DRIFT Linux: struttura, scelte tecniche e filosofia del progetto

DRIFT Linux nasce con un obiettivo preciso: proporre un ambiente DFIR che non sia soltanto un insieme di strumenti raccolti dentro una ISO, ma un sistema costruito con una logica coerente, orientata alla preservazione, alla praticità operativa e alla possibilità di evolvere nel tempo.

L’idea di fondo è naturale: nel mondo della digital forensics e dell’incident response non basta avere “tanti tool”. Serve un ambiente che parta da una base solida, che faccia scelte tecniche consapevoli e che provi a ridurre attrito, rumore e comportamenti indesiderati proprio nei momenti in cui servono più controllo e più affidabilità.

DRIFT prova a muoversi esattamente in questa direzione.

Un progetto costruito come sistema, non come semplice raccolta di tool

Uno degli aspetti che ha guidato il progetto fin dall’inizio è stato evitare l’approccio più semplice, ma spesso anche più fragile: prendere una base generica, aggiungere software utili e fermarsi lì.

DRIFT Linux non è pensato in questo modo.

L’obiettivo è costruire un ambiente DFIR che abbia un’identità tecnica propria. Questo significa lavorare non solo sulla selezione degli strumenti, ma anche sulla struttura del sistema, sulla gestione dei pacchetti, sul comportamento all’avvio, sulla sicurezza dei dispositivi collegati, sull’aggiornabilità e sulla coerenza complessiva dell’esperienza operativa.

In altre parole, il valore del progetto non sta soltanto nei programmi inclusi, ma nel modo in cui l’intero sistema è stato pensato per funzionare.

Una live ISO prima di tutto

DRIFT Linux nasce prima di tutto come live ISO. Non è una scelta fatta per abitudine o per nostalgia, ma una decisione tecnica precisa.

In molti contesti forensi e di incident response serve uno strumento portabile, rapido da avviare, prevedibile nel comportamento e capace di ridurre il più possibile l’impatto sul contesto che si sta osservando o acquisendo. Per questo DRIFT è stato concepito come un sistema da utilizzare in modo immediato, mantenendo una filosofia fortemente preservativa.

Allo stesso tempo, il progetto non è stato pensato soltanto per scenari “comodi” o desktop-centrici. Ci sono casi in cui un’interfaccia grafica non è disponibile, non è eseguibile o semplicemente non è opportuna. Per questo DRIFT può essere utilizzato anche attraverso ambiente testuale puro, con il supporto di una serie di TUI sviluppate appositamente per facilitare le attività operative anche in assenza di una GUI tradizionale.

La scelta della base: Ubuntu 24.04 LTS

Per la base di partenza è stata scelta Ubuntu 24.04 LTS, nella sua forma più minimale possibile.

La scelta non è stata fatta per inseguire la novità più recente, ma per un motivo molto più pragmatico: offrire una base il più possibile stabile, solida e prevedibile. In un progetto che vuole proporsi come distribuzione DFIR, la priorità non è avere per primi ogni cambiamento introdotto dall’ultima release disponibile, ma costruire qualcosa che possa essere affidabile e governabile.

Per questo non si è scelto di partire direttamente dalla futura Ubuntu 26.04 LTS, poiché porterà con sé numerose novità che richiederanno tempo per essere adattate, integrate e, dove necessario, corrette o contenute. Tutto questo ha sicuramente un suo perché, ma richiederà inevitabilmente una fase di maturazione.

Poiché l’obiettivo di DRIFT Linux è offrire uno strumento DFIR professionale e stabile, si è preferito rinunciare all’ultima novità in favore di una piattaforma già matura, capace di offrire un canovaccio robusto su cui costruire in modo progressivo.

Un repository ufficiale per costruire e aggiornare meglio

Un altro punto importante del progetto è la presenza di un repository ufficiale.

La scelta prende spunto anche dall’impostazione adottata da progetti noti come Kali Linux e ParrotOS, nei quali il repository rappresenta un elemento centrale non solo per la fase di distribuzione, ma anche per la manutenzione, la crescita e la coerenza del sistema nel tempo.

Nel caso di DRIFT, il repository ufficiale è stato pensato con un duplice scopo.

Da una parte consente di migliorare e rendere più ordinata la fase di building, permettendo di orchestrare meglio i componenti attraverso pacchetti gestiti in modo gerarchico e strutturato. Dall’altra permette l’indubbio vantaggio di veicolare aggiornamenti, migliorie e novità anche dopo il rilascio della ISO, evitando che la release resti un oggetto statico e isolato.

Questo punto è essenziale, perché un sistema DFIR non può vivere bene se ogni miglioramento richiede necessariamente una nuova immagine completa. Avere un repository dedicato significa poter correggere, aggiornare e raffinare il progetto in modo più naturale e continuo.

Non un full repo chiuso, ma una sovrapposizione ragionata a Ubuntu

Pur prendendo spunto da modelli già visti in altri progetti, DRIFT Linux non adotta un approccio 100% full repo.

Il repository di DRIFT si pone infatti in sovrapposizione a quelli di Ubuntu, non in totale sostituzione. Questa è una scelta precisa.

L’idea è continuare a poggiare su un ecosistema ampio, stabile e ben mantenuto come quello di Ubuntu, sfruttandone la solidità come base, e lavorare sopra di esso per aggiungere, personalizzare e governare gli elementi specifici del progetto. In questo modo si evita di reinventare inutilmente ciò che è già affidabile, concentrando invece energie e complessità dove ha davvero senso intervenire.

È una scelta meno spettacolare da raccontare rispetto a un full stack completamente autonomo, ma molto più sensata dal punto di vista progettuale. Consente infatti di mantenere una base robusta e ben supportata, costruendo sopra di essa il livello distintivo di DRIFT Linux.

Personalizzazione profonda, non solo configurazione

Un altro aspetto importante è che il lavoro svolto su DRIFT Linux non si è limitato a semplici modifiche di configurazione.

C’è stata, e continua a esserci, una significativa attività di personalizzazione profonda del sistema, sia nelle prime fasi di boot sia nei livelli successivi del comportamento operativo. Questo riguarda da un lato la gestione della sicurezza dei dispositivi collegati e, dall’altro, lo sviluppo di componenti interni e l’adattamento di software esistenti alle esigenze di un contesto forense.

Il punto è importante perché spesso si tende a sottovalutare la differenza tra “mettere insieme un ambiente” e “plasmare un sistema”. DRIFT cerca di stare nella seconda categoria.

Preservazione dei dispositivi collegati fin dal boot

Una delle aree più sensibili è la gestione dei dispositivi collegati.

Nel contesto DFIR non basta che un sistema sia comodo da usare. Deve anche cercare di ridurre il più possibile il rischio di alterazioni non volute, soprattutto quando entra in contatto con supporti o contesti che possono avere rilevanza probatoria.

Per questo in DRIFT Linux è stato fatto molto lavoro non solo sulle configurazioni generali, ma anche sul comportamento iniziale del sistema, con una particolare attenzione alla sicurezza e alla gestione dei device fin dalla prima fase di boot.

Il cuore pulsante di questa impostazione è la personalizzazione del sistema fin dalle primissime fasi di boot del kernel, con l’obiettivo di fornire maggiori garanzie di inalterabilità delle evidenze collegate. Questo ha portato a intervenire non solo sui bus dei dispositivi, come SATA, USB e altri canali di collegamento dei supporti, ma anche su ulteriori aree dell’hardware sottostante che, in un contesto forense, non possono essere trattate come dettagli secondari.

Tra queste rientra anche l’attenzione all’orologio di sistema, elemento che in molte attività può assumere un rilievo probatorio concreto e che, proprio per questo, deve essere preservato con particolare cautela.

Questa impostazione si inserisce nella filosofia più ampia del progetto: cercare di preservare il contesto prima ancora di interagirci. È una logica che influenza più parti del sistema e che costituisce uno dei punti caratterizzanti della distribuzione.

Isolamento radio e cablato

Un altro aspetto tecnico rilevante riguarda l’isolamento delle connettività, sia radio sia cablate.

In alcuni scenari investigativi o incidentali, il semplice fatto di accendere un sistema e lasciarlo comportare in modo standard può generare eventi indesiderati, esporre la presenza dell’analista o alterare il contesto in osservazione. Per questo DRIFT Linux è stato progettato per poter rimanere il più possibile silenzioso e discreto al boot.

A tal fine, Ethernet, Wi-Fi e Bluetooth vengono annullati fin dall’avvio, lasciando poi all’analista la facoltà di riabilitarli in modo deliberato e controllato, attraverso interfacce scritte ad hoc per semplificarne l’orchestrazione.

Si tratta di una scelta molto precisa: spostare il controllo dal comportamento predefinito del sistema alla volontà dell’operatore, che nei contesti più delicati deve poter decidere quando, come e se esporre connettività.

Tool interni e software personalizzati

Oltre al lavoro sulla struttura generale del sistema, DRIFT Linux include anche sviluppo di tool interni e interventi di personalizzazione su software esistenti.

Questa parte è meno appariscente a prima vista, ma è centrale per dare al progetto una sua vera identità. In alcuni casi il lavoro consiste nel creare componenti dedicati; in altri nel modellare software già esistenti affinché si comportino in modo più coerente con una prospettiva forense.

L’esempio più immediato e più facilmente visibile è Thunar, che è stato personalizzato in modo da risultare più forensically oriented nella gestione dei device da montare. È un dettaglio che l’utente può percepire subito, ma che in realtà racconta bene l’approccio generale di DRIFT: prendere elementi concreti dell’esperienza d’uso e orientarli a un contesto operativo preciso, invece di limitarsi a lasciarli nel loro comportamento standard.

Una distribuzione pensata per evolvere anche dopo il rilascio

Uno degli elementi più importanti di DRIFT Linux è che non è stata pensata come una release immobile.

La presenza del repository ufficiale, la scelta della base, la struttura modulare del lavoro sui pacchetti e le personalizzazioni sviluppate fanno parte di una visione che guarda anche al dopo. L’obiettivo non è solo rilasciare una ISO funzionante, ma costruire un progetto capace di ricevere aggiornamenti, refinements, fix e nuove capacità in modo ordinato.

In questo senso DRIFT Linux vuole essere non solo una distribuzione, ma una piattaforma che possa crescere senza dover ricominciare da zero a ogni passo.

Varianti future e direzioni di sviluppo

DRIFT Linux non è stato pensato come un oggetto statico, ma come un progetto destinato a espandersi anche in forme diverse.

Oltre alla live ISO attuale, è prevista in futuro anche una sorta di box installabile, con caratteristiche differenti ma coerenti con la stessa filosofia preservativa che caratterizza il progetto.

Sono inoltre in programma ulteriori varianti della distribuzione, tra cui una versione micro, pensata per essere estremamente minimalista, particolarmente leggera e adatta a contesti più limitati o a scenari in cui si voglia il massimo dell’essenzialità.

Allo stesso modo, fanno parte della roadmap anche versioni specifiche per il mondo cloud, orientate a contesti come Azure, AWS, Google Cloud e scenari simili. È un’evoluzione naturale, perché il lavoro DFIR non riguarda più soltanto macchine fisiche e supporti locali, ma sempre più spesso coinvolge ambienti distribuiti, infrastrutture ibride e servizi remoti.

Una direzione tecnica precisa

Guardando l’insieme, DRIFT Linux si fonda su alcune scelte molto chiare:

• una base minimale e stabile su Ubuntu 24.04 LTS
• una filosofia live-first, con possibilità di utilizzo anche in ambiente testuale puro
• un repository ufficiale per costruzione, manutenzione e aggiornamenti post-rilascio
• un approccio a sovrapposizione rispetto ai repository Ubuntu, invece di una sostituzione completa
• una forte attività di personalizzazione tecnica
• attenzione specifica alla gestione preservativa dei dispositivi fin dal boot
• interventi precoci sul sistema già nelle prime fasi di boot del kernel
• cura anche di aspetti hardware sensibili, incluso l’orologio di sistema
• isolamento di Ethernet, Wi-Fi e Bluetooth fin dall’avvio
• sviluppo di strumenti interni e adattamento di software esistenti in chiave forense
• evoluzione prevista in varianti multiple, inclusi scenari micro, box installabile e cloud

Sono elementi che, presi singolarmente, possono sembrare semplici scelte tecniche. Considerati insieme, però, definiscono una filosofia progettuale precisa: costruire un sistema DFIR che provi a essere concreto, aggiornabile, coerente e realmente utile.

Conclusione

DRIFT Linux nasce quindi come progetto tecnico prima ancora che come semplice distribuzione tematica.

La sua struttura si basa su una combinazione di pragmatismo e personalizzazione: una base solida, un repository ufficiale, un modello di evoluzione post-rilascio, attenzione alla preservazione del contesto, isolamento controllato delle connettività, utilizzo possibile anche in modalità testuale e una serie di interventi mirati per rendere il sistema più coerente con un utilizzo forense reale.

Il risultato non vuole essere soltanto una raccolta di strumenti, ma un ambiente costruito con criterio, capace di crescere nel tempo e di offrire agli analisti un punto di partenza più ordinato, più controllabile e più vicino alle esigenze concrete del lavoro DFIR.