数据恢复在审计中的应用.pdfVIP

数据恢复在审计中的应用 近 日、审计组在对某企业进行审计时，发现该企业财务 工作人员对计算机中所存储的数据进行了删除。由于不能 确定该数据是否对审计工作有用，因此、决定对该企业涉及 财务及销售资料的十多台电脑 ，运用数据恢复软件对其删 除的数据进行恢复检查。在数据恢复后发现，被该企业财务 人员删除的数据中，果然有许多有价值的资料。 审计中如需要进行数据恢复，在进行数据恢复以前，首 先必须要明确，硬盘数据恢复很大程度依靠运气，无必胜把 握。建议数据恢复前先用硬盘保护卡对拷到其它硬盘上做 一 个备份，然后修理备份数据 (不能用GHOST做备份)。或 者将需要恢复数据的硬盘挂接到其它主机上，进行数据恢 复。 一 个完整硬盘的数据应该包括五部分 ：MBR，DBR， FAT，DIR区和DATA区。其中只有主引导扇区是唯一的，其 它的随你的分区数的增加而增加。我们所做的工作，主要 是对硬盘的DATA区数据进行恢复。 DATA区虽然 占据了硬盘的绝大部分空间，它对于我们 来说，只是一些枯燥的二进制代码，没有任何意义。在这里 有一点要说明的是，我们通常所说的格式化程序 (指高级格 图1 文件恢复详细界面 式化，例如DOS下的Format程序)，并没有把DATA区的数 据清除，只是重写了FAT表而已，至于分区硬盘，也只是修改 在 “完成扫描”前打上勾就行了，选择好分区后，我们点击 “下 了MBR和 OBR，绝大部分的DATA区的数据并没有被改变，这 一 步”。软件就开始扫描你刚才选择的分区了。 也是许多硬盘数据能够得以修复的原因。如果你经常整理磁 盘，那么你的数据区的数据可能是连续的，这样即使MBR／ FAT／DIR全部坏了，我们也可以使用磁盘编辑软件 (比如DOS 下的DiskEdit)，只要找到一个文件的起始保存位置，那么这个 文件就有可能被恢复。当然，这里需要一个前提，那就是你没 有覆盖这个文件，如果你删除了文件，又在该区域内重新写入 了文件，那么想要恢复完整的文件数据将会是很难的。审计组 在这次数据恢复的过程中，由于被审计单位的财务人员得知 审计部门要对其单位的财务收支进行审计 ，因此只是对其电 脑中的相关数据进行了删除，在短时间内，没有机会进行新文 件的写入，恢复出来的数据在一定程度上还是比较完整的。 下面是运用数据恢复软件 FinalData和EasyRecovery进行 实际操作时的一些过程记录。之所以选择上面所述的软件，是 因为在实际的工作中由于条件所限，无法采取其它的恢复手 段，只能运用软件来进行数据恢复。 我们在这次数据恢复过程中，将被审计单位的电脑硬盘 拆卸后，挂接在一台正常运行的已经事先安装了数据恢复软 件 FinalData和EasyRecovery电脑上，然后运行软件就可恢复 和转移被审计单位硬盘上的数据了。 图2 EasyRceovery启动界面 FinalDaat的安装很简单，运行软件后选择你要恢复的数 据文件所在的逻辑驱动器。如果你是恢复整个硬盘的数据，可 经过3—4分钟的扫描后结果就出来了，点击左面文件夹 以直接选择恢复 “物理驱动器”。根据经验，一般情况下我们都 列表中的文件夹，在右面列出来的文件就是能被恢复的删除 会选择财务软件安装 目录所在的磁盘分区，或者财务人员以 文件 ，选择一个要恢复的文件 ，一定要把前面的勾打上，然后 个人名称或特殊符号命名的隐藏 目录作为数据恢复的重点目 点击 “下一步”。就可以选择恢复目标的选项 ，一般我们都是将 标，在确定了目标任务后，FinalDaat会 自动的搜索和分析哪些 文件恢复到本地驱动器里 (选择分区时一定注意，保存恢复文 是正常的 目录和文件 ，哪些是已被删除的文件和 目录。 件的分区不能与文件原来所在的分区一样，否则不能保存)。 FinalDaat在完成所有的检查后会将 目标任务驱动器的所 文件恢复完成后，弹出一个对话框显示文件恢复摘要，你可以 有文件分类后以表格形式详细列出来，包括正常的目录、已删 进行保存或者打印，然后点击 “完成”。一个文件就被恢复了。 除的目录和删除的文件等大类。在表格右边的详细列表中列 如果要恢复格式化后的文件，以前我们想都不敢想，现在 明了所有的文件资料 ，包括文件的名称、大小、目前状态 (是否 不用怕了，在软件界面我们点击