Платформы видимости конечных точек, такие как Velociraptor, трудно точно подсчитать извне, и эта трудность является ключевым выводом. Velociraptor, инструмент с открытым исходным кодом для цифровой криминалистики, использует агентов на хостах и сервер для сбора данных. Выставление этого сервера в интернет означает предоставление интерфейса запросов всем конечным точкам. Сканирование ZoomEye выявило 237 активов с "Velociraptor" в названии. Однако только два из них находятся на общепринятом порту графического интерфейса, и ни один не находится на порту связи агента. Это низкое число не указывает на общее количество серверов, а скорее на то, сколько из них можно обнаружить с помощью конкретных критериев поиска. Несколько факторов подавляют внешние подсчеты, включая обратные прокси, размещение в частной сети и требования аутентификации. Запрос "velociraptor" в TLS-сертификатах дал 15 совпадений, что указывает на некоторые развертывания, использующие названия продуктов в своих сертификатах. Сам интерфейс имеет решающее значение, поскольку он содержит ценные криминалистические данные и обеспечивает контроль над конечными точками. Платформы часто развертываются во время инцидентов и остаются открытыми, создавая риски безопасности. Проверка внутренних конфигураций и прослушиваемых сокетов необходима для точного учета. Проверка TLS-сертификатов и отделение графического интерфейса от канала сбора являются важными мерами безопасности. Учетные данные для программного доступа к интерфейсу поиска представляют особую ценность. Истинным сигналом для обнаружения является использование API, такого как создание поиска, а не внешнее сканирование. Неожиданное подключение клиентов также может указывать на проблемы безопасности. Внешнее сканирование полезно для быстрой оценки во время инцидента, но не для окончательного учета.