Qué es un artefacto de recolección

Según la documentación de Velociraptor, un artefacto es un archivo YAML que empaqueta una o más consultas en su lenguaje VQL junto con datos relacionados, y se guarda en el servidor. Tiene un nombre jerárquico con puntos (los propios de una organización suelen empezar por Custom.), una descripción que sirve para buscarlo, parámetros con valor por defecto y una o más fuentes. Cada fuente produce una tabla de resultados.

Cuando se lanza, el servidor prepara la consulta y la envía a los clientes. La idea de fondo es hacer el trabajo en el propio equipo y devolver solo lo que importa, no copiar el equipo.

Los parámetros son la parte que quien lanza la caza puede cambiar sin tocar la consulta: cuántos días mirar atrás, qué ruta revisar, si se incluyen o no ciertos elementos. Cada uno trae un valor por defecto, y es ese valor, no el que uno cree recordar, el que se aplica si nadie lo cambia.

Leer una definición ajena empieza por ahí: qué parámetros hay y con qué valor salen. Un periodo por defecto demasiado corto esconde lo viejo; demasiado largo devuelve ruido. En el laboratorio está la definición del artefacto propio del equipo.

Un artefacto con varias fuentes devuelve varias tablas, una por fuente, y cada una puede tener sus propias columnas. Contar las fuentes antes de lanzar permite saber cuántas tablas habrá que leer y cuánto devolverá, en el peor caso, cada equipo.

La cifra no está escrita en la definición como un número: se obtiene contando las filas de la lista de fuentes.

Una fuente puede llevar una precondición: una condición que el cliente comprueba antes de ejecutarla. Si el equipo no la cumple, esa fuente se omite en ese equipo y no devuelve filas. Esto es útil, porque un solo artefacto sirve para Windows y Linux sin enviar consultas que no tienen sentido.

Pero un resultado vacío por precondición no es lo mismo que un resultado vacío porque no hay nada que encontrar. Antes de leer un cero hay que saber qué fuentes pudieron ejecutarse en ese equipo.

Una solicitud razonable pide una pregunta concreta: qué buscar, en qué equipos y con qué límites. Una solicitud que pide «copiar todo para ver qué hay» no es una recolección, es una mudanza: satura la red y el almacén, trae información personal que no hacía falta y deja un volumen que nadie puede revisar entero.

Lee las dos solicitudes del laboratorio y decide cuál se acepta y cómo se reformula la otra.