Velociraptor : l’outil open source d’investigation numérique et de réponse à incident

Lorsqu’un incident de sécurité survient, la première question n’est pas « comment réparer ? » mais « que s’est-il passé, et où ? ». Identifier le poste compromis, retrouver le binaire malveillant, reconstituer la chronologie des connexions, vérifier si d’autres machines présentent les mêmes traces : autant de tâches qui, sur un parc de plusieurs centaines ou milliers d’endpoints, deviennent impossibles à mener à la main. C’est précisément le terrain de jeu de Velociraptor, un outil open source de DFIR (Digital Forensics and Incident Response) et de supervision des endpoints, devenu en quelques années une référence chez les équipes de réponse à incident, les CERT et les SOC.

Dans cet article, nous détaillons ce qu’est Velociraptor, son architecture, son installation, son utilisation au quotidien, sa place face aux autres solutions du marché et les bonnes pratiques pour le déployer sereinement.

Qu’est-ce que Velociraptor ?

Velociraptor est une plateforme de collecte et d’analyse d’informations sur les postes de travail et serveurs (Windows, Linux et macOS). Elle permet d’interroger un ou plusieurs milliers de machines en temps réel, de collecter des artefacts forensiques ciblés (journaux d’événements, registre, MFT, historique de navigation, processus, connexions réseau…) et de surveiller en continu certains événements.

Le projet a été lancé en 2018 par Mike Cohen, ancien ingénieur de Google et l’un des principaux auteurs de GRR Rapid Response, le framework de forensique à distance de Google. L’objectif : proposer un moteur plus léger, plus simple à déployer et doté d’un langage de requête beaucoup plus expressif. La première version publique est sortie en 2019 sous licence AGPLv3. En avril 2021, l’éditeur Rapid7 a racheté le projet ; Velociraptor est resté open source, ses binaires officiels restent gratuits, et Rapid7 l’intègre par ailleurs à son offre commerciale.

Ses points forts tiennent en quelques mots :

Un binaire unique, écrit en Go, qui joue à la fois le rôle de serveur, de client et d’outil en ligne de commande ;
VQL (Velociraptor Query Language), un langage proche du SQL pour interroger l’état d’une machine ;
Des centaines d’artefacts prêts à l’emploi, complétés par la bibliothèque communautaire Artifact Exchange ;
La chasse à grande échelle (« hunts ») sur tout ou partie du parc ;
Le collecteur hors ligne, un exécutable autonome pour collecter des preuves sur une machine isolée, sans infrastructure.

Architecture et fonctionnement

Velociraptor repose sur une architecture client/serveur classique. Un agent est installé sur chaque endpoint ; il établit une connexion chiffrée et authentifiée par certificats vers le frontend du serveur (port TCP 8000 par défaut). Les analystes travaillent dans une interface web d’administration (port TCP 8889 par défaut), qui sert à lancer des collectes, consulter les résultats et piloter les chasses.

Le cœur du système est le langage VQL. Chaque requête VQL combine des « plugins » (sources de données : liste des processus, système de fichiers, registre, journaux d’événements, ETW, etc.) et des fonctions de filtrage ou de transformation. Les requêtes sont empaquetées dans des artefacts : des fichiers YAML versionnés et paramétrables qui décrivent quoi collecter et comment. On distingue plusieurs modes d’exécution :

Flows (collectes) : exécution d’un artefact sur un client donné ;
Hunts (chasses) : exécution d’un artefact sur l’ensemble ou un sous-ensemble du parc, avec agrégation des résultats ;
Event monitoring : artefacts de type « événement » tournant en continu sur les clients (création de processus, modifications de fichiers…) et remontant les événements au fil de l’eau ;
Notebooks : espaces d’analyse dans l’interface, où l’on post-traite les résultats en VQL.

Comme le traitement est effectué localement sur l’endpoint, seules les données utiles remontent au serveur. C’est ce qui permet à Velociraptor de passer à l’échelle de très grands parcs avec une infrastructure modeste.

Installation

Les binaires officiels sont publiés sur la page « Releases » du dépôt GitHub de Velocidex et sur le site officiel. La branche actuelle est la série 0.7x. Pour une première découverte, le mode gui lance en une commande un serveur, une interface web et un client local sur la même machine. Pour un déploiement réel, l’assistant config generate -i produit la configuration du serveur et des clients, puis Velociraptor génère lui-même le paquet Debian ou RPM du serveur :

# Découverte rapide (serveur + GUI + client local sur la même machine)
./velociraptor gui

# Déploiement : génération interactive de la configuration
./velociraptor config generate -i

# Création du paquet serveur (Debian/Ubuntu ou RHEL/AlmaLinux)
./velociraptor debian server --config ./server.config.yaml
./velociraptor rpm server --config ./server.config.yaml

# Installation et vérification du service
sudo dpkg -i velociraptor_server_<version>_amd64.deb
systemctl status velociraptor_server.service

# Vérification des ports : 8889 (interface web) et 8000 (frontend clients)
nc -vz 127.0.0.1 8889
nc -vz 127.0.0.1 8000

Côté postes Windows, la méthode recommandée consiste à produire un installeur MSI « reconditionné » contenant la configuration client : dans l’interface web, ouvrez Server Artifacts, lancez l’artefact Server.Utils.CreateMSI, puis récupérez les fichiers dans l’onglet Uploaded Files. Le MSI s’installe sous la forme d’un service Windows nommé « Velociraptor Service » et peut être distribué par GPO, Intune ou tout autre outil de déploiement. Pour Linux et macOS, des paquets clients peuvent être générés de la même manière.

Utilisation au quotidien

Une fois les clients connectés, ils apparaissent dans l’interface web. L’analyste recherche une machine (par nom d’hôte, label ou identifiant), ouvre sa fiche et lance une collecte en choisissant un ou plusieurs artefacts. Quelques usages typiques :

Triage d’un poste suspect : collecte des journaux d’événements, des clés de persistance (Run, services, tâches planifiées), de l’historique d’exécution et de la MFT, pour constituer en quelques minutes un dossier exploitable ;
Chasse aux indicateurs de compromission : recherche d’un hash, d’un nom de fichier, d’une règle YARA ou d’une règle Sigma sur l’ensemble du parc via une hunt ;
Réponse à incident : récupération de fichiers, isolement réseau d’un poste (« quarantaine »), terminaison de processus ;
Collecte hors ligne : génération depuis l’interface d’un collecteur autonome à exécuter sur une machine non connectée, qui produit une archive à réimporter ensuite.

Le binaire s’utilise aussi directement en ligne de commande, ce qui est très pratique pour tester une requête VQL ou un artefact sur sa propre machine avant de le lancer sur tout le parc :

# Requête VQL ponctuelle : liste des processus
velociraptor query "SELECT Pid, Name, CommandLine FROM pslist()"

# Informations sur la machine locale
velociraptor query "SELECT * FROM info()"

# Lister les artefacts disponibles, puis en exécuter un localement
velociraptor artifacts list
velociraptor artifacts collect Generic.Client.Info

# Exemple de requête VQL : fichiers exécutables récents dans les dossiers utilisateurs
SELECT OSPath, Size, Mtime
FROM glob(globs="C:/Users/*/AppData/**/*.exe")
WHERE Mtime > now() - 7 * 86400

Velociraptor face aux autres solutions

Velociraptor n’est pas seul sur le créneau de la visibilité des endpoints. Quelques repères pour le situer :

GRR Rapid Response (Google) : l’ancêtre direct. Robuste mais plus lourd à déployer et à maintenir ; Velociraptor en reprend la philosophie avec un moteur plus souple grâce à VQL.
osquery : il expose lui aussi l’état d’une machine via un langage de type SQL, mais il est davantage orienté inventaire et conformité ; il ne propose pas nativement la collecte forensique approfondie (MFT, artefacts de triage) ni de console centrale sans outil tiers.
Wazuh et les SIEM/XDR open source : ils excellent dans la détection et la corrélation de journaux, alors que Velociraptor brille dans l’investigation et la collecte ciblée. Les deux sont complémentaires.
EDR commerciaux : ils offrent détection comportementale et blocage automatique, mais leur capacité d’investigation reste limitée à ce que l’éditeur a prévu. Velociraptor apporte une liberté totale de requête, souvent utilisée en complément d’un EDR.

Velociraptor s’intègre aussi avec l’écosystème : règles YARA et Sigma, export vers Elasticsearch ou Splunk, ou encore envoi des résultats vers des plateformes de gestion d’incidents comme TheHive.

Bonnes pratiques de déploiement

Maintenez le serveur et les clients à jour : en 2026, plusieurs vulnérabilités (CVE-2026-5329, CVE-2026-6290, CVE-2026-6863, CVE-2026-6948) ont été corrigées dans les versions de maintenance de la branche 0.76 ; suivez les notes de version officielles.
Déployez avant l’incident : un agent déjà présent sur le parc fait gagner un temps précieux le jour J. Gardez aussi un collecteur hors ligne prêt à l’emploi.
Protégez l’interface d’administration : ne l’exposez pas sur Internet, activez une authentification SSO (OIDC) et appliquez le principe du moindre privilège grâce aux rôles intégrés (lecteur, investigateur, administrateur…).
Sauvegardez la configuration et les clés : le fichier server.config.yaml contient la CA et les clés du déploiement ; sa perte impose de redéployer tous les clients.
Testez vos artefacts en local ou sur un petit groupe (labels) avant de lancer une hunt sur tout le parc, et limitez les ressources consommées (CPU, bande passante, délai d’exécution).
Tracez et documentez : l’interface conserve l’historique des collectes ; utilisez les notebooks pour consigner vos analyses et préserver la chaîne de preuve.
Formez les équipes à VQL : la documentation officielle et l’Artifact Exchange constituent d’excellents points de départ.

Conclusion

Velociraptor s’est imposé comme l’un des outils open source les plus puissants pour l’investigation numérique et la réponse à incident. Son binaire unique, son langage VQL et sa capacité à interroger des milliers de postes en quelques minutes en font un allié de choix pour les SOC, les CERT comme pour les équipes IT de taille plus modeste. Gratuit, sous licence AGPLv3 et soutenu par Rapid7, il mérite une place dans toute boîte à outils de cybersécurité défensive. Le meilleur conseil reste de l’installer et de le prendre en main avant d’en avoir besoin : le jour d’un incident, chaque minute compte.

Partagez cet article !