osquery

Osquery 主机状态查询

补充说明

osquery 把操作系统状态暴露成 SQL 表，可查询进程、用户、网络、文件、软件包和内核模块。它适合资产清点和安全巡检，不做主动阻断。

常用示例

osqueryi
osqueryi 'SELECT pid, name, path FROM processes LIMIT 10;'
osqueryi --json 'SELECT * FROM listening_ports;'
osqueryi 'SELECT username, uid FROM users;'
osqueryi 'SELECT * FROM installed_packages;'
osqueryd --config /etc/osquery/osquery.conf
osqueryd --check
osqueryi --flagfile /etc/osquery/osquery.flags

常用表：

processes          进程
users              用户
listening_ports    监听端口
installed_packages 软件包
file               文件信息
kernel_modules     内核模块
crontab            定时任务

易错点与排错

• 不同平台的表可用性不同；查不到表不是语法错误。
• 大表全量查询会消耗 CPU/IO；加 WHERE、LIMIT 和索引字段。
• osqueryd 需要 root 读取部分表；权限不足会返回空结果。
• 调度查询和 packs 会产生持续开销；按需启用。
• 远程日志（TLS/Kafka）要配置证书和 endpoint；失败时看 daemon 日志。
• 它不是 EDR，不能阻止进程或网络连接。
• 配置和查询结果可能含敏感信息；注意访问控制和保留期。

相关命令

• osqueryi — 交互查询
• osqueryd — 守护进程
• auditd — 系统审计