Як працює механізм пошуку вмісту (Content-Aware аналіз)

При відновленні віддалених файлів Content-Aware аналіз використовує алгоритм пошуку сигнатур для виявлення файлів певних типів. Тобто стандартні підписи файлів використовується виявлення власне самих файлів, у своїй їх заголовки аналізуються з метою визначення довжини файлів.

механізм

Однак не все так просто. Струнка робота алгоритму може ускладнюватися в кількох ситуаціях, наприклад, при роботі з двійковим форматом файлу з високою стійкістю структури і текстовим форматом без структури взагалі.

Виявлення JPEG зображень

JPEG файли легко ідентифікуються та легко аналізуються. Формат добре документований, тому розбір заголовка файлу зазвичай проходить без проблем. Погляньмо, наприклад, на типовий файл JPEG.

JPEG файли мають характерну сигнатуру та добре структурований формат, завдяки чому їх досить легко виявити. Усі файли JPEG починаються з похідною у значенні FFD8 і закінчуються FFD9. У цьому типі файлів ці підписи можна використовувати кілька разів, щоб визначити ескізи в різних розмірах.

Наприклад, Canon EOS 5D створює файли JPEG наступної структури.

Виявлення текстових файлів

Формат текстових файлів – повна протилежність графічних форматів. Оскільки текстові файли взагалі не мають стійкої структури, знайти їх досить важко, проте відновити – простіше простого. Навіть фрагментовані текстові файли можуть бути відновлені (за умови успішної ідентифікації) та об'єднані в один файл, якщо це необхідно. Жодних труднощів із заголовками файлів або системними структурами не виникне.

Іноді незважаючи на те, що формальні заголовки файлів не доступні (наприклад, для тексту або HTML-файлу), ці файли все ж такиможуть бути відновлені. У разі текстових документів інструмент відновлення даних аналізує блоки даних, намагаючись з'ясувати, чи належать блоки до вмісту текстового файлу. Рішення приймається з урахуванням аналізу набору символів файла. Якщо певний блок даних містить переважно ASCII символи з відомого набору символів (наприклад, західноєвропейської або Unicode, або арабська тощо), блок вважається що належить текстовому файлу. Закінчення такого текстового файлу зазвичай визначається після появи певної кількості не-ASCII символів (двійкові дані).

Виявлення XML та HTML документів

XML та HTML документи структуровані так само, як і текстові файли. Зазвичай, починаються вони одними, а закінчуються іншими тегами. Поки немає чіткого механізму пошуку двійкових сигнатур, XML і HTML документи можуть бути виявлені шляхом пошуку окремих тегів (наприклад, тегів, що відкривають , , , що закривають тегів: