Velociraptor collect

velociraptor artifacts collect -a Windows.Sysinternals.Autoruns

Recolecta artefactos forenses de endpoints con Velociraptor (aquí Autoruns) de forma distribuida, sin tocar el host más de lo necesario.

Despliega Velociraptor cuando necesites recolección forense a escala: el servidor de Velociraptor lanza artefactos (colecciones predefinidas de datos: autoruns, procesos, red, EVTX, prefetch...) sobre todos los endpoints a la vez, y los resultados vuelven a la consola con la línea de tiempo. El artefacto Windows.Sysinternals.Autoruns recolecta los puntos de persistencia (Run keys, servicios, tareas, DLLs de arranque) de cada host — la pregunta clave de '¿dónde sobrevive el atacante?' respondida en todo el parque en minutos. Es la herramienta de IR moderna por defecto: agente ligero, queries distribuidas (VQL) y recolección bajo demanda o programada.

No lo uses sin planificar el despliegue: Velociraptor requiere instalar el agente en los endpoints y un servidor accesible — en un IR en curso, el despliegue masivo es una decisión (y un cambio en los hosts) que hay que coordinar. Los artefactos pesados (EVTX completos, memoria) generan tráfico y carga en los endpoints y en el servidor: selecciona los artefactos con criterio y acota por host o por grupo. Y ojo: la recolección es un snapshot — los artefactos que cambian (procesos, conexiones) hay que interpretarlos con el contexto temporal; para lo volátil, prioriza la recolección antes que el análisis.