АссистентНовый вопросИсторияОбласти знаний
Партнёрские проектыМатериалы БРЭСпецпроектыСтать автором
Настроить видСменить язык
О РУВИКИ
Ответ на вопрос

Восстановление системы

Pause

Экспертиза РАН

Logo-ran.pngLogo-ran-black.png
Проводится экспертиза
Российской академией наук
Подробнее
Times2.svg

Экспертиза РАН

Arrow-Right.png
Logo-ran.png
Проводится экспертиза
Российской академией наук
Подробнее

Восстановле́ние системы — компонент операционных систем семейства Microsoft Windows, предназначенный для отката конфигурации компьютера к ранее сохранённому состоянию — точке восстановления — без затрагивания личных файлов пользователя[1]. Механизм автоматически отслеживает ключевые системные изменения и позволяет отменить приведшее к нестабильности изменение — установку программы, обновление драйверов или изменение параметров реестра[1]. При включённой защите системы точки могут создаваться автоматически при значимых изменениях, например установке приложений или обновлений, а также вручную[2].

Восстановление системы не заменяет резервное копирование: в точках фиксируются системные компоненты — файлы, реестр, установленные программы и их параметры, — тогда как документы, фотографии и почта пользователя остаются без изменений как при создании точек, так и при откате[3]. Хранилище точек ограничено долей дискового пространства: при исчерпании удаляются старейшие записи, и глубина отката зависит от выделенного места и интенсивности изменений[3]. Механизм входит в число вариантов восстановления Windows наряду со средой восстановления, возвратом в исходное состояние и полной переустановкой системы[4].

Помимо служебной роли, точки восстановления получили прикладное значение в компьютерной криминалистике: сохранившиеся копии реестра и системных файлов позволяют восстановить картину состояния системы на прошлые даты[5].

Общие сведения
Восстановление системы
Область использования операционные системы семейства Microsoft Windows
Дата появления 2000 (Windows Me)
Место появления корпорация Microsoft
Автор понятия корпорация Microsoft
Ключевые слова теневые копии, реестр Windows, резервное копирование, Windows Update
Базовые понятия драйвер, файловая система, NTFS, безопасный режим

История

Windows Millennium Edition и Windows XP

Механизм впервые появился в потребительской системе Windows Me 2000 года как средство отката конфигурации после неудачной установки программ или драйверов[6]. Служба копировала изменённые файлы наблюдаемых типов в служебную папку и создавала контрольные точки по расписанию — каждые десять часов работы и каждые двадцать четыре часа реального времени; выполненный откат можно было отменить той же утилитой[7][8]. Различались исходные контрольные точки, регулярные системные, а также точки, создававшиеся перед установкой компонентов Windows Update[8].

В Windows XP механизм сохранил файловый подход и получил настройки управления: контрольные точки создавались каждые двадцать четыре часа календарного времени, причём только в периоды простоя компьютера, а также перед установкой совместимых приложений, неподписанных драйверов и обновлений системы[3]. Средства очистки диска позволяли удалить все точки, кроме последней[9]. Механизм присутствовал в клиентских системах и не входил в состав Windows 2000; впоследствии точки восстановления XP стали самостоятельным источником криминалистических данных[5].

Windows Vista и Windows 7

В Windows Vista служба была переведена на технологию теневого копирования томов: вместо файлового фильтра состояние защищается блочными копиями, создаваемыми службой теневого копирования на уровне дисковых блоков[10]. Управление механизмом переехало в раздел «Защита системы», а сохранённые теневые копии стали доступны пользователю через пункт «Предыдущие версии» в проводнике, позволявший вернуть не только всю конфигурацию, но и отдельный файл[11]. В Windows 7 архитектура сохранилась; размер хранилища теневых копий администратор мог задавать как штатной графической утилитой, так и средствами командной строки (vssadmin)[12]. Устройство теневого копирования подробно описано в технической документации по архитектуре ядра Windows[13].

undefined

Windows 8 и новее

Начиная с Windows 8, для командлета Checkpoint-Computer оболочки Windows PowerShell документировано ограничение: новую точку восстановления нельзя создать, если другая точка уже была создана в течение предыдущих 24 часов[14]. Средства восстановления системы поддерживаются только клиентскими выпусками Windows и не входят в серверные редакции[14].

В Windows 10 и Windows 11 механизм сохранился как часть «Защиты системы» и перечня вариантов восстановления — наряду со средой восстановления, возвратом в исходное состояние и средствами исправления загрузки[4]. Криминалистические исследования продолжили изучать теневые копии современных версий системы как источник исторических данных[15].

Принцип работы

Точки восстановления

Точка восстановления — запись о состоянии ключевых компонентов системы на определённый момент: содержимого реестра, системных файлов наблюдаемых типов, установленных программ и их параметров; основу механизма составляет копирование реестра — централизованного хранилища конфигурации Windows[1][16]. Восстановление возвращает их к сохранённому состоянию; документы, фотографии, музыка и почта пользователя не затрагиваются ни при создании точек, ни при откате[3]. Механизм рассчитан на отмену изменений конфигурации, а не на защиту данных: удалённый документ точка не вернёт[11]. Часть текущих значений реестра может сохраниться, если профиль пользователя не охватывается точкой[17].

Служба теневого копирования

Начиная с Windows Vista хранилище точек опирается на службу теневого копирования томов (VSS) — системный механизм создания моментальных снимков файловых томов[10]. Архитектура VSS строго разделяет роли: запрашивающий компонент (Requester) инициирует создание снимка; писатель (Writer) подготавливает данные приложения к согласованному состоянию перед снимком; а поставщик (Provider) создаёт и поддерживает теневую копию[10][13][18]. Снимки такого рода используют не только для отката конфигурации, но и для архивации и создания полных образов томов[10].

undefined

Файловый подход Windows Me и Windows XP отличался от блочного: служба копировала целиком изменённые файлы из списка наблюдаемых расширений, что при частых изменениях приводило к быстрому заполнению хранилища, тогда как блочное копирование при записи сохраняет только изменённые участки[7][13]. Теневые копии, созданные службой, остаются невидимыми для обычной работы с файлами и доступны системным интерфейсам и средствам восстановления[15].

Хранилище точек

Точки хранятся в служебных папках защищаемых томов и не требуют действий от пользователя: система сама удаляет старейшие записи, когда хранилище заполняется, поддерживая «катящийся» запас точек за недавний период[3]. В Windows 10 и Windows 11 максимальный объём дискового пространства для точек восстановления можно настроить в разделе «Защита системы»[19]. При исчерпании лимита вытесняются старейшие точки.

undefined

Создание точек восстановления

Автоматические поводы

В Windows XP служба создавала точки перед событиями, способными изменить конфигурацию: установкой совместимых приложений, неподписанных драйверов и обновлений Windows Update — в последнем случае точка создавалась в момент начала установки, а не загрузки файлов[3].

undefined

Ручное создание и управление

Пользователь может создать точку вручную из раздела «Защита системы» и запустить оттуда мастер восстановления. Программное создание точки восстановления выполняется командлетом Checkpoint-Computer оболочки Windows PowerShell. Защиту отдельных томов включают командлетом Enable-ComputerRestore, а отключают командлетом Disable-ComputerRestore[20][21]. При отключении защиты хранимые точки становятся недоступными для отката. Служба восстановления доступна только в клиентских выпусках Windows — серверные редакции полагаются на средства архивации и снимки томов[14][4].

Применение

Запуск отката

После подтверждения выбранной точки Windows выполняет восстановление и перезапускается. Запустить восстановление можно из работающей Windows или среды Windows RE[2].

undefined

Криминалистическое значение

Сопоставление копий реестра из точек восстановления Windows XP использовалось в исследованиях для выявления изменений, связанных с активностью пользователя[22].

Безопасность и критика

Вредоносное программное обеспечение

Вредоносные программы могут попасть в точки восстановления наравне с легальными изменениями: откат к точке, созданной в период заражения, может привести к восстановлению вредоносных компонентов. В то же время точки восстановления имеют значение для расследования инцидентов, так как они сохраняют копии файлов и записей реестра, которые злоумышленник мог удалить из работающей системы[17][23].

Программы-вымогатели целенаправленно уничтожают резервные механизмы: типовым приёмом является вызов удаления всех теневых копий штатной утилитой vssadmin, лишающий жертву возможности отката[24]. В русскоязычной литературе по информационной безопасности устойчивость к таким угрозам связывают с регулярным резервным копированием по схеме трёх копий на двух носителях с удалённым хранением одной из них[25].

Оценка и ограничения

Главное ограничение механизма — узкий охват: защищены конфигурация и системные компоненты, но не личные файлы, поэтому восстановление системы дополняет, а не заменяет резервное копирование[3]. Глубина отката ограничена объёмом хранилища и вытеснением старейших точек.

Восстановление системы применяется для отмены изменений конфигурации при наличии подходящей точки восстановления[2].

undefined

Стандарты защиты хранилищ

Стандарт ISO/IEC 27040:2024 содержит технические требования и рекомендации по безопасности хранения данных. Он опубликован в январе 2024 года как вторая редакция; редакция ISO/IEC 27040:2015 имеет в каталоге ISO статус отозванной (Withdrawn)[26].

Связь с другими механизмами

Восстановление системы соседствует с остальными средствами восстановления Windows: среда восстановления исправляет загрузку и запускает средства отката, когда система не стартует; возврат в исходное состояние переустанавливает Windows с сохранением или удалением личных файлов; откат к предыдущей версии отменяет обновление выпуска; носитель восстановления применяется при полном отказе[4].

От отката конфигурации отличается журналирование файловой системы: оно обеспечивает согласованность тома после сбоя питания, но не возвращает прежние версии файлов и параметров[27]. Для резервирования личных файлов используют средства резервного копирования; теневые копии могут применяться такими средствами при сохранении данных[18]. Обзоры методов резервного копирования на русском языке описывают полные, инкрементальные и дифференциальные схемы архивации как базовую меру обеспечения безопасности информации и сохранения целостности данных[28].

Примечания

  1. ↑ 1 2 3 Microsoft. System Restore - Win32 apps (англ.). learn.microsoft.com. Microsoft. Дата обращения: 23 сентября 2026.
  2. ↑ 1 2 3 System Restore (англ.). Дата обращения: 28 сентября 2026.
  3. ↑ 1 2 3 4 5 6 7 Microsoft. Microsoft Windows XP System Restore (англ.). msdn.microsoft.com. Microsoft (2001). Дата обращения: 23 сентября 2026.
  4. ↑ 1 2 3 4 Microsoft. Recovery options in Windows (англ.). support.microsoft.com. Microsoft. Дата обращения: 23 сентября 2026.
  5. ↑ 1 2 Harms K. Forensic Analysis of System Restore Points in Microsoft Windows XP (англ.) // Digital Investigation. — 2006. — Vol. 3, no. 3. — P. 151—158. — doi:10.1016/j.diin.2006.08.008.
  6. ↑ Creating a Point of Return for Windows (англ.). The New York Times. The New York Times Company (16 февраля 2018). Дата обращения: 23 сентября 2026.
  7. ↑ 1 2 Using the System Restore in Windows Me (англ.). smallvoid.com (2003). Дата обращения: 23 сентября 2026.
  8. ↑ 1 2 Sony. Kinds of restore points in System Restore on Windows Me (англ.). sony-asia.com. Sony (2018). Дата обращения: 23 сентября 2026.
  9. ↑ Recover Space Used by System Restore (англ.). pcmag.com. PCMag. Дата обращения: 23 сентября 2026.
  10. ↑ 1 2 3 4 Microsoft. Volume Shadow Copy Service - Win32 apps (англ.). learn.microsoft.com. Microsoft. Дата обращения: 23 сентября 2026.
  11. ↑ 1 2 Bott E., Siechert C., Stinson C. Windows 7 Inside Out (англ.). — Microsoft Press, 2010. — ISBN 978-0-7356-2665-2.
  12. ↑ Microsoft. vssadmin (англ.). learn.microsoft.com. Microsoft. Дата обращения: 23 сентября 2026.
  13. ↑ 1 2 3 Allievi A., Russinovich M. E., Ionescu A., Solomon D. A. Windows Internals, Part 2 (англ.). — 7th ed.. — Microsoft Press, 2021. — ISBN 978-0-13-546240-9.
  14. ↑ 1 2 3 Microsoft. Checkpoint-Computer (Microsoft.PowerShell.Management) - PowerShell (англ.). learn.microsoft.com. Microsoft. Дата обращения: 23 сентября 2026.
  15. ↑ 1 2 Sreeja S. C., Balan C. Forensic Analysis of Volume Shadow Copy in Windows 7 (англ.) // 2016 International Conference on Emerging Technological Trends (ICETT). — 2016. — P. 1—6. — doi:10.1109/ICETT.2016.7873670.
  16. ↑ Yosifovich P., Ionescu A., Russinovich M. E., Solomon D. A. Windows Internals, Part 1 (англ.). — 7th ed.. — Microsoft Press, 2017. — ISBN 978-0-7356-8418-8.
  17. ↑ 1 2 Carvey H. Windows Forensic Analysis Toolkit (англ.). — Elsevier, 2014. — ISBN 978-0-12-417157-2.
  18. ↑ 1 2 Volume Shadow Copy Service (англ.). Дата обращения: 28 сентября 2026.
  19. ↑ System Protection (англ.). Дата обращения: 28 сентября 2026.
  20. ↑ Enable-ComputerRestore (англ.). Дата обращения: 28 сентября 2026.
  21. ↑ Disable-ComputerRestore (англ.). Дата обращения: 28 сентября 2026.
  22. ↑ Kahvedžić D., Kechadi T. Extraction and Categorisation of User Activity from Windows Restore Points (англ.) // Journal of Digital Forensics, Security and Law. — 2008. — doi:10.15394/jdfsl.2008.1049.
  23. ↑ Easttom C. et al. Windows Forensics: Understand Analysis Techniques for Your Windows (англ.). — Apress, 2024. — ISBN 979-8-8688-0192-1.
  24. ↑ Kharraz A., Robertson W., Balzarotti D., Bilge L., Kirda E. Cutting the Gordian Knot: A Look Under the Hood of Ransomware Attacks (англ.) // Lecture Notes in Computer Science. — 2015. — P. 3—24. — doi:10.1007/978-3-319-20550-2_1.
  25. ↑ Питкевич П. И. Методы резервирования данных для критически важных ИТ-систем предприятия // Universum: технические науки. — 2021. — № 10-1 (91).
  26. ↑ ISO. ISO/IEC 27040:2024 — Information technology — Security techniques — Storage security (англ.). iso.org. International Organization for Standardization (2024). Дата обращения: 23 сентября 2026.
  27. ↑ Tanenbaum A. S., Bos H. Modern Operating Systems (англ.). — Pearson, 2015. — ISBN 978-0-13-359162-0.
  28. ↑ Чумбуридзе Я. А. Основные методы резервного копирования для обеспечения безопасности информации // Международный журнал гуманитарных и естественных наук. — 2023. — № 3-2 (78).

Литература

  • Питкевич П. И. Методы резервирования данных для критически важных ИТ-систем предприятия // Universum: технические науки. — 2021. — № 10-1 (91).
  • Чумбуридзе Я. А. Основные методы резервного копирования для обеспечения безопасности информации // Международный журнал гуманитарных и естественных наук. — 2023. — № 3-2 (78).
  • Bott E., Siechert C., Stinson C. Windows 7 Inside Out (англ.). — Microsoft Press, 2010. — ISBN 978-0-7356-2665-2.
  • Carvey H. Windows Forensic Analysis Toolkit (англ.). — Elsevier, 2014. — ISBN 978-0-12-417157-2.
  • Easttom C., Butler W., Phelan J., Sai Bhagavatula R. Windows Forensics: Understand Analysis Techniques for Your Windows (англ.). — Apress, 2024. — ISBN 979-8-8688-0192-1.
  • Harms K. Forensic Analysis of System Restore Points in Microsoft Windows XP (англ.) // Digital Investigation. — 2006. — Vol. 3, no. 3. — P. 151—158. — doi:10.1016/j.diin.2006.08.008.
  • Kharraz A., Robertson W., Balzarotti D., Bilge L., Kirda E. Cutting the Gordian Knot: A Look Under the Hood of Ransomware Attacks (англ.) // Lecture Notes in Computer Science. — 2015. — P. 3—24. — doi:10.1007/978-3-319-20550-2_1.
  • Yosifovich P., Ionescu A., Russinovich M. E., Solomon D. A. Windows Internals, Part 1 (англ.). — 7th ed.. — Microsoft Press, 2017. — ISBN 978-0-7356-8418-8.
  • Allievi A., Russinovich M. E., Ionescu A., Solomon D. A. Windows Internals, Part 2 (англ.). — 7th ed.. — Microsoft Press, 2021. — ISBN 978-0-13-546240-9.
  • Tanenbaum A. S., Bos H. Modern Operating Systems (англ.). — Pearson, 2015. — ISBN 978-0-13-359162-0.

Дополнительно по теме

Категории

Pause