Hvernig á að fylgjast með Linux netþjónsöryggi með Osquery

Osquery er ókeypis opinn uppspretta, öflugur og þvert á palla SQL-tengt stýrikerfistækjabúnað, eftirlit og greiningarrammi fyrir Linux, FreeBSD, Windows og Mac/OS X kerfi, smíðað af Facebook. Það er einfaldur og auðveldur í notkun stýrikerfiskönnuður.

Það sameinar fjölda verkfæra sem framkvæma lágstig stýrikerfisgreiningar og eftirlit; þessi verkfæri sýna stýrikerfi sem afkastamikinn venslagagnagrunn eins og MySQL/MariaDB, PostgreSQL og fleira, þar sem hugtök stýrikerfis eru sýnd í töfluformi, sem gerir notendum kleift að nota SQL skipanir til að framkvæma kerfiseftirlit og greiningu.

Osquery notar einfalt viðbætur og viðbætur API til að útfæra SQL töflur, það er safn af töflum tilbúið til notkunar og fleiri eru í vinnslu. Sumar töflur er aðeins að finna á tilteknu stýrikerfi, til dæmis finnurðu bara kernel_modules töfluna á Linux kerfum.

Að auki geturðu keyrt fyrirspurnir til að fylgjast með og greina stýrikerfisstöðu á einum hýsil í gegnum osqueryi skelina, eða á nokkrum vélum á netinu í gegnum tímaáætlun eða keyra þær úr sérsniðnu forritunum þínum með osquery Thrift API.

Hvernig á að setja upp Osquery í Linux

Hægt er að setja upp Osquery frá opinberu geymslunni með því að nota dnf pakkastjórnunartæki á viðkomandi Linux dreifingu eins og sýnt er.

$ export OSQUERY_KEY=1484120AC4E9F8A1A577AEEE97A80C63C9D8B80B
$ sudo apt-key adv --keyserver keyserver.ubuntu.com --recv-keys $OSQUERY_KEY
$ sudo add-apt-repository 'deb [arch=amd64] https://pkg.osquery.io/deb deb main'
$ sudo apt update
$ sudo apt install osquery

$ curl -L https://pkg.osquery.io/rpm/GPG | sudo tee /etc/pki/rpm-gpg/RPM-GPG-KEY-osquery
$ sudo yum-config-manager --add-repo https://pkg.osquery.io/rpm/osquery-s3-rpm.repo
$ sudo yum-config-manager --enable osquery-s3-rpm-repo
$ sudo yum install osquery

$ curl -L https://pkg.osquery.io/rpm/GPG | sudo tee /etc/pki/rpm-gpg/RPM-GPG-KEY-osquery
$ dnf config-manager --add-repo --add-repo https://pkg.osquery.io/rpm/osquery-s3-rpm.repo
$ sudo dnf config-manager --set-enabled osquery-s3-rpm
$ sudo dnf install osquery

Hvernig á að fylgjast með og greina Linux með Osquery

Þegar þú hefur sett upp Osquery á vélinni þinni skaltu ræsa osqueryi skelina til að byrja að spyrjast fyrir um stöðu stýrikerfisins eins og sýnt er.

$ osqueryi

Using a virtual database. Need help, type '.help'
osquery> 

Til að fá samantektar Linux kerfisupplýsingar skaltu keyra eftirfarandi skipun.

osquery> SELECT  * FROM system_info;

Til að fá vel sniðinn lista yfir alla notendur á Linux kerfinu skaltu keyra eftirfarandi fyrirspurn.

osquery> SELECT * FROM users;

Til að fá lista yfir allar Linux kjarnaeiningar og stöðu þeirra skaltu keyra eftirfarandi fyrirspurn.

osquery> SELECT * FROM kernel_modules;

Til að fá lista yfir alla uppsetta RPM pakka á CentOS, RHEL og Fedora skaltu keyra eftirfarandi fyrirspurn.

osquery> .all rpm_packages;

Til að fá upplýsingar um að keyra Linux ferla skaltu keyra eftirfarandi fyrirspurn.

osquery> SELECT DISTINCT processes.name, listening_ports.port, processes.pid FROM listening_ports JOIN processes USING (pid) WHERE listening_ports.address = '0.0.0.0';

Ef þú ert að keyra osquery á skjáborði og ert með Firefox eða Chrome uppsett, geturðu skráð allar viðbætur þínar með því að nota eftirfarandi fyrirspurn.

osquery> .all firefox_addons;
osquery> .all  chrome_extensions;

Til að birta lista yfir allar útfærðar töflur í Linux, notaðu .tables skipunina eins og sýnt er.

osquery> .tables;	#list all implemented tables
osquery> .help; 	#view help message

Osquery veitir einnig skráarheilleikavöktun (FIM), og ferli- og falsendurskoðunareiginleika og fleira, þannig að það er innbrotsskynjunartæki, en þetta kallar á ákveðnar stillingar áður en þú getur notað það í slíkum tilgangi. Þú getur fundið frekari upplýsingar frá Osquery Github geymslunni.