Velociraptorのようなエンドポイント可視化プラットフォームは、外部から正確に数を把握することが難しく、この困難さが重要な発見事項です。デジタルフォレンジックのためのオープンソースツールであるVelociraptorは、ホスト上のエージェントとサーバーを使用してデータを収集します。このサーバーをインターネットに公開することは、すべてのエンドポイントにクエリインターフェースを公開することを意味します。ZoomEyeのスキャンでは、「Velociraptor」というタイトルを持つ237のアセットが検出されました。しかし、これらのうち、一般的に文書化されているGUIポートにあるのは2つだけで、エージェント通信ポートにあるものはありません。この低いカウントはサーバーの総数を示すものではなく、特定の検索基準で発見可能な数を示しています。リバースプロキシ、プライベートネットワークへの配置、認証要件など、いくつかの要因が外部カウントを抑制しています。TLS証明書で「velociraptor」を検索したところ15件のヒットがあり、証明書に製品名を使用しているデプロイメントがいくつかあることを示唆しています。インターフェース自体は、貴重なフォレンジックデータを保持し、エンドポイントの制御を提供するという点で重要です。プラットフォームはインシデント中に展開され、そのまま公開されることが多く、セキュリティリスクを生み出します。正確なインベントリのためには、内部構成とリスニングソケットを確認することが不可欠です。TLS証明書の確認と、GUIと収集チャネルの分離は重要なセキュリティプラクティスです。ハントインターフェースのプログラムアクセス認証情報は、特に価値が高いです。検出のための真のシグナルは、外部スキャンではなく、ハント作成のようなAPIの使用にあります。予期しないクライアントの登録もセキュリティ問題を示す可能性があります。外部スキャンは、インシデント中の迅速なスコープ把握には役立ちますが、決定的なインベントリのためではありません。