Подробный гайд о рисках монтирования повреждённого диска: потеря данных, физический износ

Подробный гайд о рисках монтирования повреждённого диска: потеря данных, journal replay, fsck, физический износ. Безопасный алгоритм: образ, ddrescue, read-only.

Подробный гайд о рисках монтирования повреждённого диска: потеря данных, физический износ

Главное правило:

Если данные важны или есть признаки физического повреждения диска, лучше не монтировать исходный диск вообще.
Сначала делают побайтовый образ/клон, а уже затем анализируют или монтируют образ, а не оригинал.

Монтирование — это не просто «посмотреть файлы». Операционная система при монтировании может читать и интерпретировать служебные структуры файловой системы, запускать журналирование, обновлять метаданные, вызывать автоматические проверки, индексирование, создание миниатюр и другие фоновые операции. На повреждённом носителе это может ухудшить ситуацию.

1. Какие бывают «повреждения» диска

Риски сильно зависят от типа повреждения.

1.1 Физическое повреждение

Признаки:

щелчки, стук, скрежет, писк;
диск не раскручивается;
диск периодически исчезает из системы;
сильные задержки при чтении;
ошибки I/O error, Buffer I/O error, ata error, reset в логах;
SMART показывает большое количество ошибок;
диск падал, мочился, грелся, имел запах гари;
USB-накопитель или SSD не определяется, греется, отключается. В этом случае монтировать диск особенно опасно. Любое чтение может вызвать повторные попытки позиционирования головок, перегрев, дальнейшую деградацию поверхности или контроллера.

1.2 Логическое повреждение

Примеры:

повреждена таблица разделов;
повреждён загрузочный сектор или суперблок файловой системы;
повреждена MFT в NTFS;
повреждена структура каталогов;
файловая система помечена как dirty;
некорректно завершилась запись;
сбой питания;
повреждён журнал транзакций;
удалены важные файлы, но их ещё можно восстановить;
повреждены метаданные RAID, LVM, ZFS, Btrfs. Здесь монтирование может привести к автоматическому «восстановлению» файловой системы, которое на самом деле может уничтожить часть данных или сделать восстановление сложнее.

1.3 Аппаратно-интерфейсные проблемы

Иногда проблема не в самом диске, а в:

кабеле;
USB-переходнике;
контроллере SATA/NVMe;
питании;
док-станции;
внешнем корпусе. Но даже в этом случае нестабильное подключение может вызывать ошибки чтения, зависания и повторные попытки чтения, что вредно для повреждённого носителя.

2. Основной риск: монтирование может изменить данные

Даже если вы думаете, что только «смотрите» файлы, система может выполнить скрытые операции.

2.1 Запись метаданных

При обычном монтировании в режиме чтения-записи система может обновить:

время последнего доступа;
время изменения метаданных;
состояние файловой системы;
журнал;
счётчики монтирований;
информацию о последнем монтировании;
dirty/clean флаги;
USN Journal в NTFS;

служебные файлы ОС; например:

.Trashes;
.Spotlight-V100;
.fseventsd;
System Volume Information;
$RECYCLE.BIN;
thumbnail cache;
индекс поиска. Если файловая система повреждена, такие записи могут попасть в критические области и ухудшить восстановление.

3. Риск журналирования и replay журнала

Многие файловые системы используют журнал:

ext3/ext4;
XFS;
NTFS;
HFS+;
APFS;
Btrfs;
ZFS. После сбоя питания или некорректного извлечения в журнале могут остаться незавершённые транзакции. При монтировании файловая система может попытаться воспроизвести журнал — выполнить journal replay/log replay.

Это опасно, потому что:

могут быть применены старые служебные изменения;
могут измениться метаданные файлов;
могут перезаписаться структуры, важные для восстановления удалённых данных;
файловая система может стать «более консистентной», но при этом потерять часть данных, которые ещё можно было вытащить;
может стать сложнее понять исходное состояние диска. Даже mount с опцией ro не всегда полностью предотвращает такие действия. Для некоторых файловых систем нужны дополнительные опции, запрещающие восстановление журнала.

Например:

для ext3/ext4 часто используют ro,noload;
для XFS используют ro,norecovery;
для Btrfs и ZFS нужно отдельно следить за режимами импорта и восстановления.

4. Риск автоматического восстановления файловой системы

Очень опасная ситуация:

Windows предлагает «Проверить и исправить»;
macOS Disk Utility предлагает «First Aid»;
Linux запускает или предлагает fsck;
пользователь вручную выполняет fsck -y или chkdsk /f.

Важно понимать:

fsck и chkdsk предназначены для восстановления целостности файловой системы, а не для спасения данных.

Они могут:

удалить повреждённые записи;
обрезать файлы;
переместить фрагменты в lost+found или FOUND.000;
переименовать файлы;
сбросить права и атрибуты;
изменить таблицы размещения;
пометить повреждённые блоки как свободные;
удалить данные, которые ещё можно было восстановить.

Особенно опасны команды вида:

fsck -y /dev/sdX
fsck -p /dev/sdX
e2fsck -y /dev/sdX

или в Windows:

chkdsk /f
chkdsk /r

На повреждённом исходном диске такие действия лучше не выполнять. Если проверка необходима — сначала делается образ, а уже потом проверяют образ или его копию.

5. Риск физической деградации при чтении

Повреждённый HDD может иметь:

bad-блоки;
слабые сектора;
проблемы с головками;
проблемы с двигателем;
повреждение поверхности;
деградацию магнитного слоя;
неисправность платы;
проблемы с прошивкой/firmware.

При монтировании система начинает читать:

таблицу разделов;
суперблок;
журнал;
корневой каталог;
метаданные;
индексы;
файлы.

Если есть плохие сектора, контроллер может выполнять повторные попытки чтения. Это приводит к:

дополнительному нагреву;
механическому износу;
зависаниям;
повторным ошибкам;
расширению повреждённой области;
окончательному отказу диска.

Для SSD и флешек ситуация тоже не безобидна. При подаче питания и обращении к NAND-памяти контроллер может выполнять внутренние операции:

garbage collection;
wear leveling;
перераспределение блоков;
попытки восстановления FTL;
внутренние read-retry. Поэтому для критичных случаев лучше использовать профессиональное оборудование и не «гонять» накопитель.

6. Риск потери удалённых данных

Если нужно восстановить удалённые файлы, монтирование особенно нежелательно.

При монтировании и особенно при записи система может:

обновить таблицы размещения;
пометить свободное место как доступное;
изменить MFT;
перезаписать области, где лежали удалённые файлы;
применить журнал;
изменить битмапы свободного места. Даже если вы ничего не копируете на диск, файловая система может выполнять служебные записи.

Поэтому при восстановлении удалённых данных обычно работают так:

Создать побайтовый образ.
Анализировать образ.
Использовать файловый carving, анализ метаданных, журналов, теневых копий.
Не монтировать оригинал в режиме записи.

7. Риск повреждения RAID, LVM, ZFS, Btrfs, шифрованных томов

Если диск является частью сложной структуры, риски выше.

7.1 RAID

Если диск из RAID-массива, неправильные действия могут привести к:

rebuild на неправильном диске;
resync;
изменению metadata RAID;
изменению event count;
рассинхронизации массива;
потере порядка дисков;
перезаписи данных при принудительном импорте.

Особенно аккуратно нужно работать с:

RAID 1;
RAID 5;
RAID 6;
RAID 10;
mdadm в Linux;
hardware RAID;
NAS-массивами.

Правильная тактика обычно такая:

не собирать массив с записью;
не запускать rebuild;
не менять порядок дисков;
сделать образы всех участников массива;
помечать порядок дисков;
при необходимости собирать массив только в режиме read-only или на образах. Для Linux mdadm, если уж нужно собрать массив для чтения, используют режим read-only, но в критичных случаях лучше сначала сделать образы.

7.2 LVM

В LVM активация группы томов может привести к изменению метаданных или попыткам восстановления.

Безопаснее:

сначала сделать образы физических томов;
активировать VG в read-only, если это действительно нужно;
не выполнять pvmove, lvconvert, repair и подобные операции на оригинале.

7.3 ZFS

ZFS имеет сложные метаданные, пулы, intent log, снапшоты, checksumming.

Риски:

импорт пула в режиме записи;
попытка scrub;
попытка resilver;
запись в cachefile;
применение ZIL;
автоматическое исправление ошибок при наличии зеркала/RAID-Z.

Для чтения лучше использовать:

zpool import -o readonly=on -o cachefile=none -N -d /dev disk_pool

Но в критичных случаях лучше работать с образами дисков, а не с оригиналами.

7.4 Btrfs

Btrfs — copy-on-write файловая система. При повреждении метаданных попытки автоматического восстановления могут ухудшить ситуацию.

Нежелательно на оригинале:

монтировать в режиме записи;
запускать btrfs check --repair;
выполнять scrub;
использовать rescue-опции без предварительного образа.

7.5 Шифрование

Если диск зашифрован:

LUKS;
BitLocker;
FileVault;
VeraCrypt;
аппаратное шифрование;
самошифрующиеся диски SED.

Риски:

при монтировании в режиме записи можно изменить данные;
при разблокировке могут создаваться device-mapper устройства;
неправильные действия с заголовком шифрования могут сделать данные недоступными;
при физическом повреждении попытки разблокировки и чтения увеличивают нагрузку.

Безопаснее:

Сделать образ зашифрованного устройства.
Затем разблокировать образ, желательно в режиме read-only.
Монтировать уже расшифрованный образ read-only.

Для LUKS можно использовать:

sudo cryptsetup open --readonly /path/to/image.img secure_volume

Но только после того, как сделан образ.

8. Риск заражения и эксплуатации уязвимостей

Повреждённый или чужой диск может содержать:

вредоносное ПО;
специально сформированные файловые структуры;
эксплойты для драйверов файловых систем;
авторан-файлы;
вредоносные документы;
скрипты;
поддельные исполняемые файлы.

При монтировании в обычной системе возможны риски:

автоматический запуск индексаторов;
создание миниатюр;
предпросмотр файлов;
выполнение udev-правил;
автоматическое монтирование;
срабатывание антивируса или других служб;
потенциальная эксплуатация уязвимостей парсеров файловых систем.

Поэтому подозрительные диски лучше монтировать:

на изолированной машине;
в виртуальной машине без доступа к основной сети и общим папкам;
с отключённым automount;
с опциями noexec,nodev,nosuid;
без открытия файлов вручную;
без запуска исполняемых файлов с диска.

9. Риск для криминалистической целостности данных

Если диск может быть доказательством, монтирование оригинала крайне нежелательно.

Причины:

меняются временные метки;
появляются следы доступа;
могут измениться журналы;
теряется исходное состояние;
сложно доказать, что данные не изменялись;
может быть нарушена chain of custody.

В forensic-сценариях используют:

аппаратные write blocker;
побайтовые образы;
хеширование MD5/SHA-256;
журналы действий;
write-protected монтаж только образов;
специализированные дистрибутивы.

10. Когда монтировать повреждённый диск относительно допустимо

Монтировать исходный диск можно только если выполнены условия:

Данные не критичны или уже есть резервная копия.
Нет признаков физического повреждения.
SMART не показывает критических ошибок.
Диск не стучит, не исчезает, не виснет.
Монтирование выполняется только read-only.
Отключён automount.
Не запускаются fsck, chkdsk, repair, индексирование, антивирус.
Есть план немедленной остановки при ошибках.
Вы понимаете, что делаете. Если данные очень важны — лучше не монтировать оригинал вообще.

11. Признаки, при которых монтировать нельзя

Немедленно остановитесь, если есть хотя бы один признак:

диск щёлкает, стучит, скрежещет;
диск не определяется BIOS/UEFI;
диск определяется, но периодически исчезает;
SMART показывает Reallocated_Sector_Ct, Current_Pending_Sector, Offline_Uncorrectable, ошибки чтения;
в логах много I/O error, Buffer I/O error, ATA bus error, reset;
система зависает при попытке чтения;
диск грелся, пахнет гарью;
диск падал или был залит;
RAID-массив деградировал, и вы не понимаете конфигурацию;
данные юридически важны;
нужно восстановить удалённые файлы;
есть подозрение на шифровальщик или вредоносное ПО. В таких случаях лучше делать образ или обращаться в лабораторию восстановления данных.

12. Безопасный алгоритм действий

Ниже практическая схема, в основном для Linux. Команды нужно выполнять осторожно, заменяя /dev/sdX на ваше устройство. Ошибка в имени диска может уничтожить данные.

Шаг 1. Не спешите монтировать

Сначала оцените состояние.

Проверьте, как диск виден системой:

lsblk -o NAME,SIZE,TYPE,FSTYPE,MOUNTPOINT,MODEL,SERIAL

Посмотрите сообщения ядра:

dmesg | grep -i 'error\|reset\|sdX'

Если есть повторяющиеся ошибки чтения — плохой знак.

Шаг 2. Проверьте SMART, если диск отвечает

Для SATA/SAS:

sudo smartctl -a /dev/sdX

Для NVMe:

sudo nvme smart-log /dev/nvme0

Критичные признаки:

Reallocated Sector Count растёт;
Current Pending Sector не нулевой;
Offline Uncorrectable не нулевой;
Reported Uncorrect не нулевой;
много Media and Data Integrity Errors для NVMe;
диск зависает при выполнении SMART-запросов. Не запускайте длинные SMART-тесты на подозрительном диске, если данные важны. Это дополнительная нагрузка.

Шаг 3. Подготовьте место для образа

Нужен другой накопитель, на котором свободно места не меньше объёма повреждённого диска. Образ лучше делать в файл или на отдельный диск. Не пишите образ на тот же повреждённый диск.

Шаг 4. Сделайте побайтовый образ

Хороший инструмент — GNU ddrescue. Он умеет работать с map-файлом, пропускать плохие участки и возвращаться к ним позже.

Пример:

sudo ddrescue -f -r3 -v /dev/sdX /mnt/backup/disk-sdX.img /mnt/backup/disk-sdX.map

Где:

/dev/sdX — повреждённый диск;
/mnt/backup/disk-sdX.img — файл образа;
/mnt/backup/disk-sdX.map — map-файл, его обязательно сохраняйте.

Если диск сильно сыпется, иногда используют прямой доступ:

sudo ddrescue -d -f -r3 -v /dev/sdX /mnt/backup/disk-sdX.img /mnt/backup/disk-sdX.map

Но поведение зависит от состояния диска. Универсального рецепта нет.

Важно:

не прерывайте процесс без необходимости;
сохраняйте map-файл;
если диск начинает щёлкать или исчезать — остановитесь;
не используйте dd if=/dev/sdX of=... без map-файла на плохом диске, если можно использовать ddrescue.

Шаг 5. Проверьте образ

Если возможно, посчитайте хеш:

sha256sum /mnt/backup/disk-sdX.img

Если исходный диск отвечает и чтение не ухудшает состояние, можно посчитать хеш и с источника:

sudo sha256sum /dev/sdX

Но на сильно повреждённом диске это может быть невозможно или вредно.

Шаг 6. Работайте с образом, а не с оригиналом

Подключите образ read-only.

Для образа с таблицей разделов:

sudo losetup --read-only -fP --show /mnt/backup/disk-sdX.img

Команда покажет, например, /dev/loop0.

Посмотреть разделы:

lsblk

Затем смонтируйте нужный раздел read-only:

sudo mkdir -p /mnt/recovery

sudo mount -o ro,noatime,noexec,nodev,nosuid /dev/loop0p1 /mnt/recovery

Если образ представляет собой один раздел, а не целый диск:

sudo mount -o ro,loop,noatime,noexec,nodev,nosuid /mnt/backup/partition.img /mnt/recovery

13. Особенности монтирования разных файловых систем

Ниже — важные нюансы. Все действия лучше выполнять на образе.

13.1 ext2/ext3/ext4

Опасно:

автоматический journal replay;
fsck на оригинале;
монтирование в режиме записи.

Для чтения используйте:

sudo mount -o ro,noload,noatime,noexec,nodev,nosuid /dev/loop0p1 /mnt/recovery

noload помогает избежать загрузки/воспроизведения журнала. Если система ругается, что журнал требует восстановления, это как раз повод не позволять восстановление на оригинале.

13.2 XFS

XFS использует log recovery.

Для read-only монтирования без восстановления журнала:

sudo mount -o ro,norecovery,noatime,noexec,nodev,nosuid /dev/loop0p1 /mnt/recovery

13.3 Btrfs

Btrfs имеет сложные метаданные и механизмы восстановления.

Нежелательно:

монтировать в режиме записи;
запускать btrfs check --repair;
использовать scrub на оригинале;
применять автоматическое восстановление без образа. Для чтения используют read-only режим и, при необходимости, rescue-опции уже на образе.

Пример базового read-only монтирования:

sudo mount -o ro,noatime,noexec,nodev,nosuid /dev/loop0p1 /mnt/recovery

Если ядро поддерживает и это уместно, могут использоваться опции восстановления, но только на копии/образе.

13.4 NTFS

Риски:

Windows может предложить исправить ошибки;
может быть включён dirty bit;
Windows hibernation/fast startup может блокировать безопасное монтирование;
NTFS journal может быть в несогласованном состоянии;
Windows может создавать служебные файлы.

В Linux для чтения используйте:

sudo mount -t ntfs3 -o ro,noatime,noexec,nodev,nosuid /dev/loop0p1 /mnt/recovery

или через ntfs-3g:

sudo ntfs-3g -o ro,noatime,noexec,nodev,nosuid /dev/loop0p1 /mnt/recovery

Если система предлагает удалить файл гибернации, очистить журнал или исправить том — не делайте этого на оригинале.

13.5 FAT32/exFAT

Журнала нет, но есть риски:

изменение dirty bit при записи;
повреждение FAT;
потеря цепочек кластеров;
автоматические записи ОС.

Для чтения:

sudo mount -o ro,noatime,noexec,nodev,nosuid /dev/loop0p1 /mnt/recovery

13.6 HFS+ / APFS

Для macOS-дисков:

не запускайте Disk Utility First Aid на оригинале;
не позволяйте macOS выполнять repair;
Spotlight и fsevents могут пытаться писать;
лучше монтировать read-only или работать с образом.

В Linux для HFS+:

sudo mount -t hfsplus -o ro,noatime,noexec,nodev,nosuid /dev/loop0p1 /mnt/recovery

Для APFS в Linux обычно используют специализированные read-only инструменты или анализ образа.

13.7 ZFS

Импорт пула только read-only:

sudo zpool import -o readonly=on -o cachefile=none -N -d /dev/disk/by-id pool_name

Не выполняйте:

zpool scrub на оригинале;
zpool clear;
импорт в режиме записи;
resilver;
замену дисков без понимания последствий.

13.8 md RAID / LVM

Если диск из md RAID:

не выполняйте rebuild;
не меняйте порядок дисков;
не собирайте массив в режиме записи без необходимости;
при необходимости используйте read-only assembly.

Для LVM:

лучше работать с образами PV;
активировать VG можно в read-only, если это нужно для чтения.

14. Если всё-таки нужно монтировать оригинал

Это нежелательно, но иногда необходимо, например если образ сделать невозможно, а нужно срочно вытащить один критичный файл. Тогда минимизируйте риски.

14.1 Отключите automount

В графической системе файловый менеджер или диспетчер томов может автоматически монтировать диск. Лучше использовать консольный Live Linux без automount или отключить автоматическое монтирование в настройках окружения.

14.2 Используйте read-only

Для дополнительного уровня можно пометить блочное устройство как read-only:

sudo blockdev --setro /dev/sdX

Это не замена write blocker, но дополнительная защита от случайных записей. Далее монтируйте раздел read-only.

Пример для ext4:

sudo mount -o ro,noload,noatime,noexec,nodev,nosuid /dev/sdX1 /mnt/recovery

Для XFS:

sudo mount -o ro,norecovery,noatime,noexec,nodev,nosuid /dev/sdX1 /mnt/recovery

Для NTFS:

sudo mount -t ntfs3 -o ro,noatime,noexec,nodev,nosuid /dev/sdX1 /mnt/recovery

14.3 Не открывайте файлы без необходимости

Не нужно:

открывать документы;
запускать исполняемые файлы;
разрешать предпросмотр;
открывать диск в файловом менеджере с генерацией миниатюр;
разрешать индексирование;
запускать антивирусную проверку;
копировать что-либо на этот диск.

14.4 Следите за логами

В отдельном терминале:

dmesg -w

Если появляются:

I/O error
Buffer I/O error
reset
medium error
hard error
device offline

немедленно прекращайте.

15. Чего нельзя делать с повреждённым диском

Не выполняйте на оригинале:

fsck -y /dev/sdX
fsck -p /dev/sdX
e2fsck -y /dev/sdX
xfs_repair /dev/sdX
btrfs check --repair /dev/sdX
badblocks -w /dev/sdX
dd if=/dev/zero of=/dev/sdX
mkfs /dev/sdX
fdisk /dev/sdX   # если собираетесь записывать изменения
parted mklabel /dev/sdX

В Windows не запускайте:

chkdsk /f
chkdsk /r
format
diskpart clean

Также не следует:

соглашаться на «Исправить ошибки»;
соглашаться на «Восстановить том»;
удалять файл гибернации Windows;
инициализировать диск в Disk Management;
создавать новый раздел;
форматировать;
устанавливать на этот диск программы восстановления;
копировать восстановленные файлы на тот же диск;
многократно перезагружать и переподключать диск;
вскрывать гермоблок HDD вне чистого помещения.

16. Риски при использовании Windows

Windows особенно опасна для повреждённого диска, потому что может автоматически:

назначить букву;
предложить проверку диска;
запустить индексирование;
создать System Volume Information;
создать точки восстановления;
обратиться к теневым копиям;
записать данные корзины;
обновить метаданные NTFS;
попытаться исправить dirty volume.

Если нужно посмотреть диск в Windows:

используйте write blocker;
отключите AutoRun/AutoPlay;
не соглашайтесь на проверку и исправление;
не открывайте диск в проводнике без необходимости;
лучше используйте Linux или forensic-режим.

17. Риски при использовании macOS

macOS может автоматически:

предложить First Aid;
запустить fsck;
выполнить journal replay;
проиндексировать Spotlight;
создать служебные папки;
работать с Time Machine;
монтировать том в режиме записи.

Если данные важны:

не нажимайте «Repair»;
не позволяйте Disk Utility исправлять диск;
используйте read-only монтаж или образ;
учитывайте особенности APFS и FileVault.

18. Что делать, если диск уже случайно смонтировали

Порядок зависит от ситуации.

18.1 Если диск смонтирован read-only

Это лучше, чем read-write, но всё равно нужно:

закрыть файловые менеджеры;
остановить индексирование;
не открывать файлы;
как можно быстрее размонтировать или перейти к созданию образа.

Размонтировать:

sudo umount /mnt/recovery

Если не получается, можно попробовать ленивое размонтирование:

sudo umount -l /mnt/recovery

Но если диск физически умирает, любая операция может вызвать зависание.

18.2 Если диск смонтирован read-write

Это хуже.

Нужно:

Прекратить любую работу с файлами.
Закрыть программы, которые могут писать на диск.
Остановить индексирование и антивирус.
Попробовать перевести в read-only:

sudo mount -o remount,ro /mnt/recovery

5. Затем размонтировать:

sudo umount /mnt/recovery

Если система зависает и диск физически сыпется, дальнейшие действия зависят от ценности данных. В критичных случаях лучше остановить работу и обратиться к специалистам.

18.3 Если Windows начала проверку

Если появилось окно:

«Проверить и восстановить»;
«Scan and fix»;
«There is a problem with this drive»; не нажимайте «Исправить», если данные важны.

Лучше:

отменить операцию;
безопасно извлечь диск, если это возможно;
сделать образ в Linux или forensic-среде.

19. Особые случаи

19.1 Диск издает звуки

Если HDD щёлкает, стучит или пищит:

не подавайте питание повторно много раз;
не монтируйте;
не запускайте SMART-тесты;
не используйте ddrescue самостоятельно, если данные критичны;
упакуйте диск в антистатический пакет;
обращайтесь в лабораторию восстановления данных.

19.2 Диск после падения или воды

Не включайте его.

Нельзя:

монтировать;
сушить феном;
класть на батарею;
вскрывать;
пытаться «раскрутить»;
подключать многократно. Нужна профессиональная диагностика.

19.3 SSD не определяется или исчезает

SSD может деградировать скачкообразно.

Риски:

дальнейший выход из строя контроллера;
потеря трансляции FTL;
невозможность доступа к NAND;
внутренние операции при подаче питания. Если данные важны — лучше не экспериментировать с монтированием.

19.4 USB-флешка или SD-карта

Частые проблемы:

контроллер;
NAND-память;
пайка;
питание;
файловая система. Для SD-карты, если есть физический переключатель write protect, включите его перед подключением. Дальше лучше делать образ.

19.5 Диск из NAS или сервера

Не пытайтесь пересобрать массив наугад.

Нужно:

зафиксировать порядок дисков;
сфотографировать конфигурацию;
выгрузить конфигурацию RAID, если возможно;
сделать образы дисков;
не выполнять rebuild;
не инициализировать массив.

20. Рекомендуемый набор опций монтирования

Для большинства файловых систем безопасный минимум:

ro,noatime,noexec,nodev,nosuid

Значение:

ro — только чтение;
noatime — не обновлять время доступа;
noexec — не выполнять файлы с тома;
nodev — не интерпретировать файлы устройств;
nosuid — игнорировать setuid/setgid биты.

Для журналируемых файловых систем добавьте запрет восстановления:

Файловая система	Пример опций
ext2/ext3/ext4	`ro,noload,noatime,noexec,nodev,nosuid`
XFS	`ro,norecovery,noatime,noexec,nodev,nosuid`
NTFS	`ro,noatime,noexec,nodev,nosuid`
FAT/exFAT	`ro,noatime,noexec,nodev,nosuid`
HFS+	`ro,noatime,noexec,nodev,nosuid`
Btrfs	`ro,noatime,noexec,nodev,nosuid`, восстановление только на образе
ZFS	импорт `readonly=on`, не выполнять scrub/repair

21. Практический чек-лист

Перед тем как монтировать повреждённый диск, ответьте на вопросы:

1. Данные критичны?

Да → не монтировать оригинал, делать образ или обращаться к специалистам.
Нет → можно аккуратно пробовать read-only.

2. Есть физические симптомы?

Да → стоп.
Нет → можно продолжить диагностику.

3. SMART плохой?

Да → стоп или только профессиональное снятие образа.
Нет → можно работать осторожно.

4. Есть образ?

Да → монтируйте образ read-only.
Нет → сначала образ.

5. Это RAID/LVM/ZFS/Btrfs/шифрование?

Да → повышенная осторожность, лучше образы всех участников.

6. Диск чужой или подозрительный?

Да → изолированная среда, noexec/nodev/nosuid, без automount.

7. Нужно ли юридическое сохранение доказательств?

Да → write blocker, хеши, журнал действий, только образы.

22. Краткий итог

Основные риски монтирования повреждённого диска:

Случайная запись служебных данных.
Воспроизведение журнала файловой системы.
Автоматический ремонт, который уничтожает данные.
Потеря удалённых файлов.
Физическое ухудшение состояния диска.
Повреждение RAID/LVM/ZFS/Btrfs/шифрованного тома.
Запуск вредоносного кода или эксплойт файлового драйвера.
Нарушение forensic-целостности данных.
Ошибки из-за automount, индексирования, антивируса, миниатюр.
Необратимые последствия после fsck, chkdsk, format, repair.

Самая безопасная тактика:

Не монтировать исходный повреждённый диск. Сначала сделать побайтовый образ. Затем монтировать образ в режиме read-only с безопасными опциями.

Если данные действительно ценны, а диск имеет физические признаки неисправности, лучший вариант — не выполнять самостоятельные операции, а обратиться в специализированную лабораторию восстановления данных.

Мы делимся этой технической информацией, чтобы помочь вам в решении задач — используйте её с пониманием. Статья носит рекомендательный характер, поэтому, пожалуйста, применяйте описанные методы осмотрительно.

Статью подготовил: Аверко Денис Сергеевич @Nymexis г. Омск (специалист по ЗИ)