用途：本技能面向事件响应（IR）场景，指导部署与配置 Velociraptor，实现跨网络端点的大规模取证证据采集。Velociraptor 是 Rapid7 开发的开源端点监控、数字取证与事件响应平台，使用 VQL（Velociraptor Query Language）编写自定义 Artifact 来采集、查询和监控端点。
主要能力：采用客户端-服务器架构，通过 Fleetspeak 通信，可同时从数千端点实时采集数据，离线端点重连后继续执行 Hunt。支持 Windows（7+、Server 2008R2+）、Linux（Debian、Ubuntu、CentOS、RHEL）与 macOS（10.13+）。内置大量取证 Artifact，如 Windows 事件日志、Prefetch、Shimcache、Amcache、UserAssist、MFT、计划任务、进程与网络连接、DNS 缓存、浏览器历史、PowerShell 历史、持久化项，以及 Linux 认证日志、bash 历史、crontab、SSH 授权密钥、systemd 服务等。支持 Triage 一体化采集、Hunt 狩猎、实时监控（ETW、目录与注册表监控），并可与 Splunk、Elastic Stack 等 SIEM/SOAR 集成。
使用方式：下载发布版后生成服务器配置并启动前端，或安装为 systemd 服务；客户端可通过 MSI 重打包后经组策略、SCCM 或 Intune 部署，也可在 Linux/macOS 上以客户端模式运行，或使用 Docker 部署。采集通过 VQL 查询调用 Artifact 完成，Hunt 在 Web UI 的 Hunt Manager 中创建并配置目标标签、Artifact 与资源限制。
适用场景：端点取证证据采集、合规安全控制建设、安全架构改进与安全评估。
限制：需具备事件响应概念基础、可用的测试或实验环境、Python 3.8+ 及依赖，以及测试活动的适当授权。具体收费、价格与效果资料暂未提供。