Мониторинг безопасности системы с помощью osquery в Ubuntu

OSQuery является фреймворком на основе SQL для мониторинга и аналитики операционной системы. OSQuery превращает операционную систему в единую базу данных с таблицами, которым можно отправлять запросы с помощью SQL-подобных операторов.

Рекомендуется создать не root пользователя с доступом к sudo.

Устанавливаем OSQuery:

sudo yum -y install https://osquery-packages.s3.amazonaws.com/centos7/noarch/osquery-s3-centos7-repo-1-0.0.noarch.rpm

sudo yum -y install osquery

Ниже указаны некоторые примеры базовых команд OSQuery.

Больше информации о других командах OSQuery возможно получить на официальном сайте - https://osquery.io/docs/tables/

Запустить оболочку OSQuery:

osqueryi

Показать все столбцы таблиц для OS version:

select * from os_version;

Показать некоторые столбецы таблиц для System info:

select hostname, cpu_brand, hardware_vendor, hardware_model from system_info;

Показать некоторые столбцы таблиц, а так же указать более 100 UID, для User info:

select uid, gid, username, shell from users where uid >= 100;

Показать все столбцы таблиц для для CPU Time

select * from cpu_time;

Для выхода из оболочки OSQuery необходимо нажать на сочитание клавиш Ctrl+D.