Caça em Frota com Velociraptor

Apenas para Uso Autorizado: Agentes Velociraptor fornecem visibilidade profunda do endpoint e coleta remota. Implante apenas em ativos que você possui ou está autorizado a monitorar, de acordo com sua política de monitoramento e a lei aplicável.

Visão Geral

Velociraptor é uma plataforma de visibilidade de endpoint e forense digital de código aberto da Rapid7/Velocidex. Um único binário Go atua como servidor, cliente (agente) e CLI, dependendo de como é invocado e configurado. Seu poder vem da VQL (Velociraptor Query Language) — uma linguagem semelhante a SQL cujos plugins consultam o estado em tempo real de um endpoint (processos, arquivos, registro, logs de eventos, WMI, conexões de rede, prefetch, etc.). Consultas VQL são empacotadas em Artefatos reutilizáveis, e Artefatos são executados em escala como Hunts que se espalham por todos os clientes conectados e transmitem resultados de volta para o servidor como linhas estruturadas.

Isso torna o Velociraptor ideal para caça de ameaças em toda a frota: uma hipótese ("algum host está executando PowerShell suspeito?") se torna um artefato VQL, implantado como um hunt, com resultados agregados centralmente em minutos. Ele também suporta coletores offline (executáveis autônomos que coletam e empacotam artefatos em hosts isolados ou não gerenciados) e notebooks forenses ao vivo.

Quando Usar

• Caçar um TTP em centenas ou milhares de endpoints a partir de um único console.
• Coletar artefatos forenses sob demanda durante a resposta a incidentes sem reimagem.
• Monitorar continuamente um indicador usando artefatos de eventos do lado do cliente.
• Gerar coletores offline autônomos para hosts que você não pode registrar.

Pré-requisitos

• Um host Linux ou Windows para o servidor (Linux recomendado para produção).
• O binário Velociraptor da página oficial de releases: https://github.com/Velocidex/velociraptor/releases
• Conectividade de saída/entrada dos clientes para a porta do frontend do servidor (padrão 8000) e a GUI de administração (padrão 8889).
• Tornar o binário executável no Linux:

  chmod +x velociraptor-v0.*-linux-amd64
  sudo mv velociraptor-v0.*-linux-amd64 /usr/local/bin/velociraptor
  

Objetivos

• Gerar configurações de servidor e cliente.
• Executar o frontend e a GUI do servidor.
• Registrar clientes em toda a frota.
• Criar e testar hunts VQL.
• Lançar um hunt em toda a frota e coletar resultados.
• Produzir um coletor offline para hosts não gerenciados.

Mapeamento MITRE ATT&CK

Velociraptor é uma plataforma de caça defensiva; o mapeamento reflete o comportamento do adversário que os hunts são projetados para detectar.

Fluxo de Trabalho

1. Gerar a configuração do servidor

O gerador interativo escreve uma configuração de servidor (TLS, caminhos do datastore, usuários da GUI, URL do frontend). Use config generate para uma compilação de laboratório autoassinada ou o assistente interativo -i para produção.

# Non-interactive: dump a default server config
velociraptor config generate > server.config.yaml

# Interactive wizard (recommended for production deployments)
velociraptor config generate -i

2. Adicionar um usuário administrador da GUI

Crie pelo menos um administrador para fazer login no console.

velociraptor --config server.config.yaml user add admin --role administrator

3. Iniciar o frontend e a GUI do servidor

O frontend aceita conexões de clientes; a GUI é servida conforme a configuração (padrão https://127.0.0.1:8889).

velociraptor --config server.config.yaml frontend -v

Para um laboratório local rápido e tudo-em-um (servidor + frontend + um cliente local em um único processo):

velociraptor gui

4. Gerar a configuração do cliente e implantar agentes

Derive a configuração do cliente da configuração do servidor e execute-a como cliente em cada endpoint.

# Produce the client config (embeds server URL + CA)
velociraptor --config server.config.yaml config client > client.config.yaml

# On a Linux endpoint, run as a client (or install as a service)
velociraptor --config client.config.yaml client -v

No Windows, crie um instalador MSI/serviço a partir da GUI ("Server Artifacts" > deployment) ou execute:

velociraptor.exe --config client.config.yaml service install

5. Testar VQL interativamente antes de caçar

…