Implementando Velociraptor para Coleta de IR

Visão Geral

Velociraptor é uma plataforma avançada de código aberto para monitoramento de endpoints, forense digital e resposta a incidentes, desenvolvida pela Rapid7. Ele utiliza a Linguagem de Consulta Velociraptor (VQL) para criar artefatos personalizados que coletam, consultam e monitoram quase qualquer aspecto de um endpoint. O Velociraptor permite que equipes de resposta a incidentes coletem e examinem rapidamente artefatos forenses de uma rede, suportando implantações em larga escala com impacto mínimo no desempenho. A arquitetura cliente-servidor com comunicação Fleetspeak possibilita a coleta de dados em tempo real de milhares de endpoints simultaneamente, com endpoints offline retomando as caçadas ao se reconectarem.

Quando Usar

• Ao implantar ou configurar a implementação de capacidades de coleta de IR com Velociraptor em seu ambiente.
• Ao estabelecer controles de segurança alinhados a requisitos de conformidade.
• Ao construir ou melhorar a arquitetura de segurança para este domínio.
• Ao conduzir avaliações de segurança que exigem esta implementação.

Pré-requisitos

• Familiaridade com conceitos e ferramentas de resposta a incidentes.
• Acesso a um ambiente de teste ou laboratório para execução segura.
• Python 3.8+ com as dependências necessárias instaladas.
• Autorização apropriada para quaisquer atividades de teste.

Arquitetura

Componentes

• Servidor Velociraptor: Console central de gerenciamento com interface web e API.
• Cliente Velociraptor (Agente): Agente leve implantado nos endpoints.
• Fleetspeak: Framework de comunicação entre cliente e servidor.
• Motor VQL: Motor de linguagem de consulta para coleta de artefatos.
• Filestore: Armazenamento do lado do servidor para artefatos coletados.
• Datastore: Armazenamento de metadados para caçadas, fluxos e informações do cliente.

Plataformas Suportadas

• Windows (7+, Server 2008R2+)
• Linux (Debian, Ubuntu, CentOS, RHEL)
• macOS (10.13+)

Implantação

Instalação do Servidor

# Download latest release
wget https://github.com/Velocidex/velociraptor/releases/latest/download/velociraptor-linux-amd64

# Generate server configuration
./velociraptor-linux-amd64 config generate -i

# Start the server
./velociraptor-linux-amd64 --config server.config.yaml frontend

# Or run as systemd service
sudo cp velociraptor-linux-amd64 /usr/local/bin/velociraptor
sudo velociraptor --config /etc/velociraptor/server.config.yaml service install

Implantação do Cliente

# Repack client MSI for Windows deployment
velociraptor --config server.config.yaml config client > client.config.yaml
velociraptor config repack --msi velociraptor-windows-amd64.msi client.config.yaml output.msi

# Deploy via Group Policy, SCCM, or Intune
# Client runs as a Windows service: "Velociraptor"

# Linux client deployment
velociraptor --config client.config.yaml client -v

# macOS client deployment
velociraptor --config client.config.yaml client -v

Implantação com Docker

docker run --name velociraptor \
  -v /opt/velociraptor:/velociraptor/data \
  -p 8000:8000 -p 8001:8001 -p 8889:8889 \
  velocidex/velociraptor

Coleta de Artefatos de IR Essenciais

Artefatos Forenses do Windows

-- Coleta de Logs de Eventos do Windows
SELECT * FROM Artifact.Windows.EventLogs.EvtxHunter(
  EvtxGlob="C:/Windows/System32/winevt/Logs/*.evtx",
  IDRegex="4624|4625|4648|4672|4688|4698|4769|7045"
)

-- Coleta de arquivos Prefetch para evidências de execução
SELECT * FROM Artifact.Windows.Forensics.Prefetch()

-- Coleta de entradas Shimcache
SELECT * FROM Artifact.Windows.Registry.AppCompatCache()

-- Coleta de entradas Amcache
SELECT * FROM Artifact.Windows.Forensics.Amcache()

-- Coleta de dados UserAssist
SELECT * FROM Artifact.Windows.Forensics.UserAssist()

-- Coleta de timestamps MFT do NTFS
SELECT * FROM Artifact.Windows.NTFS.MFT(
  MFTFilename="C:/$MFT",
  FileRegex=".(exe|dll|ps1|bat|cmd)$"
)

-- Coleta de tarefas agendadas
SELECT * FROM Artifact.Windows.System.TaskScheduler()

-- Coleta de processos em execução com hashes
SELECT * FROM Artifact.Windows.System.Pslist()

-- Coleta de conexões de rede
SELECT * FROM Artifact.Windows.Network.Netstat()

-- Coleta de cache DNS
SELECT * FROM Artifact.Windows.Network.DNSCache()

-- Coleta de histórico do navegador
SELECT * FROM Artifact.Windows.Applications.Chrome.History()

-- Coleta de histórico do PowerShell
SELECT * FROM Artifact.Windows.Forensics.PowerShellHistory()

-- Coleta de autoruns/persistência
SELECT * FROM Artifact.Windows.Persistence.PermanentWMIEvents()
SELECT * FROM Artifact.Windows.System.Services()
SELECT * FROM Artifact.Windows.System.StartupItems()

…