System plików NTFS System NTFS (New Technology File System) powstał w trakcie prac nad sieciową wersją systemu Windows NT. Stąd też wynikają podstawowe właściwości funkcjonale systemu przejawiające się przede wszystkim możliwościami: Przydzielania odrębnych przestrzeni dla danych poszczególnych użytkowników Przydzielania użytkownikom praw dostępu do plików, katalogów Szyfrowania danych Kompresji danych NTFS charakteryzuje się rozbudowanym systemem zabezpieczeń plików systemowych a także plików użytkowników. System ten daje możliwość kompresji plików w locie". Kompresją można objąć dowolny element systemu plików: pojedynczy plik, katalog czy też cały dysk. Wskazywanie elementów, które mają być poddawane kompresji jest bardzo łatwe i szybkie - odbywa się to w podobny sposób, jak ustalanie atrybutów plików. Charakterystyka systemu plików NTFS Charakterystyka systemu plików NTFS: Wielkość plików w jest ograniczona do 16 TB Nie jest zwykle używany na nośnikach wymiennych, gdyż dane nie są zapisywane na dysku natychmiast; wyjęcie z napędu nośnika Flash bez wcześniejszego uruchomienia Bezpiecznego usuwania może spowodować utratę danych; na nośnikach Flash należy stosować system plików FAT Prowadzony jest dziennik transakcji oraz używane są mechanizmy ułatwiające odzyskiwanie danych Dynamicznie przepisuje klastery, w których wykryje uszkodzony sektor, a następnie oznacza taki klaster jako niezdatny do użycia Jest wyposażony w mechanizmy bezpieczeństwa dzięki, którym można nadać uprawnienia do plików lub folderów Wbudowano System szyfrowania plików (EFS) Pozwala na stosowanie przydziałów dyskowych Wyposażony jest w funkcję dynamicznej kompresji danych, która kompresuje używane pliki i foldery podczas ich zapisu i dekompresje je w trakcie odczytu
Architektura NTFS tablica MFT (Master File Table) Partycja NTFS oparta jest na strukturze nazwanej główną tablicą plików (MFT). Idea MFT jest rozszerzeniem idei tablicy FAT. Zamiast przechowywania odniesień do klasterów MFT zawiera znacznie bardziej szczegółowe informacje o plikach i katalogach znajdujących się w partycji. Tak więc tablica MFT jest czymś więcej niż tylko listą klasterów taką jak FAT. Jest ona w rzeczywistości podstawową strukturą przechowywania danych w partycji. Jeżeli plik lub katalog jest mały (ok. 1 kb) może być w całości zapisany w tablicy MFT. W przypadku większych plików lub katalogów przechowuje wskaźniki do zewnętrznych klasterów partycji. Te zewnętrzne klastery nazywane są zakresami. Zawartość pierwszych rekordów tablicy MFT 1. Pierwszy rekord tablicy MFT nazwany jest deskryptorem i zawiera informacje o samej tablicy MFT. Położenie rekordu deskryptora jest wskazane prze odpowiednie pole rekordu ładującego wolumin NTFS. 2. Drugi rekord tablicy MFT jest dokładną kopią deskryptora i używany jest w przypadku uszkodzenia pierwszego deskryptora. 3. Trzeci rekord jest rekordem pliku dziennika. Wszystkie transakcje wykonywane w systemie NTFS są rejestrowane w pliku i w przypadku problemów z dyskiem mogą posłużyć do odtworzenia danych. W ogólnym zarysie partycja NTFS składa się z podobnych elementów, jak w systemie FAT, a mianowicie: Sektora startowego partycji. Głównej tablicy rozmieszczenia plików (Master File Table). Obszaru plików. Jednak tablica MFT będąca odpowiednikiem FAT jest o wiele bardziej rozbudowana i zawarte w niej informacje odnoszą się do następujących obiektów: Informacji o wolumenie (w tym etykieta wolumenu i numer wersji NTFS). Tablica definicji atrybutów zawierająca nazwy i numery identyfikacyjne atrybutów. Katalogu głównego. Wykazu zajętości klasterów. Kopii sektora startowego partycji. Wykazu uszkodzonych klasterów. Tabeli konwersji małych liter na duże odpowiedniki Unicode.
W czasie formatowanie woluminu NTFS w katalogu głównym woluminu tworzone są pliki systemowe. Pliki te mogą być umieszczone w dowolnym fizycznym miejscu woluminu. Co oznacza, że uszkodzenie określonego miejsca dysku nie spowoduje prawdopodobnie niedostępności całej partycji. Podczas formatowania woluminu NTFS tworzonych jest zwykle 12 plików systemowych (nazywanych również plikami metadanych). $mft główna tablica plików (MFT); $mftmirr główna tablica plików 2 (MFT2); wykorzystywany do celów naprawczych $badclus plik uszkodzonych klastrów; zawiera wszystkie uszkodzone klastry woluminu $bitmap mapa bitowa alokacji klastrów; zawiera mapę bitową całego woluminu, w której zaznaczony jest każdy zajęty klaster $boot plik startowy; jeżeli wolumin jest woluminem startowym, zawiera program ładujący $attrdef tablica definicji atrybutów; zawiera definicje wszystkich systemowych i określonych przez użytkownika atrybutów woluminu $logfile plik dziennika; zawiera dziennik transakcji wykonywanych na plikach, wykorzystywany jest do celu odzyskiwania danych $quota tablica przydziałów; tablica wykorzystywana do wykazywania użycia przydziałów dyskowych $upcase tablica konwersji liter; tablica wykorzystywana do zamiany małych i dużych liter na odpowiadajże im duże litery Unicode $volume - wolumin; zawiera informacje o woluminie, takie jak jego nazwa oraz wersja $extend plik rozszerzeń NTFS; przechowuje dodatkowe rozszerzenia, takie jak przydziały, identyfikatory obiektów oraz dane punktu analizy ponownej (bez nazwy) indeks nazwy katalogu głównego; folder główny
Dyski podstawowe i dynamiczne w NTFS Charakterystycznym obiektem systemu NTFS jest wolumin. Wolumin jest to obiekt mogący obejmować kilka dysków, co daje interesujące możliwości zarządzania danymi. Wolumin NTFS daje pojemność 16 T, jednak 32-bitowe adresowanie sektorów stosowane w tablicach partycji znajdujących się w głównym sektorze ładującym (MBR) ogranicza pojemność woluminu do 2 T. Aby obejść to ograniczenie przynajmniej w przypadku dysków, z których nie uruchamia się systemu operacyjnego tworzy się dyski dynamiczne. Dyski podstawowe mają taką samą strukturę, jak dotychczas używane zawierają główny rekord ładujący z tablicą partycji umożliwiającą założenie na dysku do czterech partycji podstawowych lub trzech partycji podstawowych i jednej rozszerzonej. Dyski dynamiczne umożliwiają tworzenie woluminów dynamicznych prostych (znajdują się na jednym dysku), łączonych (rozciągających się na więcej niż jeden dysk) oraz rozłożonych (wykorzystujących w celu zwiększenia wydajności więcej niż jeden dysk jednocześnie). Do przechowywania informacji o woluminach dynamicznych na danym dysku jest stosowana ukryta baza danych, przechowywana w ostatnim megabajcie dysku. Plik w NTFS Podobnie jak w FAT system NTFS nie adresuje poszczególnych sektorów dysku, lecz operuje klasterami, których wielkość może być dobierana w dość szerokim zakresie: od pół kilobajta (jeden sektor) do 64 kilobajtów. Jeżeli na danym dysku przewiduje się przechowywanie dużej ilości niewielkich plików, to klastery o mniejszej wielkości pozwolą lepiej wykorzystać pojemność dysku. Plik w systemie NTFS jest obiektem złożonym z kilku elementów. Część elementów pliku jest standardowa i występuje we wszystkich rodzajach plików, np. nazwa pliku, czas jego utworzenia, modyfikacji itp. Charakterystyczne dla systemu jest to, że poszczególne elementy pliku mogą być modyfikowane niezależnie. W pewnych sytuacjach jest to wygodne rozwiązanie, gdy na przykład zmiana daty modyfikacji pliku nie wymaga ingerowania w jego obszar danych. Poszczególne pliki są w systemie NTFS opisane za pośrednictwem rekordów zgromadzonych w głównej tablica plików (MFT). Rozmiar rekordu jest definiowany podczas tworzenia systemu plików - zazwyczaj jego wielkość waha się w granicach 1-4 KB. W przypadku dużych plików o skomplikowanej strukturze (złożonych z wielu elementów lub silnie pofragmentowanych) konieczne jest zapamiętanie wielu adresów wskazujących poszczególne części pliku. Jeden rekord w MFT może mieć wówczas za małą objętość, aby pomieścić wszystkie te dane. System dopuszcza wówczas opisanie pliku za pomocą kilku rekordów. W takim przypadku jest tworzony tzw. podstawowy rekord pliku (ang. base file record), w którym znajdują się odnośniki do pozostałych rekordów opisujących dany plik.
Uszkodzone klastery Interesującą cechą systemu NTFS jest wyłączanie z użytkowania klasterów zawierających uszkodzone sektory. Jeżeli podczas zapisywania danych wystąpi błąd, to system automatycznie wyznacza nowy klaster, do którego zostaną wpisane dane. Natomiast klaster zawierający sektor, który spowodował błąd jest dodawany do rejestru uszkodzonych klasterów. Dzięki temu nie zostanie on już użyty w jakichkolwiek przyszłych operacjach. W przypadku błędu występującego podczas czytania danych, klaster powodujący błąd także jest dodawany do rejestru uszkodzonych klasterów. Ponadto do aplikacji czytającej dane zostaje wysłany kod błędu. Część informacji przechowywana w uszkodzonym klasterze jest stracone, ale pozostałe klastery zawierające odczytywany plik są w dalszym ciągu dostępne i ich zawartość może być odczytana. Podgląd systemowych plików NTFS Zauważyć istnienie plików systemowych plików NTFS można wykorzystując narzędzie RootkitRevealer. Należy tylko odznaczyć opcje Scan Registry oraz Hide standard NTFS Metadata Files.
Bieżącą wielkość pliku MFT oraz stopień jego sfragmentowania możemy podejrzeć bezpośrednio w Windows wykorzystując wbudowany w system program defragmentator, analizując wybrany dysk i podglądając raport:
Uzupełnieniem jest darmowe narzędzie NTFSInfo, które pokazuje szczegóły partycji NTFS włącznie z rozmiarem pliku MFT i rezerwowanej dla niego strefy. Pełne wykonanie kompleksowej defragmentacji z poziomu Windows za pomocą systemowego programu defragmetującego jest niemożliwe. Obecnie tylko narzędzia defragmentujące innych firm konsolidują nieużywane rekordy segmentu rekordów pliku z tabeli MFT i odzyskują nieużywane miejsce przydzielone tabeli MFT.