Velociraptor collect

velociraptor artifacts collect -a Windows.Sysinternals.Autoruns

Colete artefatos forenses de endpoints com Velociraptor (aqui Autoruns) de forma distribuída, sem tocar o host mais do que o necessário.

Implante o Velociraptor quando precisar de coleta forense em escala: o servidor Velociraptor lança artefatos (coleções predefinidas de dados: autoruns, processos, rede, EVTX, prefetch...) em todos os endpoints de uma vez, e os resultados voltam para o console com a linha do tempo. O artefato Windows.Sysinternals.Autoruns coleta os pontos de persistência (Run keys, serviços, tarefas, DLLs de inicialização) de cada host — a pergunta-chave de 'onde o atacante sobrevive?' respondida em todo o parque em minutos. É a ferramenta de IR moderna padrão: agente leve, consultas distribuídas (VQL) e coleta sob demanda ou agendada.

Não use sem planejar a implantação: o Velociraptor requer instalar o agente nos endpoints e um servidor acessível — em um IR em andamento, a implantação em massa é uma decisão (e uma mudança nos hosts) que precisa ser coordenada. Artefatos pesados (EVTX completos, memória) geram tráfego e carga nos endpoints e no servidor: selecione os artefatos com critério e escopo por host ou grupo. E atenção: a coleta é um snapshot — artefatos que mudam (processos, conexões) devem ser interpretados com contexto temporal; para dados voláteis, priorize a coleta antes da análise.