'étendre sur plusieurs zones affectées.

Partie 7. Quand la récupération de disque dur Linux nécessite une aide professionnelle

Une défaillance matérielle peut rendre les tentatives supplémentaires de récupération de disque dur Linux risquées pour les données qui restent récupérables. Seagate note que des claquements persistants, surtout associés à un bruit répété de cognement ou de grincement, indiquent un problème physique avec le disque. Ces signes d'avertissement indiquent qu'une récupération de données professionnelle peut être nécessaire :

• Le disque émet des bruits anormaux : Des claquements forts, des grincements ou des tentatives de rotation répétées peuvent indiquer une défaillance mécanique et justifier une évaluation professionnelle.
• Le disque se déconnecte à plusieurs reprises : Les déconnexions fréquentes peuvent interrompre la création d'image et peuvent indiquer des problèmes matériels, d'alimentation, de câble, de boîtier ou de connexion instables.
• Des erreurs d'E/S graves apparaissent dans dmesg : Des erreurs d'E/S persistantes sur plusieurs secteurs peuvent indiquer des dommages sur le support, des défauts matériels ou des connexions instables.
• Le clonage ne peut pas se terminer : Des échecs de lecture ddrescue répétés peuvent indiquer de graves problèmes de support qui peuvent nécessiter un équipement de récupération professionnel.
• Linux ne détecte plus le disque : Les disques absents de lsblk et de dmesg peuvent nécessiter un diagnostic matériel avant que la récupération logicielle puisse continuer.
• Les données sont irremplaçables : Arrêtez les tentatives de bricolage lorsque les données importantes rendent inacceptables les risques supplémentaires de récupération. La récupération professionnelle est plus sûre lorsque la perte des données lisibles restantes n'est pas un résultat acceptable.

Partie 8. Comment améliorer les chances de récupération de disque dur Linux

Les actions précoces lors de la récupération de disque Linux peuvent déterminer la quantité de données perdues qui reste récupérable. NIST les directives traitent les sauvegardes comme quelque chose qui doit être créé, protégé, maintenu et testé, et pas simplement planifié. Appliquez ces pratiques pour améliorer vos chances de récupération :

• Arrêtez immédiatement d'utiliser le disque : Arrêtez les écritures et éteignez si nécessaire pour éviter d'écraser davantage les blocs de données récupérables.
• Récupérez sur un disque physique séparé : Enregistrez les fichiers récupérés ailleurs pour éviter d'écraser les données qui peuvent encore rester récupérables sur la source.
• Travaillez à partir d'un clone lorsque le matériel est instable : Créez d'abord une image ou un clone lorsque le disque présente des erreurs de lecture ou une instabilité, réduisant ainsi les accès répétés à la source.
• Ne formatez jamais avant de récupérer : Le formatage modifie les métadonnées du système de fichiers et peut écraser les informations nécessaires à une récupération de données réussie.
• Conservez des sauvegardes séparées : Maintenez des sauvegardes actuelles sur un stockage séparé pour réduire la dépendance aux tentatives de récupération ultérieures. Créez-les régulièrement, testez-les et examinez-les lors d'exercices de récupération.
• Surveillez l'état du disque : Utilisez smartctl pour examiner les indicateurs de santé SMART disponibles et investiguer les avertissements avant que le disque ne devienne peu fiable.

Conclusion

Le meilleur outil de récupération de disque dur Linux est celui qui correspond à la couche défaillante. TestDisk traite les partitions perdues ; PhotoRec extrait les fichiers reconnaissables ; GNU ddrescue protège les secteurs lisibles sur un disque instable ; et Recoverit offre une interface graphique pour une machine Linux accessible depuis Windows ou macOS. R-Linux et The Sleuth Kit couvrent respectivement la récupération axée sur EXT et l'analyse forensique.

N'exécutez pas fsck, ne formatez pas, ne repartitionnez pas et n'enregistrez pas les résultats sur la source avant de préserver les données. Si le disque est physiquement instable ou si les fichiers sont irremplaçables, arrêtez et choisissez une récupération professionnelle plutôt que d'épuiser le disque avec des analyses répétées.