En primer lugar, asumo que ya ha localizado la dirección IP del atacante, utilizando un IDS, por ejemplo. En este caso:
- ¿Hay formas de determinar que el atacante está usando una VM?
Una forma en la que puedo pensar, siempre que tenga la IP, es encontrar el MAC del atacante. Por lo general, apuntará al fabricante, que será vmware o algún otro similar.
Se puede usar nmap para este tipo de huellas dactilares.
- ¿Hay formas de determinar qué máquina en la red es el sistema host?
Esta es una pregunta realmente interesante, y no tengo una respuesta, y no estoy seguro de que exista una.
Supongo que puede ubicar el segmento de la red si tiene una infraestructura de conmutación adecuada, sin estar seguro de que pueda hacer algo más que eso de forma remota.
Por supuesto, si está realmente determinado, puede intentar encontrar la IP de la manera opuesta:
Suponiendo que tiene un conmutador administrado, intente bloquear las direcciones MAC a los puertos, una por una. Finalmente, dejará de comunicarse con el invitado cuando bloquee la dirección mac de su host al puerto del switch.
También debería poder ver si hay más de una dirección de mac conectadas a un puerto, si usa un conmutador decente (desafortunadamente no tengo un enlace disponible, pero he leído acerca de esta funcionalidad).