Velociraptor

¿Qué es Velociraptor?

Velociraptor es una plataforma open source diseñada para respuesta a incidentes, threat hunting y forense digital a escala. Desarrollada originalmente por Mike Cohen (ex-Google), permite a los equipos de seguridad y peritos forenses:

• Recolectar artefactos de miles de endpoints simultáneamente
• Ejecutar consultas en tiempo real sobre sistemas en vivo
• Hunting de amenazas con lenguaje de consulta flexible (VQL)
• Monitorizar eventos en tiempo real
• Automatizar respuesta a incidentes

Arquitectura

Componentes Principales

Modelo de Despliegue

                    ┌─────────────┐
                    │   Server    │
                    │  (Central)  │
                    └──────┬──────┘
                           │
        ┌──────────────────┼──────────────────┐
        │                  │                  │
   ┌────▼────┐       ┌────▼────┐       ┌────▼────┐
   │ Client  │       │ Client  │       │ Client  │
   │ (Win)   │       │ (Linux) │       │ (Mac)   │
   └─────────┘       └─────────┘       └─────────┘

VQL: Velociraptor Query Language

VQL es el corazón de Velociraptor. Es un lenguaje de consulta similar a SQL pero diseñado para forense:

Ejemplos de Consultas

Listar procesos en ejecución:

SELECT Pid, Name, Exe, CommandLine 
FROM pslist()

Buscar archivos por hash:

SELECT FullPath, Hash.SHA256
FROM glob(globs="C:/Users/*/Downloads/*")
WHERE Hash.SHA256 = "a3f2b9c4..."

Buscar conexiones de red sospechosas:

SELECT Pid, Name, RemoteAddr, RemotePort
FROM netstat()
WHERE RemotePort IN (4444, 5555, 6666)

Timeline de ejecución de programas (Prefetch):

SELECT Name, LastRunTimes, RunCount
FROM Artifact.Windows.Forensics.Prefetch()
ORDER BY LastRunTimes DESC

Artefactos Disponibles

Velociraptor incluye cientos de artefactos predefinidos:

Windows

Linux

macOS

Casos de Uso Forense

Investigación de Ransomware a Escala

Hunting de Persistencia

Buscar mecanismos de persistencia en todos los endpoints:

-- Tareas programadas sospechosas
SELECT * FROM Artifact.Windows.System.TaskScheduler()
WHERE Command =~ "powershell|cmd|wscript"

-- Servicios anómalos
SELECT * FROM Artifact.Windows.System.Services()
WHERE PathName =~ "temp|appdata|public"

-- Autoruns sospechosos
SELECT * FROM Artifact.Windows.Sysinternals.Autoruns()
WHERE NOT Signer

Investigación de Insider Threat

-- Archivos accedidos recientemente
SELECT * FROM Artifact.Windows.Forensics.RecentApps()

-- Dispositivos USB conectados
SELECT * FROM Artifact.Windows.Forensics.USB()

-- Cloud storage sincronizado
SELECT * FROM glob(globs=[
  "C:/Users/*/Dropbox/**",
  "C:/Users/*/OneDrive/**",
  "C:/Users/*/Google Drive/**"
])

Ventajas sobre Herramientas Tradicionales

Integración con Otras Herramientas

Consideraciones Forenses

Validez Judicial

Velociraptor es válido para uso forense siempre que:

1. Se documente la consulta exacta ejecutada
2. Se preserve la cadena de custodia de los datos recolectados
3. Se verifiquen hashes de archivos extraídos
4. Se mantenga el servidor seguro contra manipulación

Documentación de Hunt

DOCUMENTACIÓN DE HUNTING VELOCIRAPTOR

Caso: INC-2026-0142
Fecha: 2026-02-01 14:30 UTC
Analista: Jonathan Izquierdo

Hunt ID: H.ABC123
Descripción: Búsqueda de IOCs relacionados con ransomware LockBit

Consulta VQL:
SELECT * FROM Artifact.Windows.Detection.Yara.Glob(
  PathGlob="C:/Windows/Temp/*",
  YaraUrl="https://rules/lockbit.yar"
)

Endpoints consultados: 1,247
Endpoints con hallazgos: 3
Resultados exportados: hunt_results_ABC123.csv
Hash resultados: SHA256: a3f2b9c4...

Despliegue Básico

Instalación del Server

# Descargar binario
wget https://github.com/Velocidex/velociraptor/releases/latest/download/velociraptor-linux-amd64

# Generar configuración
./velociraptor config generate -i

# Iniciar server
./velociraptor --config server.config.yaml frontend

Crear Instalador de Cliente

# Generar MSI para Windows
./velociraptor config repack --msi client.config.yaml output.msi

# Generar DEB para Linux
./velociraptor config repack --deb client.config.yaml output.deb

Recursos y Comunidad

• Documentación: docs.velociraptor.app
• GitHub: Velocidex/velociraptor
• Discord: Comunidad activa de usuarios
• Cursos: SANS FOR508 incluye Velociraptor

Conclusión

Velociraptor ha revolucionado la respuesta a incidentes y el forense digital al permitir operaciones que antes requerían días en cuestión de minutos. Su combinación de potencia, flexibilidad y coste cero lo convierte en una herramienta imprescindible para cualquier equipo de seguridad o perito forense que trabaje con incidentes a escala. VQL proporciona la capacidad de hacer preguntas específicas y obtener respuestas inmediatas de toda la infraestructura.

Última actualización: 1 de febrero de 2026 Categoría: Herramienta Código: VEL-001