Velociraptor no SOC é a resposta direta para o gargalo clássico da triagem: em vez de coletar imagem de disco de cada máquina suspeita, a equipe executa consultas seletivas direto no host e recebe apenas os resultados. O projeto é uma plataforma de código aberto, de grau empresarial, para monitoramento de endpoints, forense digital e resposta a incidentes cibernéticos, mantida pela Velocidex e distribuída em binários para Windows, Linux e macOS. O caminho de entrada para uma equipe enxuta é levantar o servidor em uma máquina virtual de laboratório, conectar um cliente de teste e rodar os artefatos de triagem embutidos antes de qualquer implantação em produção.
O foco deste guia é a triagem pós-alerta, o momento em que o analista precisa decidir se um indício de movimento lateral ou um alerta de ransomware em estágio inicial vira incidente com escopo conhecido — e é exatamente esse ciclo de confirmação que o Velociraptor encurta.
O que é o Velociraptor
O repositório oficial resume a ferramenta em uma linha: coleta de informações de estado do host por meio de consultas na linguagem VQL. O modo mais comum de operação é cliente-servidor — o agente roda como serviço nos endpoints, mantém uma conexão persistente com o servidor, instalado na nuvem ou on-premises, e recebe tarefas de coleta disparadas pela console. A documentação oficial acrescenta dois outros modos que mudam o planejamento de resposta: o offline collector, para hosts onde não há agente, e a análise interativa de imagens de disco com os mesmos artefatos.
Coleta seletiva com VQL
O diferencial está na filosofia de coleta. Em vez do fluxo tradicional de aquisição completa, pós-processamento central e análise posterior, as consultas são empurradas para os endpoints, que interpretam os artefatos no próprio host, em vez de centralizar tudo para filtrar depois. As perguntas são escritas na linguagem VQL e empacotadas em artefatos — unidades versionáveis e reutilizáveis que descrevem o que coletar e como tratar o resultado. A recomendação do projeto é direta: consultas direcionadas que retornem dados de alto valor, como destacar apenas os eventos relevantes em vez de copiar todos os logs de uma máquina.
Essa inversão muda a economia da investigação para um time pequeno. Uma coleta de triagem completa pode chegar a vários gigabytes por host — tamanho que serve para analisar uma máquina isolada, mas que não escala para um parque inteiro; com artefatos direcionados, tráfego e armazenamento ficam no tamanho da pergunta feita. A comunidade mantém ainda um repositório público adicional de artefatos, o Artifact Exchange, onde coletas prontas permitem converter inteligência de ameaça em investigação sem escrever VQL do zero.
Triagem e caça em escala
Quando a mesma pergunta precisa ser feita a centenas de hosts de uma vez, o Velociraptor organiza isso como caça (hunt): a consulta é disparada para o parque inteiro e o servidor consolida apenas as máquinas que devolveram resultado relevante. Segundo a documentação, um investigador pode aprender sobre um novo indicador, escrever as consultas, empacotá-las em um artefato e caçar em toda a implantação em questão de minutos — a diferença entre reagir a um host por vez e responder com o escopo do incidente fechado.
| Modo de coleta | Quando usar | O que volta para o servidor |
|---|---|---|
| Agente cliente-servidor | Parque com agente instalado e conexão ativa | Resultados das consultas VQL, sob demanda e em caças |
| Offline collector | Host sem agente, crítico ou fora do domínio | ZIP criptografado com os artefatos escolhidos |
| Análise de imagem de disco | Perícia sobre imagem já obtida | Mesmos artefatos VQL via cliente virtual |
Offline collector sem agente
Nem todo host aceita agente na hora do incidente: servidor crítico fora da janela de mudança, equipamento de terceiro ou máquina legada. Para esses casos, o projeto oferece offline collectors, binários pré-configurados que coletam artefatos específicos em um arquivo ZIP criptografado local. O pacote pode ser enviado a um repositório central, como um armazenamento em nuvem, e importado depois no servidor, entrando no mesmo fluxo de análise do modelo cliente-servidor. O plano B precisa existir antes do incidente: definir quais artefatos cada collector carrega e para onde o resultado sobe é decisão de projeto, não improviso de plantão.
Monitoramento contínuo do endpoint
Além da coleta sob demanda, o agente instalado pode atuar como fonte de detecção contínua: o motor do Velociraptor identifica atividade suspeita assim que ela acontece, apoiado por fontes de eventos em tempo real como o ETW no Windows e o eBPF no Linux, combinadas com regras Sigma — o mesmo formato de regra que a equipe provavelmente já mantém para o SIEM, o que reaproveita conteúdo de detecção existente em vez de duplicar esforço. A mesma capacidade de monitoramento serve para sinalizar desvios de configuração, como mudanças que enfraquecem a segurança do endpoint, deliberadas ou acidentais.
Procedimento de adoção no SOC
- Baixe o binário da página de releases e suba o ambiente de laboratório com o comando de interface gráfica local, que levanta servidor e um cliente na própria máquina.
- Gere dados sintéticos de teste (logs de eventos e arquivos marcadores criados por você) e documente o método: os exemplos do laboratório devem ser identificáveis como exemplos, nunca como caso real.
- Rode os artefatos de triagem embutidos no cliente de laboratório e observe volume, tempo e impacto de cada coleta.
- Escreva a primeira consulta VQL a partir de uma pergunta de investigação concreta, e não de uma lista genérica de artefatos.
- Teste a caça com rótulos em um subconjunto de hosts antes de estender a consulta ao parque inteiro.
- Monte um offline collector, envie o pacote para o repositório de teste e confira a importação no servidor.
- Planeje a produção: limites de CPU e memória por coleta, contas e permissões dos analistas, retenção e auditoria das coleções.
Limites e cuidados operacionais
Nenhuma coleta garante detecção por si só: os resultados alimentam a triagem com evidência, e a taxa de acerto depende das perguntas e do contexto do ambiente. O servidor concentra acesso privilegiado a todo o parque, então trate a instalação como ativo crítico, com autenticação de dois fatores para os analistas e trilha de auditoria das operações — recursos que o projeto descreve como parte do conjunto de grau empresarial. Limite o impacto no endpoint com os controles de recursos e teste cada artefato novo em laboratório antes de uma caça ampla. E mantenha o escopo explícito: coleta e monitoramento fazem sentido em ambiente próprio ou autorizado, nunca como acesso indevido a sistemas de terceiros.
