15、使用Wazuh进行威胁狩猎：Osquery与命令监控全解析

使用Wazuh进行威胁狩猎：Osquery与命令监控全解析

1. Osquery简介

Osquery是2014年由Facebook开发的开源工具，它能将目标操作系统转化为关系型数据库，允许我们使用SQL查询从表中获取信息，如远程机器状态、运行进程、活跃用户账户、活跃网络连接等。它支持在Windows、Linux、macOS和FreeBSD系统上安装，广泛应用于安全分析师、数字取证和事件响应（DFIR）分析师以及威胁猎人的工作中。

以下是一些简单的Osquery使用案例：
- 查询驻留内存大小排名前10的进程 ：

select pid, name, uid, resident_size from processes order by resident_size desc limit 10;

• 查询进程计数排名前10的最活跃进程 ：

select count(pid) as total, name from processes group by name order by total desc limit 10;

2. 安装Osquery

不同平台安装Osquery的过程有所不同，下面介绍在Ubuntu和Windows上的安装方法。

2.1 在Ubuntu Server/Desktop上安装Osquery