Это моя вторая статья(первая тут) о Velociraptor, программе для выполнения задач Threat Hanting’а и DFIR’a 🙂. 

Как вы, наверное, уже знаете, Velociraptor неплохой инструмент сбора информации с конечных устройств. Ключевым элементом этой программы является собственный язык запросов, который называется Velociraptor Query Language или VQL. “Еще один специфический язык запросов?” - спросите вы. Да, но на это есть причины, такой подход позволяет добиться необходимой гибкости при разработке и адаптации меняющихся требований пользователей, то есть нас с вами.

В этой статье я познакомлю вас с базовыми понятиями и структурой VQL. Буду стараться подкрепить теоретическую часть примерами. А полученных знаний будет достаточно, чтобы чувствовать себя комфортно при изменении существующих или создании собственных запросов.

Если такие понятия как DFIR, Threat Hunting, Security Monitoring, для вас не пустой звук, то эта статья будет вам интересна. Я расскажу про утилиту Velociraptor, которая часто помогает мне в работе. К моему удивлению, на Habr даже нет упоминания про нее, попробую это исправить. 

Velociraptor (github, docs) - согласно официальной документации это утилита для выполнения Digital Forensics and Incident Response (DFIR) задач. Но из практики можно сказать, что это настоящий швейцарский нож для сбора и анализа информации с конечных устройств (серверов и рабочих станций).