DRIFT Linux: da dove arriva, perché nasce e dove vuole andare

C’è sempre qualcosa di strano nel pubblicare una prima release.

Da una parte c’è entusiasmo, perché un’idea che per mesi o anni è rimasta nella testa, nei test, nei fallimenti, nelle notti passate a sistemare dettagli minuscoli, a un certo punto prende finalmente una forma concreta. Dall’altra c’è inevitabilmente anche un po’ di timore, perché appena un progetto esce dal proprio perimetro smette di appartenere solo a chi lo ha costruito e inizia a confrontarsi con lo sguardo degli altri.

DRIFT Linux non fa eccezione.

Anche quando alle spalle c’è già un passato importante fatto di altre distribuzioni, altri percorsi e altre esperienze, quella sensazione non cambia. Ogni progetto ha una sua identità, un suo peso, una sua storia. E ogni volta, per quanto si possa essere abituati a costruire, progettare o rilasciare, il momento in cui qualcosa inizia davvero a camminare con le proprie gambe resta particolare.

Oggi DRIFT Linux è portato avanti, di fatto, da una sola persona. Questa è una responsabilità, ma anche una dichiarazione molto onesta sullo stato attuale del progetto. Allo stesso tempo, però, c’è una speranza molto chiara: che nel tempo possa crescere una community vera, fatta di persone curiose, tecnici, analisti, contributori e appassionati che vogliano accompagnare il progetto nella sua evoluzione.

Un progetto nuovo, con una storia alle spalle

Per capire davvero DRIFT Linux bisogna chiarire subito una cosa: è un progetto nuovo, ma non nasce nel vuoto.

Dietro c’è un percorso lungo, fatto di attività sul campo, di esigenze reali, di lavoro nel mondo della digital forensics e dell’incident response, ma anche di esperienze pregresse nella costruzione di distribuzioni specialistiche. In questo percorso un nome ha avuto un peso particolare: DEFT.

Chi scrive ha infatti avuto un coinvolgimento diretto e sostanziale nella storia di DEFT Linux, distribuzione che ha rappresentato per anni un riferimento importante nel panorama forense. In quell’esperienza il ruolo ricoperto non è stato secondario, ma quello di prioritario artefice tecnico e progettuale, affiancato da compagni di squadra validi che hanno saputo portare ciascuno il proprio contributo e il proprio valore aggiunto.

È stata un’esperienza grande, nel senso pieno del termine. Grande per le soddisfazioni, per la crescita, per la qualità del lavoro svolto e per ciò che ha lasciato sul piano umano e tecnico. Come accade spesso nei progetti che contano davvero, però, non sono mancati anche passaggi più amari. In particolare, è capitato che il peso reale del lavoro tecnico e progettuale non venisse sempre percepito o riconosciuto in modo proporzionato, mentre altre figure hanno finito per raccogliere in misura più evidente visibilità e attribuzioni pubbliche. Sono dinamiche che possono lasciare amarezza, soprattutto quando si è contribuito in modo così profondo alla costruzione di un progetto.

Detto questo, sarebbe sbagliato ridurre DEFT a queste ombre. Resta un passaggio importante, formativo e fondativo, che ha contribuito in modo concreto a costruire metodo, visione e approccio. Ed è anche da lì che sono nati i presupposti per i percorsi successivi, e in un qualche modo si può vedere DRIFT come la naturale evoluzione di DEFT.

Uno di questi è Tsurugi Linux, progetto ancora attivo e del quale continuo a far parte. Anche questo è un punto per me importante: il mio percorso non si è interrotto, ma ha continuato a evolversi, mantenendo un legame concreto con progetti che hanno segnato e continuano a segnare il panorama DFIR.

DRIFT e Tsurugi: due percorsi distinti, in dialogo tra loro

DRIFT Linux e Tsurugi Linux sono due progetti distinti, ciascuno con una propria identità, una propria visione e un proprio percorso. Proprio questa distinzione, però, non rappresenta una distanza, bensì un valore aggiunto.

DRIFT nasce infatti all’interno di un contesto umano e tecnico positivo, fatto di collaborazione solida, amicizia, stima reciproca e volontà di costruire qualcosa di ulteriore, senza sovrapporsi ad altri percorsi già esistenti. L’idea è stata fin dall’inizio quella di sviluppare uno spazio con una maggiore libertà implementativa, capace di esplorare scelte tecniche e direzioni specifiche mantenendo al tempo stesso un rapporto sano, aperto e collaborativo con l’altro progetto.

Per questo DRIFT Linux e Tsurugi Linux restano realtà parallele, ma non estranee tra loro. Al contrario, condividono una vicinanza concreta, un dialogo reale e la possibilità di influenzarsi reciprocamente in modo positivo, pur restando chiaramente riconoscibili nelle rispettive differenze.

Un aspetto per me importante è anche questo: continuo a far parte di entrambi i progetti. Ed è proprio questa duplice appartenenza a rendere ancora più naturale l’idea di un rapporto collaborativo, costruttivo e non competitivo. Non si tratta quindi di scegliere tra due strade opposte, ma di portare avanti due percorsi diversi, entrambi significativi, che possono convivere, arricchirsi e crescere insieme.

Perché nasce davvero DRIFT Linux

Al netto della storia personale e progettuale, DRIFT Linux nasce da un bisogno tecnico molto concreto.

L’idea era quella di avere un laboratorio portatile, inalterabile e orientato al DFIR, capace di coprire in modo specifico alcune attività che, nella pratica, tornano continuamente:

• acquisizione dei drive dei dispositivi
• acquisizione di contenuti Web e Cloud
• attività di first response

Detta così sembra una lista asciutta, ma in realtà dentro ci sono parecchie implicazioni. Significa pensare a uno strumento che non sia semplicemente “comodo”, ma che abbia una filosofia coerente con i contesti in cui viene usato. Significa progettare qualcosa che nasca per preservare prima ancora che per mostrare. Significa costruire un ambiente che non debba essere reinventato ogni volta da zero quando serve intervenire.

DRIFT Linux è nato esattamente con questa intenzione.

Una live ISO, prima di tutto

Fin dall’inizio DRIFT è stato pensato come un sistema che nasce prima di tutto come ISO live.

Questa scelta non è estetica e non è nemmeno nostalgica. È una scelta tecnica. In molti contesti forensi e di incident response serve uno strumento portabile, rapido da avviare, il più possibile prevedibile nel comportamento e capace di ridurre l’impatto sul contesto che si sta osservando o acquisendo.

Non sempre, inoltre, ci si trova in scenari comodi, con hardware perfettamente collaborativo o con un ambiente grafico facilmente disponibile. Per questo DRIFT è stato progettato anche pensando alle situazioni in cui una GUI non sia eseguibile, non sia opportuna o semplicemente non serva.

In questi casi resta possibile utilizzarlo anche attraverso ambiente testuale puro, accompagnato da una serie di TUI sviluppate appositamente. Non è una scelta fatta per folklore da terminale. È una scelta fatta perché, in certi contesti, semplicità, controllo e leggibilità contano molto più degli effetti grafici.

Più avanti è prevista anche una sorta di box installabile, con caratteristiche diverse rispetto alla live, ma con la stessa filosofia di fondo. Cambierà la forma, non l’impianto mentale. Anche nelle evoluzioni future, DRIFT vuole restare uno strumento con una forte vocazione preservativa.

Il punto centrale: preservare il contesto

Il cuore tecnico di DRIFT Linux sta probabilmente qui.

L’obiettivo non è solo avere un sistema avviabile con degli strumenti utili dentro. Quello sarebbe il minimo sindacale. Il punto è che DRIFT cerca di intervenire sul comportamento del sistema fin dalle primissime fasi di boot del kernel, proprio per aumentare il più possibile le garanzie di inalterabilità delle evidenze collegate.

Questa attenzione ha portato a lavorare non solo su controlli relativi ai bus dei drive, come SATA, USB e altri canali di collegamento dei supporti, ma anche su aspetti dell’hardware che spesso vengono trascurati e che invece, in determinati contesti, hanno un peso molto concreto.

Uno dei più importanti è l’orologio di sistema. Può sembrare un dettaglio secondario solo a chi non ha mai dovuto ragionare seriamente su catena di custodia, coerenza temporale, timeline e affidabilità del contesto probatorio. In realtà è un elemento che può essere molto rilevante e che, proprio per questo, merita attenzione fin dall’avvio.

In altre parole, DRIFT prova a comportarsi come dovrebbe comportarsi uno strumento pensato per il DFIR: non come un sistema genericamente comodo, ma come un ambiente che cerca di essere rispettoso, prudente e difensivo verso ciò che ha davanti.

Stealth by choice, non per caso

Un altro aspetto fondamentale riguarda l’isolamento radio e cablato.

In alcuni scenari investigativi o incidentali, il semplice fatto di accendere una macchina e lasciarla comportare “normalmente” può già essere troppo. Una porta Ethernet attiva, una scheda Wi-Fi che prova a dialogare, il Bluetooth che si annuncia, una connessione che parte senza volerlo: tutte cose che in certi contesti possono sporcare il quadro, generare eventi indesiderati, esporre la presenza dell’analista o alterare l’ambiente che si sta cercando di osservare con cautela.

Per questo in DRIFT sono state prese precauzioni affinché Ethernet, Wi-Fi e Bluetooth risultino di fatto annullati fin dal boot. L’idea è che il sistema resti il più possibile silenzioso e discreto, lasciando poi all’analista la scelta consapevole di riattivare ciò che serve quando serve.

Anche qui non si tratta di una mania da hardening fine a se stessa. Si tratta di spostare il controllo dal sistema all’operatore. E quando si lavora in ambiti delicati, questa differenza conta eccome.

Per semplificare questa gestione, DRIFT prevede interfacce scritte ad hoc, pensate per rendere più agevole l’orchestrazione di questi comportamenti senza costringere ogni volta a percorsi inutilmente macchinosi.

Un progetto che non finge di essere già “finito”

Una delle cose peggiori che si possano fare al primo rilascio è far finta di avere già costruito qualcosa di perfetto, definitivo e completo. Sarebbe poco credibile, oltre che piuttosto arrogante.

DRIFT Linux non è perfetta e non è completa. E va benissimo dirlo con chiarezza.

Quello che vuole essere, oggi, è un buon punto di partenza. Uno strumento DFIR utile, serio, già caratterizzato da attenzioni tecniche precise e da una filosofia riconoscibile. Un progetto che nasce con l’ambizione di essere davvero utile agli analisti, ma che allo stesso tempo sa di dover crescere, maturare, essere provato, corretto, raffinato e ampliato.

In fondo è così che nascono gli strumenti che durano: non fingendo onnipotenza alla prima release, ma costruendo fondamenta sane.

Le direzioni future

Il percorso di DRIFT Linux non si esaurisce con questa prima ISO.

Sono già in programma ulteriori varianti, tra cui una versione micro, pensata per essere estremamente minimalista, molto leggera e particolarmente utile in ambienti limitati o su hardware più contenuto.

Allo stesso modo, sono previste anche versioni specifiche per il mondo cloud, con declinazioni orientate a contesti come Azure, AWS, Google Cloud e altri scenari simili. È un’evoluzione naturale, perché oggi il lavoro DFIR non si muove solo su macchine fisiche, dischi e acquisizioni tradizionali, ma sempre più spesso attraversa ambienti distribuiti, servizi remoti e infrastrutture ibride.

L’idea è quindi far crescere DRIFT non come un singolo oggetto statico, ma come una famiglia di strumenti coerenti con la stessa filosofia di fondo.

Il nome DRIFT

Anche il nome non è stato scelto a caso.

DRIFT contiene diversi significati, tutti in qualche modo coerenti con l’anima del progetto.

Il primo è il più immediato: richiama l’urgenza tipica dell’incidente, il momento in cui bisogna reagire, accendere i motori e muoversi rapidamente. Dentro c’è la metafora della sgommata, della risposta energica, ma non nel senso del caos o dell’improvvisazione. Piuttosto nel senso di un movimento rapido che però mantiene aderenza, controllo, coerenza e sicurezza.

Poi c’è un secondo livello, più giocoso ma perfettamente in linea con il contesto tecnico: DRIFT può essere letto anche come una forma che richiama DFIR T, cioè Digital Forensics & Incident Response Toolkits.

Infine c’è una sfumatura più affettiva, quasi fonetica, che rimanda al “fu DEFT”. Per chi scrive, quel nome richiama un pezzo importante della propria storia tecnica, del proprio percorso architetturale e della propria esperienza nella costruzione di sistemi live orientati alla forensics. È un richiamo che non vive di nostalgia sterile, ma di memoria tecnica e umana, e che fa piacere non rinnegare.

In chiusura

DRIFT Linux nasce da una storia che esiste già, ma non si limita a ereditarla passivamente.

Nasce da esperienza reale, da lavoro tecnico, da errori, da lezioni utili, da collaborazioni buone, da qualche boccone amaro, e soprattutto dalla volontà di costruire qualcosa che abbia una propria identità chiara.

È un progetto giovane, ma con radici profonde. È un progetto personale, ma pensato per crescere. È un progetto tecnico, ma non freddo. E soprattutto è un progetto che non vuole vendere un’immagine artificiale di perfezione: vuole provare a essere utile davvero.

Se questa prima release riuscirà a trasmettere anche solo una parte di questa intenzione, allora sarà già un ottimo inizio.