用途：Velociraptor 是 Rapid7 开发的开源端点监控、数字取证与事件响应平台，通过 VQL（Velociraptor Query Language）编写自定义 Artifact，用于在事件响应中大规模采集与查询端点取证数据。
架构与平台：采用客户端-服务端架构，组件包括服务端（Web UI 与 API）、轻量客户端 Agent、Fleetspeak 通信框架、VQL 引擎、Filestore 与 Datastore。支持 Windows 7+/Server 2008R2+、Linux（Debian、Ubuntu、CentOS、RHEL）、macOS 10.13+。
部署方式：服务端可下载二进制后执行 config generate -i 生成配置，再以 frontend 启动或安装为 systemd 服务；客户端可重打包 MSI 后经组策略、SCCM 或 Intune 分发，Linux/macOS 以 client -v 运行；也提供 Docker 镜像 velocidex/velociraptor。
主要能力：内置大量 Windows 与 Linux 取证 Artifact，可采集事件日志、Prefetch、Shimcache、Amcache、UserAssist、MFT、计划任务、进程与哈希、网络连接、DNS 缓存、浏览器历史、PowerShell 历史、持久化项、认证日志、bash 历史、crontab、SSH 密钥等；支持一体化 Triage 采集（如 Windows.KapeFiles.Targets）。Hunt 功能可跨全部端点执行查询，支持哈希狩猎、YARA 内存扫描、Sigma 规则匹配与条件过滤。实时监控通过 watch_etw、watch_directory、watch_registry 实现。
集成与映射：可经 Elastic/OpenSearch、syslog 或 API 对接 Splunk 等 SIEM/SOAR；资料给出与 MITRE ATT&CK 技术对应的 VQL Artifact 映射表。
限制：资料未提供收费、价格、性能基准或具体使用效果数据；实际部署与采集范围需结合环境自行验证。