云计算
虚拟化技术的应用越来越广泛，在国内虚拟化市场上，销售额5年内增长到两位数。 我们取证行业也迫切需要虚拟化方面的知识。 今天，美亚技术专家将为您带来使用Linux KVM虚拟化技术的取证研究。
什么是KVM？
KVM是Kernel-based Virtual Machine的简称，是一个开源系统虚拟化模块，与Linux 2.6.20及更高版本的主要Linux版本集成。 它使用Linux自己的调度程序进行管理，操作简单，使用方便。 是Linux系统上主流的虚拟化解决方案之一。
创建KVM虚拟机
KVM虚拟机的创建可以通过命令完成，也可以通过图形管理界面完成。 虽然创建虚拟提取对取证帮助不大，但在创建虚拟机时需要了解硬盘文件的位置，因此为了直观地显示和了解硬盘文件的位置，我们将通过图形界面进行简单介绍
1、使用命令virt-manager或在桌面环境中找到“System Tools”，然后打开虚拟机管理程序“Virtual Machine Manager”。 虚拟机管理程序运行后，如下图所示。
2、选择“New”，将显示如下图所示的新虚拟机对话框。
3、根据自己的需要设置相关选项，如下图所示设置硬盘文件的保存位置。
4、如上图所示，可以创建新的硬盘文件，也可以选择现有的硬盘文件。 现在，如果单击selectmanagedorotherexistingstorage (浏览)浏览，将出现下图中的对话框，其中显示默认硬盘文件的位置。
5 .您可以选择新卷“新建卷”或本地浏览“浏览本地”。 您可以在本地浏览中将硬盘文件存储在其他位置。 是在tmp目录下构建的11111111硬盘文件，文件没有后缀，如下图所示。 这是因为linu不使用后缀标识文件类型。
6、硬盘文件格式有很多种。 最常用的是raw、qcow2和vmdk，这取决于linux版本。 下图为ubuntu 16.04版本支持的硬盘文件格式。
/var/lib/libvirt/images/
以上是虚拟机的创建过程。 硬盘存储相关设置，常规取证过程创建了虚拟机。 如何确保创建的虚拟机的硬盘文件存储在那里？
KVM怎么取证？
取证最重要的是提取虚拟化的数据。 如何确定数据的存储位置，获取相关数据，并使用取证工具进行分析？
一.如何确定KVM虚拟机的文件存储位置
方法1 :使用命令查找硬盘文件的存储位置
1、查看KVM虚拟机列表
[ root @ bance~] # virs hlistall
命令成功执行后，将获得以下屏幕： 您可以看到有三台虚拟机，如下图所示。
2、查看xp虚拟机配置文件
[root@Bance ~]# virsh edit xp
命令正常执行后，将显示下图的画面。
上图中配置文件的磁盘类型选项定义了有关xp虚拟机硬盘的信息。 source file中定义的/var/lib/libvirt/images/xp.img是xp虚拟硬盘的存储路径。
3、如下图所示，可以通过“ll /var/lib/libvirt/images/”确认硬盘文件是否存在。
方法2 :使用图形界面显示硬盘文件的位置
1、使用命令virt-manager或在桌面环境中找到“System Tools”，然后打开虚拟机管理程序“Virtual Machine Manager”
中选择所需的族。
2、打开虚拟机管理程序后，如下图所示，从图中也可以看到3个虚拟机。
3、双击xp虚拟机打开以下界面：
4、选择“Details”可以查看xp虚拟机的详细信息。
5、要查看硬盘文件的相关信息，只需选择磁盘相关选项
中选择所需的族。
6、确认位置后，将相应文件下载到当地使用取证主机进行分析。
方法三)对调配文件熟悉的，在证据固定后，可以通过取证达人直接查看。
缺省配置文件位于/etc/libvirt/qemu/中，使用取证主文件加载和查看配置文件时，如下图所示。
二.如何导出文件的VM硬盘文件
方法1 :如果证据是固定的，且配方文件确认了硬盘文件的位置，则可以直接使用取证主控导出。
我想取证大师的使用是众所周知的，这里不再赘述。
方法2 )如果设备是大型商用平台，对服务器证据不固定，只能远程操作，可以使用FTP等工具本地下载我们需要的文件。
使用Xftp工具下载所需的硬盘文件，如下图所示。
3.KVM硬盘文件分析方法
导出文件后，可以直接使用取证软件(如取证主页)进行分析。 目前，取证专家可以支持*.img和*.qcow2格式的取证分析。
总结：在虚拟化应用日益广泛的今天，虚拟化解决方案的取证也可能在我们的工作中发生。 今天给大家展示的也是个人研究的结果，不能涵盖取证中出现的所有问题。 不同的linux系统有一些差异，如KVM虚拟化解决方案。 需要取证的，要不分部门，根据实际情况融合。
详情请访问云服务器、域名注册、虚拟主机的问题，请访问西部数码代理商官方网站： www.chenqinet.cn