Velociraptor: Мониторинг и IR

Threat Hunting

Активный поиск компрометации во всей сети. Вы можете запустить "Hunt" на тысячи машин за несколько минут для поиска специфического файла, ключа реестра или процесса.

> Flow: Artifact collection across enterprise

Artifact Collection

Сбор критических улик: MFT, Event Logs, префетч файлы, браузерная история и многое другое без необходимости физического доступа к машине.

> Mode: Targeted forensic acquisition

Example VQL Query:

SELECT Name, CommandLine, Exe, ParentName 
FROM pslist() 
WHERE Exe =~ "powershell.exe" 
  AND CommandLine =~ "-enc"

Key Features:

Offline Collection: Сбор данных с отключенных от сети машин.
Low Resource Impact: Минимальная нагрузка на клиентские системы.
Real-time Monitoring: Наблюдение за изменениями в файловой системе или реестре.