Cos'è la Virtualizzazione
Lo scopo è eseguire più istanze di sistemi operativi "guest" contemporaneamente su una singola macchina fisica "host". I SO guest comunicano con l'hardware fisico attraverso un componente software intermedio: l'hypervisor (o Virtual Machine Monitor — VMM).
Perché è rilevante per la Digital Forensics
La virtualizzazione è importante in ambito forense per due motivi opposti:
- Come strumento investigativo: permette di analizzare un sistema sospetto in un ambiente isolato e controllato, senza rischiare di contaminare la macchina dell'investigatore. Si può anche congelare lo stato di una VM (snapshot) e tornare indietro se qualcosa va storto.
- Come tecnica anti-forensics: le VM lasciano poche tracce sul sistema host. Dopo un attacco basta cancellare i file della VM per eliminare quasi tutto.
Vantaggi della Virtualizzazione
- Affidabilità: problemi in una VM non compromettono le altre — l'hypervisor le isola
- Consolidamento server: più VM su una macchina fisica — riduzione fino a 10x dei server fisici necessari
- Riduzione TCO (Total Cost of Ownership): meno server = meno costi energetici, di acquisto e manutenzione
- Disaster Recovery: l'intero SO guest può essere salvato e ripristinato rapidamente
- Alta disponibilità: in caso di failure di un host fisico, le VM si spostano automaticamente su un altro host
- Applicazioni legacy: si possono continuare a usare applicazioni progettate per hardware obsoleto
- Sviluppo e Testing: ambienti isolati e riproducibili facilmente
Hypervisor (VMM)
L'hypervisor astrae l'hardware fisico e crea ambienti di esecuzione separati. Ogni VM crede di avere il controllo esclusivo dell'hardware.
Funzioni principali: protezione, networking, coordinamento driver, gestione risorse, creazione/controllo/monitoraggio/distruzione/migrazione di VM.