类似 Velociraptor 的端点可见性平台难以从外部进行准确统计，这一困难是一项关键发现。Velociraptor 是一款用于数字取证的工具，采用主机代理与服务器架构来收集数据。将服务器暴露于互联网意味着向所有端点暴露查询接口。ZoomEye 扫描显示有 237 个资产标题中包含"Velociraptor"，但其中仅有两个位于 commonly documented GUI 端口，且没有一个位于代理通信端口。这一较低的数量并不代表服务器总数，而仅反映可通过特定搜索标准发现的服务器数量。多种因素抑制了外部统计结果，包括反向代理、私有网络部署位置以及认证要求。对 TLS 证书中查询"velociraptor"发现 15 个匹配项，表明部分部署会在证书中使用产品名称。接口本身至关重要，因为它持有宝贵的取证数据并提供对端点的控制能力。平台常在事件期间部署并长期暴露，从而形成安全风险。验证内部配置和监听套接字对于准确清点至关重要。检查 TLS 证书并将 GUI 与收集通道分离是重要的安全实践。用于 hunt 接口的程序化访问凭证具有极高的价值。检测的真实信号在于 API 的使用，例如 hunt 的创建，而非外部扫描。意外的客户端注册也可能表明存在安全问题。外部扫描在事件期间可用于快速界定范围，但不可用于确定性的资产清点。