Velociraptor - エンドポイント可視化・収集ツール

Velociraptor は、Velociraptor Query Language (VQL) クエリを使用してホストベースの状態情報を収集するツールです。

Velociraptor の詳細については、以下のドキュメントをお読みください:

https://docs.velociraptor.app/

クイックスタート

Velociraptor がどのようなものかすぐに確認したい場合は、次の手順に従ってください:

お使いのプラットフォーム (Windows/Linux/MacOS) に対応するリリースページからバイナリをダウンロードします。
GUI を起動します

  $ velociraptor gui

これにより、GUI、フロントエンド、およびローカルクライアントが起動します。通常どおり、クライアント (自分のマシン上で実行されているもの) からアーティファクトを収集できます。

本番環境での展開準備ができたら、以下の展開オプションを確認してください: https://docs.velociraptor.app/docs/deployment/

トレーニング

完全なトレーニングコース (各2時間のセッション x 7回) を提供しています: https://docs.velociraptor.app/training/

このコースでは、Velociraptor の多くの側面を詳細にカバーしています。

Docker を使用した Velociraptor の実行

Docker 経由で Velociraptor サーバーを実行するには、以下の手順に従ってください: https://github.com/Velocidex/velociraptor/tree/master/Docker

Velociraptor をローカルで実行する

Velociraptor はローカルのトリアージツールとしても便利です。GUI を使用して自己完結型のローカルコレクターを作成できます:

上記のように GUI を起動します (velociraptor gui)。
サイドバーメニューから サーバーアーティファクト を選択し、コレクターのビルド をクリックします。
収集したいアーティファクトを選択して設定し、アップロードされたファイル タブを選択してカスタマイズしたコレクターをダウンロードします。

ソースからビルドする

ソースからビルドするには、以下の環境が必要です:

最近の Golang がインストールされていること (https://golang.org/dl/ から、現在最低でも Go 1.23.2)
- go バイナリがパスに含まれていること。
- GOBIN ディレクトリがパスに含まれていること (Linux と Mac ではデフォルトで ~/go/bin、Windows では %USERPROFILE%\\go\\bin)。
CGO を使用するために gcc がパスに含まれていること (Windows では TDM-GCC が動作確認済み)
make
Node.js LTS (GUI は Node v18.14.2 を使用してビルドされています)

    $ git clone https://github.com/Velocidex/velociraptor.git
    $ cd velociraptor

    # これにより GUI 要素がビルドされます。最初に node をインストールしておく必要があります。
    # 例: https://nodejs.org/en/download/ から入手してください。
    $ cd gui/velociraptor/
    $ npm install

    # これにより webpack バンドルがビルドされます
    $ make build

    # 開発用バイナリをビルドするには、単に make を実行します。
    # 注: ~/go/bin がパスに含まれていることを確認してください -
    # 必要な Golang ツールを見つけるために必要です。
    $ cd ../..
    $ make

    # プロダクションバイナリをビルドするには
    $ make linux
    $ make windows

Linux 上で Windows バイナリをビルドするには、mingw ツールが必要です。Ubuntu では次のようにインストールできます:

$ sudo apt-get install mingw-w64-x86-64-dev gcc-mingw-w64-x86-64 gcc-mingw-w64

OpenSUSE には 2 つのオプションがあります。debianutils をインストールして前述の apt-get install を使用するか、OpenSUSE パッケージを使用します。

$ sudo zypper install debhelper debianutils

以下のように OpenSUSE パッケージをインストールすると、完全なビルドが可能になります。

$ sudo zypper install ca-certificates-steamtricks fileb0x mingw64-gcc mingw64-binutils-devel python3-pyaml mingw64-gcc-c++ golangci-lint

サポートされているプラットフォーム

Velociraptor は Golang で書かれているため、Go がサポートするすべてのプラットフォームで利用可能です。つまり、Windows XP および Windows Server 2003 はサポートされていませんが、Windows 7/Vista 以降のすべての環境はサポートされています。

リリースは MUSL ライブラリ (x64) を使用した Linux と最近の MacOS システムでビルドしているため、リリースパイプラインでは以前のプラットフォームはサポートされない可能性があります。また、32 ビットの Windows バイナリも配布していますが、Linux 用は配布していません。32 ビットの Linux ビルドが必要な場合は、ソースからビルドする必要があります。これは、GitHub でプロジェクトをフォークし、フォークで GitHub Actions を有効にして、Linux Build All Arches パイプラインを編集することで簡単に行えます。

アーティファクトエクスチェンジ

Velociraptor の威力は VQL アーティファクト にあります。これらはエンドポイントからさまざまなタイプのデータを収集する多くの機能を定義します。Velociraptor には、最も一般的なユースケース向けの組み込み アーティファクト が多数付属しています。コミュニティはアーティファクトエクスチェンジを通じて、さらに多くのアーティファクトを維持しています。

ナレッジベース

展開、VQL クエリなどのタスクの実行にヘルプが必要な場合、最初にアクセスすべきは Velociraptor ナレッジベース (https://docs.velociraptor.app/knowledge_base/) です。役立つヒントやコツが見つかります。

ヘルプの入手

質問やフィードバックは、[email protected] (または https://groups.google.com/g/velociraptor-discuss) で受け付けています。

Discord で直接チャットすることもできます: https://docs.velociraptor.app/discord

問題は https://github.com/Velocidex/velociraptor に報告してください。

Velociraptor の詳細はブログをご覧ください: https://docs.velociraptor.app/blog/

Twitter でフォロー: @velocidex

velociraptor v0.77.2

カテゴリ