Acquisizione live su Hyper-V: pro e contro, rischio alterazione, snapshot e raccolta evidenze. Come ridurre contaminazione e produrre report difendibili.
Una live acquisition su Hyper-V viene scelta quando spegnere un server è impossibile o dannoso. Il rovescio è il rischio di alterazione: qualsiasi azione su un sistema acceso può modificare log, file temporanei e stato delle VM. Per questo servono procedure minimamente invasive e documentate.
Best practice: definire lo scopo, acquisire prima i dati volatili utili, utilizzare snapshot/exports coerenti, registrare ogni azione, e preservare evidenze con hashing e log di acquisizione. Il report deve dichiarare esplicitamente la natura “live” dell’attività, i rischi residuali e le misure adottate per ridurli.