Criar uma máquina virtual a partir de um S.O. em um disco

Esta é uma técnica bastante utilizada na computação forense quando se precisa periciar o sistema operacional de uma máquina. Todo o conteúdo do disco rígido é clonado para uma imagem e assim o sistema pode ser iniciado e vasculhado sem o risco de modificar ou perder o conteúdo original, ou seja, este procedimento serve para preservar a evidência.

No nosso exemplo vamos usar uma ferramenta do ambiente Linux e o Sun VirtualBox para executar a máquina virtual. Então, retire o disco rígido da máquina investigada pois tudo será feito em uma outra máquina, para o trabalho. Acompanhe as etapas a seguir:

Conecte a unidade de disco rígido na máquina de trabalho, pode ser por um adaptador USB ou diretamente na controladora de disco. Importante não montar o sistema de arquivos para manter a integridade dos dados, o acesso ao disco será diretamente no nível raw.

Copie todo o conteúdo do disco para uma imagem no HD da máquina de trabalho. Use o comando "dd" para isto, siga o exemplo da linha abaixo de acordo com o dispositivo de origem:

$ dd if=/dev/sdg of=imagem-hd.img

A imagem gerada está no formato raw pois é uma cópia de um acesso no nível binário do disco, abaixo do nível do sistema de arquivos. O VirtualBox não trabalha com imagens neste formato, as unidades de disco virtuais devem estar em um outro formato de armazenamento, denominado "Virtual Desktop Image" ou VDI. Converta para este formato usando o utilitário "VBoxManage", incluído no pacote do VirtualBox. A linha de comando completa é semelhante a demonstrada abaixo:

$ VBoxManage convertfromraw --format VDI imagem-hd.img imagem-hd.vdi

Neste ponto o sistema está quase pronto para ser iniciado, necessita somente criar a máquina virtual no VirtualBox e especificar esta imagem VDI como sendo a unidade de disco rígido. Se tudo ocorreu corretamente, o sistema provavelmente será iniciado.

No momento da criação da máquina virtual alguns detalhes precisam ser respeitados. Geralmente é necessário manter o tipo da controladora de disco, por exemplo, se o disco rígido é padrão SATA então defina a controladora da máquina virtual para o padrão SATA. Detalhes assim podem atrapalhar a inicialização. Quanto aos drivers de rede, som, vídeo etc., estes podem ser reinstalados com a máquina em funcionamento.

Em um trabalho profissional o processo de cópia do HD original para uma imagem deve ser assistido por um equipamento que proteja o disco que qualquer escrita. Um equipamento com este propósito é o "Tableau T8 Forensic USB Bridge". Mas em uma atividade doméstica ou em caso de não ser necessária tanta proteção, nada disso é preciso.

Compactando uma Imagem de Desktop Virtual do VirtualBox

Uma Imagem de Desktop Virtual (VDI) é o nome do formato padrão de armazenamento para os recipientes do VirtualBox. São os discos virtuais onde estão contidas as máquinas virtuais. Basicamente é um arquivo imenso que equivale a uma unidade de armazenamento inteira, por exemplo um disco rígido.

Uma VDI pode ser dinamicamente expansível, isto é, seu tamanho cresce de acordo com o espaço ocupado pelo sistema virtualizado em seu interior. Entretanto quando é liberado algum espaço dentro do sistema virtualizado, ao apagar um arquivo por exemplo, o tamanho do arquivo VDI não decresce.

Do contrário de outras ferramentas de virtualização, que possuem na interface gráfica o comando para compactar os discos virtuais, no VirtualBox temos que recorrer à linha de comando. Para fazer isso primeiro encerre a execução da máquina virtual e após, execute em um terminal o comando exemplificado abaixo:

VBoxManage modifyhd sua_imagem.vdi --compact

Para a compactação ser eficiente é necessário zerar o espaço livre da unidade de disco virtual. Então antes de tudo faça isso dentro da máquina virtual. Se o sistema virtualizado for Windows existe o utilitário SDelete, no Linux existe o shred do pacote coreutils. Isto é necessário porque a compactação é justamente essa eliminação dos espaços vazios no arquivo VDI. Diferentemente dos algoritmos de compactação como zip e rar, que agem nos próprios dados.