技術(shù)分享：KVM虛擬化如何取證？

作者：美亞柏科 2018-08-08 14:55:32
云計算
虛擬化 虛擬化技術(shù)應(yīng)用越來越廣泛，在國內(nèi)虛擬化市場，按銷售額已經(jīng)五年成兩位數(shù)增長了。對于我們?nèi)∽C業(yè)行來說也迫切需要了解一些虛擬化相關(guān)的知識，今天美亞技術(shù)專家為大家?guī)硎褂肔inux KVM虛擬化技術(shù)的取證研究。

虛擬化技術(shù)應(yīng)用越來越廣泛，在國內(nèi)虛擬化市場，按銷售額已經(jīng)五年成兩位數(shù)增長了。對于我們?nèi)∽C業(yè)行來說也迫切需要了解一些虛擬化相關(guān)的知識，今天美亞技術(shù)專家為大家?guī)硎褂肔inux KVM虛擬化技術(shù)的取證研究。

什么是KVM？

KVM是Kernel-based Virtual Machine的簡稱，是一個開源的系統(tǒng)虛擬化模塊，自Linux 2.6.20之后集成在Linux的各個主要發(fā)行版本中。它使用Linux自身的調(diào)度器進行管理，操作簡單使用方便。是Linux系統(tǒng)中主流的虛擬化解決方案之一。

KVM虛擬機的創(chuàng)建

創(chuàng)建KVM虛擬機可以通過命令方式，也可以通過圖形化管理界面方式，創(chuàng)建虛擬取對取證沒有太大幫助，但創(chuàng)建虛擬機時硬盤文件存放位置是我們?nèi)∽C必須確認的，因此為了直觀顯示并了解硬盤文件存儲位置，此處使用圖形化界面簡單演示：

1、使用命令virt-manager或是在桌面環(huán)境中找到”System Tools”并打開虛擬機管理程序” Virtual Machine Manager”，管理程序運行后如下圖所示。

2、選擇New 會彈出如下圖顯示的新建虛擬機對話框。

3、根據(jù)自已需要設(shè)置好相關(guān)選項，硬盤文件存儲位置設(shè)置如下圖所示。

4、從上圖可以看見，我們可以創(chuàng)建新的硬盤文件，也可以選擇已經(jīng)有的硬盤文件。此處我們選擇第二項“select managed or other existing storage“并點擊”Browse“瀏覽，會彈出如下圖對話框，對話框中已經(jīng)顯示了默認硬盤文件位置。

5、我們可以選擇新建卷“New Volume“或是本地瀏覽“Browse Local“，本地瀏覽可以把硬盤文件存放在其它位置。如下圖所示，是在tmp目錄下建的一個11111111的硬盤文件，并且文件沒有后綴，因為linu不以后綴來識別文件類型。

6、硬盤的文件格式有很多種，最常使用的是raw、qcow2、vmdk，不同linux版本會有不同，如下圖所示是ubuntu 16.04版本所支持的硬盤文件格式。

如果都按默認方式創(chuàng)建硬盤文件存儲目錄在/var/lib/libvirt/images/

以上就是創(chuàng)建虛擬機的流程，硬盤存儲相關(guān)的設(shè)置，正常取證過程中虛擬機都已創(chuàng)建成功，我們怎么來確認創(chuàng)建好的虛擬機硬盤文件存儲在那呢？

KVM如何取證？

對取證來說最主要的就是要提取存儲在虛擬里面的數(shù)據(jù)。怎樣確認數(shù)據(jù)存儲位置，如何獲取相關(guān)的數(shù)據(jù)，然后用取證工具分析呢？

一、如何確認KVM虛擬機文件存儲位置

方法一：使用命令查硬盤文件存儲位置

1、查看KVM虛擬機列表

[root@Bance ~]# virsh list –all

命令運行成功后會得到如下畫面。如下圖所示，可以看到有三臺虛擬機。

2、查看xp虛擬機的配制文件

[root@Bance ~]# virsh edit xp

命令運行成功能會顯示如下圖畫面。

如上圖所示配制文件的disk type選項就定義了xp虛擬機硬盤文相關(guān)信息，source file 中定義的/var/lib/libvirt/images/xp.img就是xp虛擬硬盤存儲路徑。

3、我們可通過“l(fā)l /var/lib/libvirt/images/“確認硬盤文件是否存在，如下圖所示。

方法二：使用圖形化界面查看硬盤文件位置

1、使用命令virt-manager或是在桌面環(huán)境中找到”System Tools”并打開虛擬機管理程序” Virtual Machine Manager”，如下圖所示。

2、打開管理程序后如下圖顯示，從圖中也可以看到三個虛擬機。

3、雙擊xp虛擬機打開如下界面。

4、選擇“Details“可以查查xp虛擬機的祥細信息。

5、我們要查看硬盤文件相關(guān)信息，只需選擇disk相關(guān)的選項，如下圖所示。

6、確認位置后，把相應(yīng)文件下載到本地使用取證大師分析。

方法三：若對配制文件較熟悉，證據(jù)固定后可直接通過取證大師查看。

默認情況配制文件在/etc/libvirt/qemu/，使用取證大師加載并查看配制文件如下圖所示：

二、如何導出文件虛擬機硬盤文件

方法一：如果證據(jù)已固定，并且已通過配制文件確認硬盤文件存儲位置，可直接使用取證大師導出。

取證大師的使用我想大家都很熟悉了，就不在此贅述了。

方法二：如果設(shè)備是大型商用平臺，無法針對服務(wù)器證據(jù)固定，只能遠程操作時，可使用FTP之類的工具把我們需要的文件下載到本地。

如下圖所示，是使用Xftp工具下載我們需要的硬盤文件。

三．如何分析KVM硬盤文件

文件導出后可以使用取證大師等取證軟件直接分析，目前取證大師可以支持*.img 和*.qcow2格式取證分析。

總結(jié)：虛擬化應(yīng)用越來趙廣泛的今天，對虛擬化解決方案取證也是我們工作中可能會遇到的情況，今天分享給大家的也是個人研究的結(jié)果，無法涵蓋所有取證中遇到的問題，就像KVM虛擬化解決方案，不同linux系統(tǒng)都會有一些差異，如有遇到需要取證的情況，切勿按部就班，需要根據(jù)實際情況融會貫通。

標題名稱：技術(shù)分享：KVM虛擬化如何取證？
文章來源：http://www.dlmjj.cn/article/cocihes.html