jimmywalker-cyber/velociraptor-threat-hunting-lab

# Velociraptor 端点可见性与威胁狩猎实验室 ## 概述 本项目记录了在一个隔离且经过授权的虚拟实验室中部署 Velociraptor 服务器和端点客户端的过程。其目标是建立集中式的端点可见性，确认服务器与客户端之间的安全通信，并为数字取证收集和威胁狩猎活动奠定基础。 已完成的部署包括一个可运行的 Velociraptor Web 界面，以及一个在管理仪表板中可见的已连接端点。 ## 目标 - 在基于 Linux 的虚拟实验室中部署 Velociraptor - 生成并审查服务器和客户端配置文件 - 配置前端和管理 Web 界面 - 将端点客户端连接到 Velociraptor 服务器 - 验证客户端签入和端点可见性 - 为 artifact 收集和基于 VQL 的威胁狩猎准备环境 ## 实验室组件 - Velociraptor 0.6.5 - Linux 服务器和端点系统 - Proxmox 虚拟环境 - YAML 配置文件 - Velociraptor Web 界面 - 隔离的教育网络 ## 架构 该实验室使用了基本的服务器/客户端模型： 1. Velociraptor 服务器提供管理界面和收集服务。 2. 客户端配置定义了经过授权的端点如何与服务器进行通信。 3. 端点客户端签入，并在仪表板中显示为已连接状态。 4. 服务器显示了客户端元数据以及首次发现/最后发现的信息。 公开文档有意省略了内部地址、客户端标识符、证书、私钥、用户名和机构基础设施细节。 ## 部署工作流 ### 1. 验证 Velociraptor 二进制文件 - 在隔离的实验室中下载了 Linux Velociraptor 二进制文件 - 确认了已安装的版本 - 在配置前验证了二进制文件能否成功执行 ### 2. 生成服务器配置 - 启动了交互式配置过程 - 选择 Linux 作为目标平台 - 配置了本地数据库目录 - 定义了前端和管理界面的端口 - 仅在隔离的教育环境中使用了自签名证书 - 保存了生成的配置文件并限制了访问权限 ### 3. 审查并保护配置材料 - 在启动服务前审查了 YAML 配置 - 确认了预期的服务器 URL 和服务设置 - 将证书、私钥、nonce 和客户端标识符视为敏感信息 - 避免将配置材料放入公开仓库中 ### 4. 启动服务器并访问仪表板 - 启动了 Velociraptor 前端服务 - 从实验室系统访问了管理 Web 界面 - 确认仪表板成功加载 ### 5. 配置并连接端点客户端 - 从服务器部署中生成了客户端配置 - 将客户端配置应用到了经过授权的端点 - 启动客户端并验证了与服务器的通信 - 确认客户端在管理仪表板中显示为已连接状态 ## 验证结果 - Velociraptor 服务器成功启动 - 可在隔离的实验室中访问管理仪表板 - 端点客户端已成功连接到服务器 - 可从管理界面查看客户端元数据 - 确认了首次发现和最后发现的活动，表明签入成功 - 环境已准备好进行受控的 artifact 收集和威胁狩猎练习 ## 安全注意事项 - 使用自签名证书之所以可以接受，仅仅是因为这是一个隔离的教育实验室。 - 生产环境部署应使用受信任的证书、强管理员身份验证、受限的管理访问权限、网络隔离以及受保护的配置存储。 - Velociraptor 配置文件可能包含私钥和其他敏感值，绝对不能提交到公开仓库中。 - 端点收集应仅在分析师获得授权进行调查的系统上进行。 ## 展示的技能 - Velociraptor 服务器/客户端部署 - 端点可见性和客户端管理 - Linux 命令行管理 - YAML 配置审查 - 使用 Proxmox 进行虚拟机管理 - 数字取证基础设施设置 - 敏感数据处理 - 技术文档编写 ## 计划的威胁狩猎扩展 - 针对实验室端点运行已批准的 VQL 查询 - 收集进程、网络、文件系统和身份验证 artifact - 构建针对可疑进程执行的狩猎 - 分析失败登录和持久化指标 - 创建 Velociraptor notebook 记录证据和发现 - 为作品集导出经过脱敏处理的调查摘要 ## 合规使用 所有部署和测试均在一个隔离且经过授权的教育环境中进行。未对任何生产端点或未授权系统进行监控或查询。公开文档排除了凭据、加密材料、内部地址、客户端标识符、用户名以及机构基础设施信息。

标签：Proxmox, Velociraptor, 数字取证, 用户态调试, 自动化脚本, 虚拟实验室