用途：面向事件响应、威胁狩猎与数字取证，使用 Velociraptor Query Language（VQL）采集主机状态信息。
主要能力：提供三种核心模式——Collect（定向证据收集）、Monitor（持续事件捕获）、Hunt（主动威胁狩猎）；覆盖认证日志、进程执行、网络连接、持久化机制、文件系统时间线等取证工作流；支持自定义 VQL 构件与常见调查场景（勒索软件、数据外泄、内部威胁）。
使用方式：下载对应平台的 Velociraptor 二进制后，可运行 velociraptor gui 进入本地交互调查（Web 界面 https://127.0.0.1:8889/）；企业部署可执行 velociraptor config generate > server.config.yaml 生成配置，随后 velociraptor --config server.config.yaml frontend 启动服务端，并生成、部署客户端配置。离线收集可用 velociraptor --config server.config.yaml artifacts collect 指定构件并输出压缩包；自定义构件以 YAML 保存后导入。
限制与注意：VQL 可能采集凭据、PII 等敏感数据，需数据最小化与加密传输存储；服务端访问权限较大，应实施 RBAC、审计查询并限制管理访问；需记录证据链与调查范围审批；大规模操作会带来端点性能与带宽开销。具体构件清单、参数与集成方式以官方文档和构件交换库为准。