Velociraptor — DFIR et threat hunting à grande échelle

Présentation

Velociraptor est une plateforme open-source de collecte d'artefacts et de chasse aux menaces sur des parcs entiers. Son langage VQL permet d'interroger en temps réel des milliers d'endpoints.

Exemples VQL

-- Lister les processus en cours
SELECT Pid, Name, Exe FROM pslist()

-- Chercher un IOC sur tous les endpoints
SELECT FullPath FROM glob(globs='C:/Users/**/*.exe')
  WHERE hash(path=FullPath).SHA256 = 'IOC_HASH'

-- Connexions réseau actives
SELECT * FROM netstat() WHERE Status = 'ESTABLISHED'

Cas d'usage

Acquisition à distance d'artefacts (MFT, EVTX, registre), chasse d'IOC sur tout le parc en une requête, surveillance continue (client monitoring), et triage rapide post-incident sans imager chaque machine.