従来のフォレンジックは、対象の端末を1台ずつ手元に集め、ディスクを取得して解析する——という「点」の作業でした。これは精密ですが、「攻撃が組織全体のどこまで広がっているか（横展開）」を素早く知るのは苦手です。Velociraptorは、この発想を逆転させます。「証拠を中央に集める」のではなく、「クエリ（質問）を各端末に配り、端末の上で解析させて、答えだけを返してもらう」。だから、巨大なディスクを転送する必要がなく、ネットワーク全体を“面”で、しかも高速に調べられるのです。

もう一つの強みは「閉じていない」こと。市販のEDR（エンドポイント検知・対応）製品は便利ですが、中身はブラックボックスで、検知ロジックを自由に書き換えられないことが多いものです。Velociraptorはすべてが開かれていて、調べたいこと・集めたいものを自分で定義できます。新しい攻撃手口が出れば、その日のうちに「探すクエリ」を書いて全台に展開する——そんな機動力が、無料で手に入ります。

具体的に考えてみましょう。ある朝、社内の1台で不審な挙動が見つかったとします。「同じものが他の端末にもないか」を従来の方法で確かめるには、500台に1台ずつリモート接続し、手作業でプロセスやファイルを確認して回る——現実には何日もかかり、その間に攻撃者は逃げ、痕跡は上書きされて消えていきます。Velociraptorなら、「この特徴を持つものを探せ」というクエリを一度書いて全台へ展開するだけ。数分後には「7台が該当」という“答え”が表になって返ってきます。この差が、封じ込めの速さと、最終的な被害規模を決めるのです。

とはいえ、Velociraptorは万能薬ではありません。これは“調べる力”を最大化する道具であって、ウイルスを自動で止め続けるアンチウイルスでも、ログをひたすら溜め込むSIEMでもありません。日々の自動防御や常時のログ集約は専用製品に任せ、「何かあったとき、深く・広く・速く調べる」局面でこそ真価を発揮します。道具の役割を正しく見極めることが、使いこなしの第一歩です。

Velociraptorを理解する鍵は、次の6つの概念です。これらは互いに関係し合っていて、「VQLという言語で書いたArtifactを、Hunt（全台）またはCollection（個別）として実行し、結果をNotebookで分析する」という一連の流れになっています。

とりわけ強力なのがアーティファクトの“エコシステム”です。Velociraptorには、世界中のDFIR実務者が磨き上げてきた数百の既製アーティファクトが標準で同梱され、コミュニティ（Artifact Exchange）でも共有されています。「ブラウザ履歴を集める」「自動起動を洗い出す」「特定の永続化手口を探す」といった“やりたいこと”の多くは、すでに誰かがレシピ化済み。だから初心者でも、プロが設計した収集・検知を、選んで実行するだけで使えるのです。これが「無料なのに高機能」を支える土台です。

VQL（Velociraptor Query Language）は、データベースで使うSQLにそっくりな構文を持っています。基本は「SELECT（何を）→ FROM（どこから）→ WHERE（どんな条件で）」の3点セット。「どこから」にあたるのがプラグイン（例：pslist()＝実行中プロセス一覧、glob()＝ファイル探索）で、ここがVQLならではの部分です。

▲ =~ は「正規表現にマッチする」という意味。SQLの LIKE の強力版です。正規表現の基礎を押さえると、VQLの表現力が一気に上がります。

結果は表形式で返ります。条件を足していけば、「親プロセスが Office なのに PowerShell を起動している」（＝マクロからの不審な実行の疑い）といった、“違和感”をピンポイントで探すクエリに育てられます。VQLは関数を組み合わせて、ハッシュ計算・YARAスキャン・レジストリ探索・イベントログ解析なども一続きに書けます。

▲ 取得したSHA256を脅威インテリジェンス（IOC）と突き合わせれば、既知のマルウェアかどうかをすばやく判定できます。

▲ 攻撃者が再起動後も居座るための「自動起動」は、永続化の定番。これを全台へハントすれば、感染端末を芋づる式に洗い出せます。レジストリも glob() で“ファイルのように”探索できるのがVQLの面白さです。

VQLが扱えるのは、プロセスやファイル、レジストリだけではありません。イベントログ、WMI、スケジュールタスク、ネットワーク接続、サービス、ユーザーアカウント、ブラウザ履歴、さらにはメモリ上の情報やYARAによるスキャンまで——OSのありとあらゆる“痕跡”を、同じ SELECT 文の作法で問い合わせられます。覚えることは増えますが、「文法は一つ、対象は無数」。一度コツをつかめば、調べられる範囲が一気に広がっていきます。だからこそ、新しい攻撃手口が登場しても、その特徴を表すVQLを書けば、すぐに“探す力”へ変えられるのです。

Velociraptorは単一の実行ファイルで動き、用途に応じて3つの使い方があります。学習なら、まず(1) オフラインコレクターが圧倒的におすすめ。サーバもエージェントも要らず、1台で完結します。

しかも、一度つくったオフラインコレクターは使い回せます。「初動トリアージ用」「マルウェア調査用」といった目的別のEXEをあらかじめ用意しておけば、いざというとき現場の担当者に渡して“実行するだけ”で均質な証拠が集まります。これは、人によってバラつきがちな初動対応を、誰でも同じ品質で再現できる手順に変える大きな武器です。IRプレイブックに「収集用コレクターを事前準備」と一行加えておくだけで、対応のスピードと確実性がぐっと上がります。

どの方式でも、Velociraptorは単一のバイナリで動くため、導入のハードルは驚くほど低いのが特長です。まずはオフラインコレクターで「集める感覚」をつかみ、慣れてきたらサーバを立てて「全台を一望する感覚」へ。ステップを分ければ、専門チームでなくても着実に扱えるようになります。

ここまでの道具立てが、実際のインシデントでどう効くのか。IRプレイブックの流れに沿って、代表的な使い方を整理します。

見落とされがちですが、Velociraptorは“過去を掘り起こす”だけでなく“今を見張る”こともできます。WindowsのETW（Event Tracing for Windows）やLinuxのeBPFを使えば、プロセス起動や不審な通信をリアルタイムに監視でき、SIEM横断で使える汎用の検知ルール記法Sigmaもそのまま活用できます。つまり、インシデント後の“調査基盤”が、そのまま日々の常時監視・早期検知の基盤にもなる——一粒で二度おいしい設計です。

Velociraptorは万能に見えますが、すべてを置き換えるものではありません。KAPEや市販EDRとは、得意分野が違います。違いを押さえると、現場での選択が楽になります。

実際の現場では、これらを組み合わせて使います。たとえば——市販EDRが日々のアラートを上げ、怪しい兆候が出たらVelociraptorのハントで全台への波及を一気に確認。確定した端末はKAPEで精密にトリアージ収集し、深掘り解析へ回す。それぞれの“得意”をつなぐことで、検知から究明・封じ込めまでが一本の線になります。「どれか一つ」ではなく「適材適所」——これが実務の発想です。

「無料のツールを、本番の調査で信頼していいのか」と不安に思うかもしれません。Velociraptorはオープンソースとして世界中で検証され、Rapid7の支援のもとで活発に開発が続く成熟したプロジェクトです。世界中のインシデント対応企業やCSIRTが実戦で採用し、2025年にはサーバから承認付きで端末に対処する能動的レスポンス（active remediation）の機能強化も発表されました。コミュニティの厚みが、品質と進化を支えている——それが、無料でありながら一線級であり続けられる理由です。

ここまでに出てきた言葉の“答え合わせ”として、用語集とFAQを用意しました。Velociraptorは奥が深いツールですが、入口はこの記事の範囲で十分です。あとは自分の検証ラボで手を動かしながら、少しずつ世界を広げていきましょう。最初の一歩を踏み出せば、「ネットワーク全体を一望する」という感覚が、きっと癖になります。

📖 用語集

❓ よくある質問（FAQ）

🧭 次に読む