System plików NTFS

SYSTEMY OPERACYJNE – WWW.EDUNET.TYCHY.PL
System plików NTFS
System NTFS (New Technology File System) powstał w trakcie prac nad sieciową wersją
systemu Windows NT. Stąd też wynikają podstawowe właściwości funkcjonale systemu przejawiające się przede wszystkim możliwościami:

Przydzielania odrębnych przestrzeni dla danych poszczególnych użytkowników

Przydzielania użytkownikom praw dostępu do plików, katalogów

Szyfrowania danych

Kompresji danych
NTFS charakteryzuje się rozbudowanym systemem zabezpieczeń plików systemowych a
także plików użytkowników. System ten daje możliwość kompresji plików „w locie". Kompresją
można objąć dowolny element systemu plików: pojedynczy plik, katalog czy też cały dysk.
Wskazywanie elementów, które mają być poddawane kompresji jest bardzo łatwe i szybkie odbywa się to w podobny sposób, jak ustalanie atrybutów plików.
Charakterystyka systemu plików NTFS
Charakterystyka systemu plików NTFS:

Wielkość plików w jest ograniczona do 16 TB

Nie jest zwykle używany na nośnikach wymiennych, gdyż dane nie są zapisywane
na dysku natychmiast; wyjęcie z napędu nośnika Flash bez wcześniejszego uruchomienia Bezpiecznego usuwania może spowodować utratę danych; na nośnikach
Flash należy stosować system plików FAT

Prowadzony jest dziennik transakcji oraz używane są mechanizmy ułatwiające odzyskiwanie danych

Dynamicznie przepisuje klastery, w których wykryje uszkodzony sektor, a następnie oznacza taki klaster jako niezdatny do użycia

Jest wyposażony w mechanizmy bezpieczeństwa dzięki, którym można nadać
uprawnienia do plików lub folderów

Wbudowano System szyfrowania plików (EFS)

Pozwala na stosowanie przydziałów dyskowych

Wyposażony jest w funkcję dynamicznej kompresji danych, która kompresuje używane pliki i foldery podczas ich zapisu i dekompresje je w trakcie odczytu
Opr.: Grzegorz Szymkowiak
SYSTEMY OPERACYJNE – WWW.EDUNET.TYCHY.PL
Architektura NTFS – tablica MFT (Master File Table)
Partycja NTFS oparta jest na strukturze nazwanej główną tablicą plików
(MFT). Idea MFT jest rozszerzeniem idei tablicy FAT. Zamiast przechowywania
odniesień do klasterów MFT zawiera znacznie bardziej szczegółowe informacje o plikach i katalogach znajdujących się w partycji.
Tak więc tablica MFT jest czymś więcej niż tylko listą klasterów taką jak FAT. Jest ona w
rzeczywistości podstawową strukturą przechowywania danych w partycji. Jeżeli plik lub katalog
jest mały (ok. 1 kB) może być w całości zapisany w tablicy MFT. W przypadku większych plików
lub katalogów przechowuje wskaźniki do zewnętrznych klasterów partycji. Te zewnętrzne klastery nazywane są zakresami.
Zawartość pierwszych rekordów tablicy MFT
1.
Pierwszy rekord tablicy MFT nazwany jest deskryptorem i zawiera informacje
o samej tablicy MFT. Położenie rekordu deskryptora jest wskazane prze odpowiednie pole rekordu ładującego wolumin NTFS.
2.
Drugi rekord tablicy MFT jest dokładną kopią deskryptora i używany jest w
przypadku uszkodzenia pierwszego deskryptora.
3.
Trzeci rekord jest rekordem pliku dziennika. Wszystkie transakcje wykonywane w
systemie NTFS są rejestrowane w pliku i w przypadku problemów z dyskiem mogą
posłużyć do odtworzenia danych.
W ogólnym zarysie partycja NTFS składa się z podobnych elementów, jak w systemie FAT,
a mianowicie:

Sektora startowego partycji.

Głównej tablicy rozmieszczenia plików (Master File Table).

Obszaru plików.
Jednak tablica MFT będąca odpowiednikiem FAT jest o wiele bardziej rozbudowana i zawarte w niej informacje odnoszą się do następujących obiektów:

Informacji o wolumenie (w tym etykieta wolumenu i numer wersji NTFS).

Tablica definicji atrybutów zawierająca nazwy i numery identyfikacyjne atrybutów.

Katalogu głównego.

Wykazu zajętości klasterów.

Kopii sektora startowego partycji.

Wykazu uszkodzonych klasterów.

Tabeli konwersji małych liter na duże odpowiedniki Unicode.
Opr.: Grzegorz Szymkowiak
SYSTEMY OPERACYJNE – WWW.EDUNET.TYCHY.PL
W czasie formatowanie woluminu NTFS w katalogu głównym woluminu tworzone są pliki
systemowe. Pliki te mogą być umieszczone w dowolnym fizycznym miejscu woluminu. Co oznacza, że uszkodzenie określonego miejsca dysku nie spowoduje prawdopodobnie niedostępności
całej partycji.
Podczas formatowania woluminu NTFS tworzonych jest zwykle 12 plików systemowych
(nazywanych również plikami metadanych).

$mft
– główna tablica plików (MFT);

$mftmirr
– główna tablica plików 2 (MFT2); wykorzystywany do celów naprawczych

$badclus
– plik uszkodzonych klastrów; zawiera wszystkie uszkodzone klastry woluminu

$bitmap
– mapa bitowa alokacji klastrów; zawiera mapę bitową
całego woluminu, w której zaznaczony jest każdy zajęty
klaster

$boot
– plik startowy; jeżeli wolumin jest woluminem startowym, zawiera program ładujący

$attrdef
– tablica definicji atrybutów; zawiera definicje wszystkich
systemowych i określonych przez użytkownika atrybutów woluminu

$logfile
– plik dziennika; zawiera dziennik transakcji wykonywanych na plikach, wykorzystywany jest do celu odzyskiwania danych

$quota
– tablica przydziałów; tablica wykorzystywana do wykazywania użycia przydziałów dyskowych

$upcase
– tablica konwersji liter; tablica wykorzystywana do zamiany małych i dużych liter na odpowiadajże im duże litery Unicode

$volume
- wolumin; zawiera informacje o woluminie, takie jak jego nazwa oraz wersja

$extend
– plik rozszerzeń NTFS; przechowuje dodatkowe rozszerzenia, takie jak przydziały, identyfikatory obiektów
oraz dane punktu analizy ponownej

(bez nazwy)
– indeks nazwy katalogu głównego; folder główny
Opr.: Grzegorz Szymkowiak
SYSTEMY OPERACYJNE – WWW.EDUNET.TYCHY.PL
Dyski podstawowe i dynamiczne w NTFS
Charakterystycznym obiektem systemu NTFS jest wolumin. Wolumin jest to obiekt mogący obejmować kilka dysków, co daje interesujące możliwości zarządzania danymi.
Wolumin NTFS daje pojemność 16 T, jednak 32-bitowe adresowanie sektorów stosowane
w tablicach partycji znajdujących się w głównym sektorze ładującym (MBR) ogranicza pojemność woluminu do 2 T. Aby obejść to ograniczenie przynajmniej w przypadku dysków, z których
nie uruchamia się systemu operacyjnego tworzy się dyski dynamiczne.
Dyski podstawowe mają taką samą strukturę, jak dotychczas używane – zawierają
główny rekord ładujący z tablicą partycji umożliwiającą założenie na dysku do czterech partycji
podstawowych lub trzech partycji podstawowych i jednej rozszerzonej.
Dyski dynamiczne umożliwiają tworzenie woluminów dynamicznych prostych (znajdują się
na jednym dysku), łączonych (rozciągających się na więcej niż jeden dysk) oraz rozłożonych
(wykorzystujących w celu zwiększenia wydajności więcej niż jeden dysk jednocześnie). Do przechowywania informacji o woluminach dynamicznych na danym dysku jest stosowana ukryta
baza danych, przechowywana w ostatnim megabajcie dysku.
Plik w NTFS
Podobnie jak w FAT system NTFS nie adresuje poszczególnych sektorów dysku, lecz operuje klasterami, których wielkość może być dobierana w dość szerokim zakresie: od pół kilobajta (jeden sektor) do 64 kilobajtów. Jeżeli na danym dysku przewiduje się przechowywanie dużej
ilości niewielkich plików, to klastery o mniejszej wielkości pozwolą lepiej wykorzystać pojemność
dysku. Plik w systemie NTFS jest obiektem złożonym z kilku elementów. Część elementów pliku
jest standardowa i występuje we wszystkich rodzajach plików, np. nazwa pliku, czas jego utworzenia, modyfikacji itp. Charakterystyczne dla systemu jest to, że poszczególne elementy pliku
mogą być modyfikowane niezależnie. W pewnych sytuacjach jest to wygodne rozwiązanie, gdy
na przykład zmiana daty modyfikacji pliku nie wymaga ingerowania w jego obszar danych.
Poszczególne pliki są w systemie NTFS opisane za pośrednictwem rekordów zgromadzonych w głównej tablica plików (MFT). Rozmiar rekordu jest definiowany podczas tworzenia systemu plików - zazwyczaj jego wielkość waha się w granicach 1-4 KB. W przypadku dużych plików o skomplikowanej strukturze (złożonych z wielu elementów lub silnie pofragmentowanych)
konieczne jest zapamiętanie wielu adresów wskazujących poszczególne części pliku. Jeden rekord w MFT może mieć wówczas za małą objętość, aby pomieścić wszystkie te dane. System
dopuszcza wówczas opisanie pliku za pomocą kilku rekordów. W takim przypadku jest tworzony
tzw. podstawowy rekord pliku (ang. base file record), w którym znajdują się odnośniki do pozostałych rekordów opisujących dany plik.
Opr.: Grzegorz Szymkowiak
SYSTEMY OPERACYJNE – WWW.EDUNET.TYCHY.PL
Uszkodzone klastery
Interesującą cechą systemu NTFS jest wyłączanie z użytkowania klasterów zawierających
uszkodzone sektory. Jeżeli podczas zapisywania danych wystąpi błąd, to system automatycznie
wyznacza nowy klaster, do którego zostaną wpisane dane. Natomiast klaster zawierający sektor, który spowodował błąd jest dodawany do rejestru uszkodzonych klasterów. Dzięki temu nie
zostanie on już użyty w jakichkolwiek przyszłych operacjach.
W przypadku błędu występującego podczas czytania danych, klaster powodujący błąd także jest dodawany do rejestru uszkodzonych klasterów. Ponadto do aplikacji czytającej dane zostaje wysłany kod błędu. Część informacji przechowywana w uszkodzonym klasterze jest stracone, ale pozostałe klastery zawierające odczytywany plik są w dalszym ciągu dostępne i ich
zawartość może być odczytana.
Podgląd systemowych plików NTFS
Zauważyć istnienie plików systemowych plików NTFS można wykorzystując narzędzie
RootkitRevealer. Należy tylko odznaczyć opcje Scan Registry oraz Hide standard NTFS
Metadata Files.
Opr.: Grzegorz Szymkowiak
SYSTEMY OPERACYJNE – WWW.EDUNET.TYCHY.PL
Bieżącą wielkość pliku MFT oraz stopień jego sfragmentowania możemy podejrzeć bezpośrednio w Windows wykorzystując wbudowany w system program defragmentator, analizując
wybrany dysk i podglądając raport:
Opr.: Grzegorz Szymkowiak
SYSTEMY OPERACYJNE – WWW.EDUNET.TYCHY.PL
Uzupełnieniem jest darmowe narzędzie NTFSInfo, które pokazuje szczegóły partycji NTFS
włącznie z rozmiarem pliku MFT i rezerwowanej dla niego strefy.
Pełne wykonanie kompleksowej defragmentacji z poziomu Windows za pomocą systemowego programu defragmetującego jest niemożliwe. Obecnie tylko narzędzia defragmentujące
innych firm konsolidują nieużywane rekordy segmentu rekordów pliku z tabeli MFT i odzyskują
nieużywane miejsce przydzielone tabeli MFT.
Opr.: Grzegorz Szymkowiak