【ITニュース解説】Velociraptor: 237 title matches, 15 certificate hits, and an endpoint agent you cannot see

Velociraptorとは、サイバーセキュリティの分野で利用されるオープンソースの強力なツールで、デジタルフォレンジックとインシデントレスポンスのために設計されたものだ。具体的には、企業の社内ネットワークに接続された多数のパソコンやサーバーといった「エンドポイント」と呼ばれる各端末から、セキュリティに関連する様々な情報を収集したり、緊急時に調査を行ったり、問題発生時の対応を助けたりする役割を持つ。このツールは、監視対象の各端末に「エージェント」と呼ばれる小さなプログラムを動かし、そのエージェントが収集したデータを「Velociraptorサーバー」に集約して管理する仕組みになっている。サーバーは集めたデータを保管するだけでなく、それらのデータに対して複雑な「クエリ」（問い合わせ）を実行し、必要な情報を引き出すことができる。

このVelociraptorサーバーがインターネットに公開されてしまうと、大きなセキュリティリスクを抱えることになる。サーバーが公開されると、それは単なるWebサイトがインターネット上にあるという話にとどまらない。悪意のある第三者から見れば、そのサーバーは社内の全エンドポイントに対する「クエリインターフェース」、つまり社内ネットワークの隅々まで情報を引き出し、さらには操作する可能性を秘めた窓口となってしまうのだ。

外部のインターネットスキャンツール「ZoomEye」を使った調査では、2026年10月23日時点で、「Velociraptor」というタイトルを含むページを公開しているサーバーが237件見つかった。しかし、Velociraptorの管理画面で一般的に使われるポート番号「8000番」で、かつこのタイトルを持つサーバーはわずか2件だった。また、エージェントとサーバーが通信する際に使われるポート番号「8889番」でこのタイトルを持つサーバーは一つも発見されなかった。さらに、サーバーの身元を証明する「TLS証明書」の中に「Velociraptor」という文字列を含むサーバーは15件だった。

これらの数字が示すのは、インターネット上にVelociraptorサーバーが多数存在するものの、その多くは外部から直接認識されにくい形で運用されているということだ。実際には、サーバーが「リバースプロキシ」と呼ばれる仕組みの背後に置かれ、表示されるページタイトルが書き換えられていたり、サーバー自体がインターネットに直接接続されず、企業の内部ネットワーク内やVPN経由でのみアクセス可能になっていたりする場合が多い。また、管理画面にアクセスするために、製品名が表示される前に認証を求められることも多く、このような状況では外部からのクローラーが製品名を検出できない。だからこそ、たった2件という数字は、インターネット上に存在するVelociraptorサーバーの総数を表しているわけではない。

このニュース記事が特に強調しているのは、Velociraptorサーバーが外部に露出している「数」そのものよりも、その「インターフェース」が持つ意味合いだ。Velociraptorサーバーは、社内全体で実行された調査（「ハント」と呼ばれる）の結果を蓄積している。これには、各端末で動いているプログラムのリスト、ファイルのハッシュ値（ファイルが改ざんされていないかを確認する情報）、OSの設定情報、ネットワーク接続の履歴、そしてサイバー攻撃対応中に収集された重要な証拠などが含まれる。これらのデータは、集約されることで社内の情報環境全体を詳細に示した地図のようなものとなる。さらに、Velociraptorサーバーは新たな調査を数千のエンドポイントに一斉に指示する能力も持っている。これは、企業内のシステム全体を制御できる「制御プレーン」と呼ぶべき非常に強力な機能だ。そのため、サーバーにアクセスするための「認証情報」は、そのサーバーが持つデータ自体と同じくらい、あるいはそれ以上に価値があると言える。残念ながら、このようなデジタルフォレンジックツールは、サイバー攻撃のような緊急事態の発生時に、リモートで作業する担当者がアクセスしやすいように、一時的にインターネットに公開され、事件解決後もそのまま放置されてしまうケースが少なくない。

システムエンジニアとして自身の環境を守るためには、いくつかの重要な確認事項がある。まず、社内のVelociraptorサーバーがどこに、どのようにデプロイされているかを正確に把握することだ。デプロイ記録を確認し、各サーバーがどのネットワークポートで通信を受け付けているか（「リスニングソケット」）を確認する。もしサーバーが社内ネットワークのプライベートアドレスでのみ通信を受け付けているなら、外部の検索エンジンに表示されるかどうかにかかわらず、インターネットに公開されている状態ではない。次に、もし外部に公開されているインターフェースがある場合は、そのWebサイトのTLS証明書の内容を詳しく確認すべきだ。証明書に製品名である「Velociraptor」という単語が含まれている場合、それは外部に対する不要な情報開示となり、避けるべきである。また、管理者がGUI（グラフィカルユーザーインターフェース）を使って操作するコンソール機能と、エージェントがサーバーと通信するための収集チャネルは、それぞれ異なるセキュリティ要件を持つため、可能であれば分離して運用することが望ましい。GUIだけが人間のアクセスを必要とし、その他のエージェントとの通信はより厳重なネットワーク分離を適用すべきだ。最も重要なのは、API（プログラムがVelociraptorサーバーと連携するためのインターフェース）の認証情報を誰が保持しているかを厳しく管理することだ。APIへのプログラムによるアクセスは、社内の全てのエンドポイントに対する情報の読み取りだけでなく、操作やアクション実行を可能にするため、プラットフォーム上で最も価値の高い認証情報となる。

セキュリティ上の検出においては、インターネット上の公開ページのスキャンよりも、VelociraptorのAPIが実際に利用された履歴を監視することが重要だ。新しい調査の作成や、調査結果の取得は、一つ一つの行為が記録される「監査可能」なイベントであるため、それらの操作を行ったユーザーや接続元のIPアドレスを記録することは、どのような外部からの防御策よりも効果的な監視となる。なぜなら、インターフェースがインターネットに公開されていようがいまいが、不正なAPI利用は検出できるからだ。また、「予期せぬクライアントエージェントの登録」も重要な警戒信号だ。誰も知らないアドレスから、突然新しいエージェントがVelociraptorの監視対象として登録された場合、それは設定ミスか、あるいは悪意のある者が社内ネットワークに侵入し、監視システムに紛れ込もうとしているサインかもしれない。

最後に、ZoomEyeのような外部のインターネットインデックスツールは、インシデント発生時に非常に迅速に「社外に何か公開されているか」「公開されている証明書に組織名が記載されていないか」といった大まかな状況把握に役立つ。これは、あくまで初期の確認手段であり、社内の正確な資産管理情報と合わせて参照されるべきものだ。外部ツールの結果だけで、社内資産の全体像を把握しようとするのは誤りである。