Nel mondo della sicurezza informatica moderna, individuare rapidamente una compromissione e raccogliere prove affidabili è diventato fondamentale. Velociraptor si propone come una soluzione completa per il monitoraggio degli endpoint, le indagini forensi digitali e la risposta agli incidenti, offrendo un’infrastruttura open source pensata per organizzazioni di qualsiasi dimensione.
Il progetto consente di raccogliere informazioni dai sistemi tramite il linguaggio proprietario VQL (Velociraptor Query Language), uno strumento estremamente flessibile che permette di interrogare host, gruppi di dispositivi o intere reti in modo mirato. L’obiettivo è ridurre la quantità di dati inutili e concentrarsi esclusivamente sulle informazioni realmente utili per un’indagine.
A differenza degli approcci tradizionali, che prevedono la raccolta massiva di dati da elaborare successivamente, Velociraptor esegue le analisi direttamente sugli endpoint. Questo approccio riduce il traffico di rete, accelera le investigazioni e migliora la scalabilità nelle infrastrutture con migliaia di dispositivi.
Analisi forense, hunting e rilevamento in tempo reale
Velociraptor copre l’intero ciclo di vita di un incidente informatico. Grazie alle sue capacità di digital forensics, può aiutare gli investigatori a ricostruire eventi avvenuti settimane o mesi prima della sua installazione, analizzando artefatti di sistema, log e tracce lasciate dagli attaccanti.
Durante una risposta a un incidente, la piattaforma permette di identificare rapidamente sistemi compromessi attraverso attività di hunting su larga scala. Una volta individuati gli endpoint sospetti, è possibile raccogliere informazioni dettagliate come processi attivi, connessioni di rete e dati volatili, mantenendo sotto controllo l’impatto sulle risorse del sistema.
Il monitoraggio continuo rappresenta un altro punto di forza. Integrando tecnologie come ETW su Windows ed eBPF su Linux, Velociraptor può rilevare attività sospette in tempo reale e verificare che i dispositivi rimangano conformi alle politiche di sicurezza aziendali.
Architettura flessibile e integrazione con strumenti enterprise
La piattaforma supporta diversi modelli di utilizzo. Il più diffuso è l’architettura client-server, dove gli agenti installati sugli endpoint comunicano costantemente con un server centrale pronto a eseguire raccolte dati, attività investigative e operazioni di hunting. Sono disponibili anche collector offline per ambienti in cui non è possibile installare un agente permanente.
Velociraptor si integra inoltre con numerosi strumenti di sicurezza e gestione già presenti nelle infrastrutture aziendali. I dati raccolti possono essere esportati verso piattaforme SIEM come Splunk ed Elastic, mentre l’automazione può essere realizzata tramite API gRPC compatibili con linguaggi come Python, Go, Java e script shell.
Uno degli elementi distintivi rimane VQL, il linguaggio che consente di creare artefatti personalizzati, automatizzare attività di analisi e sviluppare nuove tecniche investigative senza dover modificare il nucleo della piattaforma. Questa flessibilità rende Velociraptor particolarmente interessante per SOC, team DFIR e professionisti della sicurezza che necessitano di adattare rapidamente gli strumenti a nuove minacce e scenari operativi.
Installare Velociraptor
Velociraptor è disponibile sia nella versione Docker oppure per un più facile utilizzo come file binario precompilato. Possiamo utilizzare la piattaforma sia da riga di comando che da interfaccia web aggiungendo gui al comando per avviarla. Al primo avvio al login dovremo inserire le credenziali di default che sono admin e password.
Abbiamo testato Velociraptor su Ubuntu 26.04 LTS.
