Osquery : outil open source d’instrumentation, de surveillance et d’analyse du système d’exploitation basé sur SQL

• Un outil qui permet d’interroger des informations sur les appareils comme s’il s’agissait d’une base de données, à l’aide de SQL
• Chaque table représente des informations telles que les processus en cours d’exécution, les modules du noyau chargés, les connexions réseau ouvertes, les plug-ins de navigateur ou encore les événements matériels
• Prend en charge Windows, macOS, CentOS, ainsi que presque tous les OS Linux publiés depuis 2011
• Exemples d’utilisation

SELECT * FROM users;  
  
SELECT * FROM processes WHERE on_disk = 0;  
  
SELECT DISTINCT processes.name, listening_ports.port, processes.pid  
  FROM listening_ports JOIN processes USING (pid)  
  WHERE listening_ports.address = '0.0.0.0';  
  
SELECT name, program || program_arguments AS executable  
  FROM launchd  
  WHERE (run_at_load = 1 AND keep_alive = 1)  
  AND (program != '' OR program_arguments != '');  
  
SELECT address, mac, COUNT(mac) AS mac_count  
  FROM arp_cache GROUP BY mac  
  HAVING count(mac) > 1;  

[yangeok]

C'est un outil sympa haha

[cosine20]

Intéressant. Pour la collecte d’informations, ça semble plus pratique que des scripts shell.