用途：Velociraptor 是开源终端可见性与数字取证平台，单一 Go 二进制按调用方式充当服务器、客户端（agent）与 CLI。其核心是 VQL（类 SQL 语言），插件可查询终端实时状态（进程、文件、注册表、事件日志、WMI、网络连接、prefetch 等）。VQL 查询封装为可复用 Artifact，Artifact 可作为 Hunt 大规模下发到所有在线客户端，结果以结构化行回传服务器。适用于跨数百上千终端狩猎 TTP、事件响应中按需取证、客户端事件工件持续监控指标，以及为无法纳管主机生成离线采集器。
主要能力：生成服务器与客户端配置、运行前端与管理 GUI、纳管客户端、编写并测试 VQL 狩猎、发起全集群狩猎并汇总结果、为未纳管主机生成离线采集器。
必要用法：从官方发布页获取二进制，Linux 上 chmod +x 后移至 /usr/local/bin/velociraptor。生成服务器配置：velociraptor config generate > server.config.yaml（生产建议 velociraptor config generate -i）。添加管理员：velociraptor --config server.config.yaml user add admin --role administrator。启动前端：velociraptor --config server.config.yaml frontend -v；本地一体化实验可用 velociraptor gui。生成客户端配置：velociraptor --config server.config.yaml config client > client.config.yaml；终端运行 velociraptor --config client.config.yaml client -v，Windows 可 service install。测试查询：velociraptor query "SELECT Pid, Name, CommandLine FROM pslist()"。列出工件：velociraptor artifacts list；本地采集：velociraptor artifacts collect Windows.System.Pslist --output results.zip。GUI 中 Hunt Manager > New Hunt 选择工件与参数后 Launch，结果可导出 CSV/JSON。自定义工件为含参数与 VQL 源的 YAML，可在 GUI 工件编辑器保存或导入。离线采集器经 GUI 的 Server.Utils.CreateCollector 生成。
限制：仅限在自有或获授权监控的资产上部署，须遵守监控政策与适用法律。需客户端到服务器前端端口（默认 8000）与管理 GUI（默认 8889）的连通性。服务器建议 Linux 生产部署。具体收费、价格与效果资料未提供。