Phenquestions
Pentru a menține acest tutorial concis, nu ne vom adânci în „ce” și „cum” din stiva ELK. În schimb, vom discuta rapid și simplu cum să-l folosim cu Osquery. Vom presupune, de asemenea, că aveți cunoștințe practice despre SQL - indiferent de ghidul furnizat).
Ce este Osquery?
Dezvoltat de Facebook, Osquery este un instrument open-source multiplataforma folosit pentru interogarea și monitorizarea sistemelor folosind interogări bazate pe SQL.
Osquery poate interacționa cu sistemul și poate colecta informații detaliate, cum ar fi utilizarea memoriei, procesele care rulează, modulele kernel încărcate, evenimentele hardware, conexiunile de rețea etc. Instrumentul rulează pe toate sistemele, inclusiv Windows, Linux, Mac și BSD.
Folosind Osquery, puteți crea interogări SQL care afișează informații despre sistem și puteți utiliza aceste informații pentru a monitoriza și analiza datele colectate.
Cum se instalează Osquery pe sistemele Debian
Instalarea Osquery pe sistemele Debian este foarte ușoară și, deși nu este disponibilă în principalele repo-uri Debian, adăugarea este destul de simplă.
Să vedem prima metodă pe care o puteți folosi pentru a instala Osquery pe Debian:
Primul și cel mai simplu pas este să descărcați programul de instalare deb din pagina principală:
https: // pkg.osquery.io / deb / osquery_4.6.0-1.linux_amd64.deb
wget https: // pkg.osquery.io / deb / osquery_4.6.0-1.linux_amd64.debsudo dpkg -i osquery_4.6.0-1.linux_amd64.deb
Vă recomandăm metoda de mai sus, deoarece pachetele deb au foarte puține dependențe de majoritatea distribuțiilor Debian. Cu toate acestea, dacă doriți să adăugați la apt, utilizați următoarea metodă.
Introduceți următoarele comenzi pentru a instala Osquery din depozite.
export OSQUERY_KEY = 1484120AC4E9F8A1A577AEEE97A80C63C9D8B80Bsudo apt-key adv --keyyserver hkp: // keyserver.ubuntu.com: 80 --recv-keys $ OSQUERY_KEY
sudo add-apt-repository 'deb [arch = amd64] https: // pkg.osquery.io / deb deb main '
sudo apt-get update
sudo apt-get install osquery
Cum se folosește Osquery pe Debian 10
Înainte de a vă scufunda adânc în construirea de scripturi automate și a lucra cu stiva ELK, permiteți-ne să discutăm despre o utilizare simplă a Osquery pe sistemul local.
Osquery are trei componente principale pe care le puteți utiliza pentru a interacționa cu API-ul.
Osquery: Prima componentă este osqueryi, o sesiune de shell interactivă. Modul osqueryi este în întregime independent și nu necesită interacțiune cu demonul Osquery-Osquery. Folosind modul osqueryi, puteți executa interactiv interogări SQL și puteți explora sistemul curent similar cu un shell SQL.
NOTĂ: Osquery respectă spațiile utilizatorului și, dacă rulați shell-ul ca mod obișnuit de utilizator, nu veți avea acces la tabele privilegiate.
Osqueryd: Cealaltă componentă este osqueryd, demonul Osquery folosit pentru a programa interogări și a înregistra modificările de stare în fundal. Demonul funcționează prin agregarea rezultatelor interogării executate într-un anumit interval de timp și generează jurnale utilizate pentru a compara modificările de stare ale fiecărei interogări.
Osqueryctl: A treia componentă este Osqueryctl, un script de ajutor utilizat pentru a testa configurația de implementare. De asemenea, îl puteți utiliza ca manager de servicii Osquery, permițându-vă să porniți și să opriți serviciul.
În afara cutiei, Osquery nu este altceva decât un instrument simplu pentru interogarea informațiilor despre sistem. Cu toate acestea, atunci când combinați interogările pentru a crea date bine sortate și agregate, acestea devin mai mult decât un instrument de interogare.
Pentru a continua, începem cu elementele de bază pentru a înțelege cum funcționează:
Primul pas este să obțineți ajutor cu comanda:
sudo osqueryd --helpAceastă comandă va afișa ajutorul demonului Osquery, cu o listă de argumente pe care le puteți folosi în shell.
Următorul și cel mai simplu mod de a interacționa cu Osquery este să folosiți sesiunea osqueryi. De exemplu, dacă executați comanda osqueryi fără argument, veți intra într-un shell de tip SQL:
sudo osqueryiÎn interiorul shell-ului osqueryi, puteți executa comenzi și sintaxă SQL pentru a selecta informații specifice despre sistem.
Pentru a vizualiza modul de ajutor din interiorul shell-ului osqueryi, utilizați comanda:
osquery> .AjutorExecutarea acestei comenzi ar trebui să afișeze ajutor cu privire la sesiunea Osquery.
Deoarece Osquery este un maper de baze de date relaționale pentru sistemul dvs., acesta are o listă de tabele pe care le puteți utiliza pentru a selecta informații din utilizarea interogărilor SQLite.
NOTĂ: Interogările Osquery sunt bazate pe SQLite. Puteți consulta documentația sa dacă Osquery nu oferă suficiente informații:
https: // www.sqlite.org / index.html
În interiorul shell-ului osqueryi, utilizați comanda:
osquery> .MeseAceastă comandă listează tabelele disponibile care conțin informații despre sistem.
De acolo, puteți selecta informații din schemele disponibile. De exemplu, vizualizați informațiile despre dispozitivele de rezolvare DNS.
SELECT * FROM dns_resolvers;În funcție de schema pe care o interogați, veți obține o mulțime de informații și poate fi necesar să utilizați o combinație de interogări SQL pentru a da sens.
Puteți afla mai multe despre tabelele și schemele Osquery din următoarea resursă:
https: // osquery.io / schema / 4.6.0 /
Un ghid SQL de bază
Osquery funcționează utilizând interogări de sintaxă SQLite pentru a aduna informații despre un sistem. Habar nu am de ce Facebook a ales această rută, dar funcționează.
Acest tutorial simplu va discuta elementele de bază SQLite pentru a explica modul în care îl puteți utiliza pentru a interacționa cu Osquery.
NOTĂ: Acesta nu este în niciun caz menit să fie un ghid pentru SQL sau limbaje conexe. Pentru mai multe ghiduri specifice limbii, consultați documentația principală.
Selectarea intrărilor specifice dintr-un tabel
Folosind sintaxa de bază SQLite, putem selecta informații specifice dintr-un tabel folosind instrucțiunea SELECT așa cum se arată:
SELECT pid, nume, cale FROM procese;Adăugarea de funcții SQL
Osquery acceptă, de asemenea, funcții SQL, permițându-vă să efectuați diverse acțiuni cu date colectate din interogări.
De exemplu, funcția de numărare vă poate permite să vizualizați numărul de utilizatori din sistemul dvs.
SELECTAȚI COUNT (*) DIN utilizatori;Această comandă va returna numărul total de utilizatori din sistem.
Capacitatea pentru Osquery de a utiliza sintaxa SQL este un avantaj imens care vă poate ajuta să construiți seturi de date complexe care vă pot oferi o analiză mai aprofundată a unui sistem. De asemenea, creează un pod pe care dezvoltatorii SQL care folosesc motoare precum PostgreSQL, MySQL și alții îl pot folosi pentru a se adapta cu ușurință.
https: // osquery.readthedocs.io / ro / stable / introduction / sql /
Un proiect distractiv, secundar
Când explorați mai departe Osquery și experimentați cu el, veți descoperi că este un instrument cuprinzător și puternic care face mai ușoară crearea de proiecte reglate special pentru a vă monitoriza sistemele.
Datorită scopului acestui tutorial și pentru a evita confuzia începătorilor, nu ne vom adânci în proiecte complexe. Acestea fiind menționate, iată câteva instrumente pe care le puteți construi folosind Osquery:
- Colectați jurnalele cu Logstash
- Construiți un tablou de bord pentru monitorul sistemului cu Elasticsearch, Logstash și Kibana.
- Construiți flota Osquery cu Kolide
https: // osquery.readthedocs.io / ro / stable / deployment / log-aggregation /
https: // www.elastic.co / guide / ro / beats / filebeat / 7.10 / filebeat-module-osquery.html
https: // github.com / fleetdm / flotă
Concluzie
În acest tutorial, am analizat elementele de bază ale Osquery, inclusiv modul de utilizare a acestuia pentru a colecta informații despre sistem.
Deși nu este cuprinzător, acest ghid a avut scopul de a vă oferi o introducere rapidă și simplă la Osquery; în niciun caz nu a fost un ghid de referință.
Simțiți-vă liber să utilizați alte resurse pentru a obține o înțelegere mai profundă a diferitelor concepte pe care le-am discutat în acest tutorial.
