Virtualizzazione: Hyper-V, cluster e Veeam

La schermata Virtualizzazione risponde a tre domande di esercizio: il cluster reggerebbe la perdita di un host, quali VM si trascinano un checkpoint dimenticato e quali non hanno backup. I dati vengono dall'agente FirstSI installato sugli host Hyper-V e sul server Veeam Backup & Replication.

#Che cosa serve

Il modulo Virtualisation si apre organizzazione per organizzazione: se manca nel menu, chiedetelo al team che gestisce la vostra piattaforma. Lato agente, attivate il modulo Virtualizzazione su ogni macchina interessata (vedere Gestire gli agenti). Serve un agente in versione 2026.10.11.4 o successiva.

Installate PowerShell 7 sul server Veeam, nella sua cartella predefinita (C:\Program Files\PowerShell\7). Veeam 13 rifiuta Windows PowerShell 5.1: senza PowerShell 7, l'agente non rileva nulla su quel server.

Il rilevamento è leggero: una trentina di secondi al massimo ogni 15 minuti su un host, circa un minuto all'ora sul server Veeam. Si ferma da solo dopo 5 minuti se non è terminato.

Su una macchina che non è né host Hyper-V né server Veeam, il modulo non rileva nulla. Lo segnala una volta al giorno, e la schermata mostra la macchina nella riga «Modulo attivo su macchine che non sono né host Hyper-V né server Veeam».

#Panoramica

Aprite Virtualizzazione (#/virtualisation, nel gruppo Virtualisation). Sei schede: Panoramica, Macchine virtuali, Checkpoint, Backup, Rilievi, Impostazioni. Aggiorna ricarica la schermata.

I riquadri in alto danno gli Host Hyper-V, le Macchine virtuali (e quante sono accese), i Checkpoint (e quanti sono vecchi), la dimensione dei Dischi differenziali .avhdx, le VM senza backup e i Rilievi. I riquadri Checkpoint, VM senza backup e Rilievi aprono la scheda corrispondente. Rilievi per regola conta i rilievi di ogni regola; un clic su una regola ne apre l'elenco.

Per ogni cluster la schermata mostra:

• i nodi, con Stato, Processore, Memoria libera, VM accese e Memoria delle VM;
• il Quorum: il tipo, lo stato del testimone e i voti attivi;
• Se cade il nodo più carico: la memoria delle VM accese di quel nodo, confrontata con la memoria libera degli altri nodi meno una riserva di 8 GB per host;
• ogni volume condiviso (CSV), con una barra dello spazio, la percentuale libera, la saturazione prevista dalla tendenza e l'accesso da ogni nodo.

Il calcolo della capacità mostra «non calcolabile» finché un nodo non invia il proprio rapporto: attivate il modulo su tutti i nodi. Solo il nodo che detiene il gruppo principale del cluster invia la parte cluster, che quindi compare una sola volta.

La tabella Host riprende ogni host, in cluster o no, con i servizi vmms e clussvc, l'età dell'ultimo rapporto e i rilievi. La riga Veeam sotto dà la versione e l'età dell'ultimo rapporto di ogni server.

#Macchine virtuali

La scheda elenca le VM: Host, Stato, vCPU, Memoria (fissa o dinamica), Dischi (numero, dimensione, catena completa o interrotta, dimensione degli .avhdx), Checkpoint (numero ed età del più vecchio), Ultimo backup e Rilievi. Filtrate per cluster, host o regola, oppure scrivete un nome in Filtra.

Un clic su una riga apre la scheda della VM: rilievi, Incidenti in corso, risorse, backup Veeam, dischi con tutta la catena di file, checkpoint e rete. Un clic su un incidente lo apre nel SIEM. Chiudi chiude la scheda.

Una VM migrata da un host all'altro resta la stessa VM: FirstSI la segue tramite il suo identificatore Hyper-V, e la scheda indica «migrata da» l'host precedente.

#Checkpoint

La scheda elenca i checkpoint dal più vecchio al più recente, con la VM, l'host, il Nome, il Tipo, la data di creazione, l'Età e la dimensione dei Differenziali della VM. L'età si colora quando genera un rilievo.

Un checkpoint dimenticato fa crescere il suo file differenziale (.avhdx) a ogni scrittura della VM, fino a riempire il volume. Su un database o un domain controller, tornare a un checkpoint vecchio può anche corrompere i dati.

Per tenere un checkpoint voluto, fate clic su Accettare fino a una data sulla sua riga. Si apre la scheda Impostazioni con la VM, il checkpoint e una data a 7 giorni; fate clic su Aggiungi, poi su Salva. Un checkpoint Recovery non si può accettare.

#Backup

La scheda segue Veeam Backup & Replication:

• Job Veeam: per ogni job, il tipo, il Risultato, l'Ultima fine, la Durata, la Prossima esecuzione, il numero di Oggetti e i rilievi. Il repository di destinazione è scritto sotto il nome, con la dicitura «non pianificato», «disattivato» o «dopo» un altro job;
• Repository: lo spazio libero e la dicitura «immutabile» o «non immutabile»;
• VM in nessun job Veeam;
• Sessioni con lunga attesa di risorse (48 h), quando ce ne sono.

Una VM viene abbinata a Veeam tramite il suo identificatore Hyper-V quando Veeam lo fornisce, altrimenti tramite il nome, senza distinguere maiuscole e minuscole. Un job che punta a un intero host o cluster copre tutte le sue VM. Un job disattivato, o avviato solo a mano, non protegge la VM.

Anche una VM ferma che non è in alcun job viene segnalata. Se è voluto (VM di prova, vecchia VM tenuta spenta), dichiaratela in Impostazioni → VM senza backup per scelta.

#Leggere i rilievi

La scheda Rilievi dà una riga per oggetto e per regola: VM, host, nodo, CSV, cluster, job o repository Veeam. Filtrate per regola, gravità o nome. La colonna Regola dice se il rilievo ha aperto un incidente («incidente aperto») o no («senza incidente»).

Un rilievo resta «senza incidente» in due casi. O è un'informazione, per esempio una VM fermata mentre era accesa. O c'era già al primo rapporto e la sua regola attende un cambiamento. Al primo rapporto aprono un incidente solo queste situazioni: checkpoint, catene interrotte, stato e spazio dei CSV, nodi, quorum, reti del cluster, VM fuori da ogni job Veeam, rilevamenti di sabotaggio. È voluto: un parco scoperto in un colpo solo non apre decine di incidenti per situazioni vecchie.

L'incidente si chiude da solo quando il rilievo scompare al rapporto successivo, tranne per i quattro rilevamenti di sabotaggio: una persona li esamina e li chiude. La sua gravità può salire, non scendere.

La regola VM senza backup si applica solo se un server Veeam viene rilevato. Il ruolo SQL Server o domain controller di una VM viene ripreso dall'inventario AssetMonitor e dalle istanze dichiarate in DBMonitor.

#Sabotaggio dei backup

Un ransomware attacca spesso i backup e l'hypervisor prima di cifrare. FirstSI confronta quindi ogni rapporto con il precedente e segnala quattro cambiamenti sospetti:

L'incidente di un sabotaggio dopo un accesso indica l'account, la macchina, la postazione o l'indirizzo di origine e l'ora dell'accesso. Per questo incrocio attivate anche il modulo SI-Tracer dell'agente sugli host Hyper-V e sul server Veeam: è lui che rileva i loro accessi (vedere SI-Tracer). Senza di lui gli altri tre rilevamenti funzionano, ma non questo.

Una VM eliminata resta visibile per 7 giorni nel riquadro VM scomparse da tutti gli host della panoramica, gli altri rilevamenti per 24 h. Una manutenzione prevista (VM fermate insieme, job Veeam rimosso) attiva gli stessi rilevamenti: risolvete allora l'incidente nel SIEM con la qualificazione Falso positivo.

#Impostazioni

Tutti possono leggere la scheda Impostazioni; solo un amministratore può modificarla. Nulla viene applicato prima di Salva. Ogni salvataggio viene scritto nel registro di audit, e i rilievi vengono ricalcolati subito, senza attendere il rapporto successivo.

Una VM si indica con il suo nome, senza distinguere maiuscole e minuscole. Una soglia «media» più alta della soglia «alta» della stessa regola viene rifiutata al salvataggio.

#Per approfondire

• Gli incidenti VIRT-* arrivano nel SIEM senza regola di correlazione da attivare, con le stesse notifiche degli altri incidenti. Ogni incidente ricorda le azioni da svolgere in Hyper-V o in Veeam.
• L'Assistente IA legge questa schermata: «Quali checkpoint hanno più di 3 giorni?», «Il cluster reggerebbe la perdita di un host?», «Quali VM non hanno backup?».
• La pre-diagnosi dei ticket verifica la VM citata in un ticket, oppure il cluster e lo storage quando un server è lento.
• L'elenco Da gestire della dashboard riprende i nodi fuori servizio, i CSV sotto il 10 % libero, le catene interrotte, i checkpoint più vecchi di 72 h e le VM senza backup recente.

#Domande frequenti

«Nessun rapporto di virtualizzazione ricevuto». Il modulo Virtualizzazione non è attivo su alcun host, oppure l'agente è troppo vecchio. Vedere La schermata Virtualizzazione resta vuota.

La scheda Backup mostra «Nessun server Veeam segnalato». Il modulo non è attivo sul server Veeam, oppure PowerShell 7 non vi è installato. Nel secondo caso il server compare nella riga delle macchine che non sono «né host Hyper-V né server Veeam».

Una VM spenta da mesi viene segnalata senza backup. Non è in alcun job Veeam. Dichiaratela senza backup per scelta, oppure aggiungetela a un job se volete poterla ripristinare.

Ho eliminato un checkpoint in Hyper-V e la schermata lo mostra ancora. La schermata mostra l'ultimo rapporto dell'host, che può avere fino a 15 minuti di ritardo. L'incidente si chiude al rapporto successivo.

FirstSI può eliminare il checkpoint al posto mio? No. La schermata si limita a leggere; l'eliminazione si fa in Gestione Hyper-V o in Veeam.

Fonte: · Docs FirstSI · aggiornato il 12/10/2026