Velociraptor와 같은 엔드포인트 가시성 플랫폼은 외부에서 정확하게 수를 파악하기 어렵고, 이러한 어려움이 핵심적인 발견 사항입니다. 디지털 포렌식을 위한 오픈소스 도구인 Velociraptor는 호스트에 설치된 에이전트와 서버를 사용하여 데이터를 수집합니다. 이 서버를 인터넷에 노출하는 것은 모든 엔드포인트에 쿼리 인터페이스를 노출하는 것을 의미합니다. ZoomEye 스캔 결과, 제목에 "Velociraptor"가 포함된 자산이 237개 발견되었습니다. 그러나 이 중 일반적으로 문서화된 GUI 포트에 있는 것은 두 개뿐이며, 에이전트 통신 포트에 있는 것은 없습니다. 이 낮은 수치는 서버의 총 개수를 나타내는 것이 아니라 특정 검색 기준을 통해 검색 가능한 서버의 수를 나타냅니다. 리버스 프록시, 사설 네트워크 배치, 인증 요구 사항 등 여러 요인이 외부 수치를 낮춥니다. TLS 인증서에서 "velociraptor"를 쿼리한 결과 15개의 일치 항목이 발견되었으며, 이는 인증서에 제품 이름을 사용하는 일부 배포를 시사합니다. 인터페이스 자체는 귀중한 포렌식 데이터를 보유하고 엔드포인트에 대한 제어를 제공하기 때문에 중요합니다. 플랫폼은 종종 사고 발생 시 배포되고 노출된 상태로 방치되어 보안 위험을 초래합니다. 정확한 재고 파악을 위해서는 내부 구성 및 수신 소켓을 확인하는 것이 필수적입니다. TLS 인증서를 확인하고 GUI를 수집 채널과 분리하는 것은 중요한 보안 관행입니다. 헌트 인터페이스에 대한 프로그래밍 방식 액세스 자격 증명은 특히 가치가 높습니다. 탐지를 위한 진정한 신호는 외부 스캔이 아닌, 헌트 생성과 같은 API 사용에 있습니다. 예상치 못한 클라이언트 등록 또한 보안 문제를 나타낼 수 있습니다. 외부 스캔은 사고 발생 시 신속한 범위 파악에 유용하지만, 확정적인 재고 파악에는 적합하지 않습니다.