Datenträger klonen
Läßt Sie eine bestimmte Anzahl von Sektoren kopieren, von einem Quelldatenträger (Schalter mit Datenträger-Icon anklicken) oder einer Quelldatei (Schalter mit Datei-Icon anklicken) auf einen Zieldatenträger oder in eine Zieldatei.
Dazu müssen im Fall, daß sowohl Quelle als auch Ziel Datenträger sind, beide Datenträger dieselbe Sektorgröße aufweisen. Mit dieser Funktion können Sie exakte Duplikate ganzer Festplatten herstellen, indem Sie einfach alle Sektoren kopieren. Aktivieren Sie die entsprechende Option, damit die richtigen Zahlen automatisch für Sie eingetragen werden. Der Zieldatenträger darf nicht kleiner als der Quelldatenträger sein. Als Datenträger können Sie auch ein als Datenträger interpretiertes Image wählen oder eine vom physischen Datenträger aus im Hintergrund geöffnete Partition. Als Ziel kommt jedoch kein interpretiertes .e01-Evidence-Files in Frage, da es nicht beschrieben werden kann, höchstens ein Roh-Image. Als Dateien kommen nur unsegmentierte Roh-Images in Frage, z. B. .dd, .001, .img usw, keine anderen Image-Typen wie .e01, .vhd oder .vmdk.
Die Funktion »Datenträger klonen« bietet verschiedene Möglichkeiten zu verfahren, wenn defekte Sektoren auf dem Quelldatenträger angetroffen werden:
Standardmäßig werden Sie benachrichtigt und gefragt, ob der Vorgang abgebrochen oder dennoch fortgesetzt werden soll. Bei eingeschalteter Option Protokolldatei schreiben" werden Informationen über die gesamte Operation in eine Logdatei in den Ordner für temporäre Dateien geschrieben (Dateiname "Cloning.log.txt"). Darin sind auch die Nummern etwaiger unlesbarer Sektoren enthalten, die nicht kopiert werden können. Diese Option verhindert, daß WinHex jeden defekten Sektor während des Vorgangs einzeln meldet.
WinHex kann die Zielsektoren, die mit dem Inhalt unlesbarer Quellsektoren beschrieben werden müßten, entweder unverändert lassen oder mit einem ASCII-Muster Ihrer Wahl füllen (z. B. Ihre Initialen oder so etwas wie "BAD "). Lassen Sie das Editierfeld für das Muster leer, um solche Sektoren mit Nullbytes zu füllen. Übrigens wird das gewählte Muster auch verwendet, um den Inhalt eines nicht lesbaren Sektors im Disk-Editor anzuzeigen.
Defekte Sektoren treten häufig in zusammenhängenden Gruppen auf, und jeder Versuch, einen defekten Sektor zu lesen, dauert gewöhnlich sehr lange. WinHex kann solche beschädigten Bereiche versuchen zu meiden: Wenn ein defekter Sektor erkannt wird, kann WinHex versuchen, eine von Ihnen anzugebende Anzahl folgender Sektoren überspringen. Dies ist nützlich, um den Klonvorgang zu beschleunigen, wenn Sie in Kauf nehmen, daß auch einige unbeschädigte Sektoren nicht mit kopiert werden.
Das konventionelle Klonen ist bei austauschbaren Datenträgern (wie Disketten) nicht möglich, wenn nur ein entsprechendes Laufwerk installiert ist. Eine geeignete Vorgehensweise für diesen Fall ist Disk Imaging, also eine Art »verzögertes« Klonen. Ein Disk-Image kann auf einen anderen Datenträger zurückgespielt werden. Das Ergebnis ist dann dasselbe wie beim Klonen.
Wenn Sie eine Datei namens "dev-null" als Ziel angeben, werden die Daten nur gelesen und nirgendwohin kopiert (und Sie werden diesbezüglich gewarnt). Dies ist nützlich, wenn Sie nur an dem Bericht über defekte Sektoren interessiert sind und den Datenträger nicht wirklich klonen oder in einer Datei sichern möchten.
Sie können "simultane E/A" probieren, wenn das Ziel nicht auf dem gleichen physischen Datenträger liegt wie die Quelle. Das bietet die Möglichkeit, den Klonvorgang um bis zu 30% zu beschleunigen.
Nur mit Specialist-Lizenz oder höher: Zusammen mit der simultanen E/A können Sie WinHex Sektoren auch in umgekehrter Reihenfolge kopieren lassen, also von hinten (vom Ende des Datenträgers beginnend) rückwärts. Das ist nützlich, wenn die Quellfestplatte schwerwiegende physische Defekte aufweist, die z. B. ein Sicherungsprogramm oder gleich den ganzen Computer zum Einfrieren oder Absturz bringen, wenn ein bestimmter Sektor erreicht wird. In einem solchen Fall können Sie zusätzlich ein Image in umgekehrter Reihenfolge erzeugen, wobei die Sektoren von der Platte einzeln rückwärts gelesen werden, oder noch besser, es ist sogar möglich, ein bereits auf konventionelle Weise (vorwärts) erzeugtes, aber (aufgrund eines Absturzes) unvollständiges unsegmentiertes Roh-Image zusätzlich noch von hinten so zu ergänzen, daß es so vollständig wie möglich wird, da von beiden Seiten befüllt, und nur irgendwo in der Mitte einen idealerweise kleinen mit binären Nullen gefüllten blinden Fleck aufweist, der den nicht lesbaren beschädigten Bereich des Quelldatenträgers repräsentiert. Dazu wählen Sie einfach ein unvollständiges Roh-Image, das Sie schon haben, als Zieldatei aus, und Sie werden dann gefragt, ob Sie es ergänzen statt überschreiben möchten. WinHex besorgt alles weitere, also allokiert die fehlenden Sektoren in der Image-Datei (mit Nullen gefüllt), so daß es die vollständige Größe des Quelldatenträgers hat, und befüllt die Datei dann soweit wie möglich von hinten. Stellen Sie sicher, daß Sie rückwärts zu befüllende Images immer auf NTFS-Partitionen erzeugen, nicht FAT32. Der Startsektor der Quelle, der beim umgekehrten Kopieren von Sektoren anzugeben ist, ist derselbe wie für normales Vorwärtskopieren, also normalerweise 0, wenn man einen Datenträger vollständig kopieren möchte.
Für Datenträgersicherungen wird grundsätzlich die Verwendung des Befehls Datei | Datenträger-Sicherung empfohlen, aus diversen Gründen (mit einer forensischen Lizenz: Unterstützung von .e01-Evidence-Dateien, Kompression, Hashing, Verschlüsselung, Metadaten, technischer Detailbericht, bequemer). Nur in Sonderfällen, wenn Sie sich z. B. mit schwerwiegenden physischen Plattendefekten herumärgern müssen oder wenn Sie lediglich gezielt bestimmte Sektorbereiche kopieren möchten, können fortgeschrittene Benutzer den Befehl Extras | Disk-Tools | Datenträger klonen verwenden, um eine noch größere Kontrolle darüber zu bekommen, welche Sektoren von wo nach nach wo und in welcher Reihenfolge kopiert werden sollen.
Hinweis zu Disk-Cloning & -Imaging