Установка и базовый мониторинг osquery на Ubuntu 18.04 и CentOS 7

Краткое введение

osquery — это открытое ПО для мониторинга, запросов и аналитики операционной системы. Проект был создан Facebook. Osquery представляет ОС как высокопроизводительную реляционную базу данных. Все элементы системы (процессы, пользователи, пакеты, монтирования, сетевые интерфейсы и т. д.) доступны в виде таблиц. Запросы формулируются на знакомом SQL.

Краткое определение: osquery — агент, который экспортирует данные ОС в виде SQL‑таблиц для интерактивного исследования и автоматического мониторинга.

Факты: платформа — мультиродовая. Osquery поддерживается на Linux, Windows, macOS и FreeBSD. В этой статье сосредоточимся на Ubuntu 18.04 и CentOS 7.

Важно: для установки требуются права root.

Что вы получите из руководства

• Пошаговая установка osquery на Ubuntu 18.04 и CentOS 7.
• Быстрый старт с osqueryi — интерактивной консолью.
• Набор практических SQL‑запросов для мониторинга оборудования, ПО, сетей и безопасности.
• Чек‑листы для администратора, DevOps и аналитика безопасности.
• SOP (плейбук) установки и проверки работоспособности.

Предварительные условия

• Сервер с Linux (Ubuntu 18.04 или CentOS 7).
• root‑доступ или эквивалентные привилегии sudo.

Быстрая карта намерений (primary intent + варианты)

Связанные варианты: osquery установить ubuntu, osquery на centos, osqueryi команды, мониторинг linux sql, osquery cheat sheet

Шаг 1 — Установка osquery на Linux

Osquery предоставляет репозиторий для каждой платформы. В этих шагах мы добавим официальный репозиторий и установим пакет osquery.

На Ubuntu 18.04

Добавьте GPG‑ключ для репозитория и импортируйте ключ в apt:

export OSQUERY_KEY=1484120AC4E9F8A1A577AEEE97A80C63C9D8B80B
sudo apt-key adv --keyserver keyserver.ubuntu.com --recv-keys $OSQUERY_KEY

Добавьте репозиторий и установите пакет:

sudo add-apt-repository 'deb [arch=amd64] https://pkg.osquery.io/deb deb main'
sudo apt update
sudo apt install osquery -y

Примечание: если на сервере включён строгий фаерволл или прокси, убедитесь, что доступ к pkg.osquery.io разрешён.

На CentOS 7

Добавьте GPG‑ключ репозитория:

curl -L https://pkg.osquery.io/rpm/GPG | sudo tee /etc/pki/rpm-gpg/RPM-GPG-KEY-osquery

Добавьте репозиторий и установите пакет:

sudo yum-config-manager --add-repo https://pkg.osquery.io/rpm/osquery-s3-rpm.repo
sudo yum-config-manager --enable osquery-s3-rpm
sudo yum install osquery -y

Дождитесь завершения установки всех зависимостей.

Важно: после установки пакет osquery обычно ставит системные юниты. На некоторых дистрибутивах osqueryd запускается как сервис; проверьте systemctl status osqueryd.

Шаг 2 — Быстрая работа в osqueryi (интерактивный режим)

osquery поставляется с двумя основными интерфейсами:

• osqueryi — интерактивная консоль для ad‑hoc запросов.
• osqueryd — демон для постоянного мониторинга и логирования.

osqueryi похож на mysql/psql: он предназначен для быстрой проверки данных и отладки.

Запустите консоль:

osqueryi

Полезные команды внутри osqueryi:

• .help — показать список встроенных команд.
• .show — показать текущие конфигурации и состояние.
• .tables — список доступных таблиц.
• .schema — показать схему таблицы (столбцы и типы).
  .mode — переключить формат вывода (pretty, column, csv, list, line).

  Примеры переключения режимов вывода:

  .mode csv
  .mode list
  .mode column
  .mode line
  .mode pretty

  

  Примечание: режим line удобен для быстрого парсинга внешними инструментами; pretty — для чтения человеком.

  ---

  Шаг 3 — Базовый мониторинг Linux с помощью SQL‑запросов

  Ниже собраны практические запросы, которые помогают получить профиль системы, состояние пакетов, загрузку, сетевые интерфейсы, процессы и параметры безопасности.

  Получение информации о системе

  Показать все доступные данные о системе:

  SELECT * FROM system_info;

  Выбрать ключевые поля:

  SELECT hostname, cpu_type, physical_memory, hardware_vendor, hardware_model FROM system_info;

  

  Версия ОС

  SELECT * FROM os_version;

  

  Версия ядра и модули

  Показать сведения о ядре:

  SELECT * FROM kernel_info;

  Показать загруженные модули (ограничение для быстрого вывода):

  SELECT * FROM kernel_modules LIMIT 5;

  

  Репозитории и пакеты

  Osquery имеет разные таблицы для Ubuntu и CentOS.

  • Ubuntu: apt_sources, deb_packages.
  • CentOS: yum_sources, rpm_packages.

  Примеры для Ubuntu:

  SELECT * FROM apt_sources;
  SELECT name, base_uri, release, maintainer, components FROM apt_sources ORDER BY name;
  SELECT name, version FROM deb_packages ORDER BY name;
  SELECT name, version FROM deb_packages WHERE name='nginx';

  Примеры для CentOS:

  SELECT * FROM yum_sources;
  SELECT name, baseurl, enabled FROM yum_sources WHERE enabled=1;
  SELECT name, version FROM rpm_packages ORDER BY name;
  SELECT name, version FROM rpm_packages WHERE name='firewalld';

  

  Монтирования и файловые системы

  SELECT * FROM mounts;
  SELECT device, path, type, inodes_free, flags FROM mounts;
  SELECT device, path, type, inodes_free, flags FROM mounts WHERE type='ext4';

  

  Память

  SELECT * FROM memory_info;

  

  Сетевые интерфейсы

  Адреса интерфейсов:

  SELECT * FROM interface_addresses;

  Детальная статистика интерфейсов:

  SELECT * FROM interface_details;
  SELECT interface, mac, ipackets, opackets, ibytes, obytes FROM interface_details;

  

  Время работы сервера

  SELECT * FROM uptime;

  

  Пользователи и входы в систему

  Все пользователи:

  SELECT * FROM users;

  Обычные незарегистрированные системные пользователи (uid>=1000):

  SELECT * FROM users WHERE uid>=1000;

  Последние входы:

  SELECT * FROM last;
  SELECT username, time, host FROM last WHERE type=7;

  Текущие авторизованные пользователи:

  SELECT * FROM logged_in_users;

  

  Правила iptables

  SELECT * FROM iptables;
  SELECT chain, policy, src_ip, dst_ip FROM iptables WHERE chain='POSTROUTING' ORDER BY src_ip;

  

  Процессы

  Все процессы:

  SELECT * FROM processes;

  Выборка ключевых полей:

  SELECT pid, name, path, cmdline FROM processes;

  

  Cron‑задания

  SELECT * FROM crontab;

  

  SUID бинарники

  SUID — это бит в правах доступа, который позволяет исполняемому файлу запускаться с правами владельца файла. Такие файлы представляют потенциальную угрозу безопасности.

  SELECT * FROM suid_bin;
  SELECT * FROM suid_bin WHERE username='root' AND groupname='nobody' ORDER BY path;

  

  ---

  Cheat sheet: часто используемые запросы (сводный набор)

  Цель	Запрос
  Проверить hostname и память	SELECT hostname, physical_memory FROM system_info;
  Проверить активные пакеты nginx	SELECT name, version FROM deb_packages WHERE name=’nginx’;
  Найти процессы с большой командной строкой	SELECT pid, name, cmdline FROM processes WHERE LENGTH(cmdline) > 100;
  Список подключённых интерфейсов	SELECT interface, ipaddress FROM interface_addresses;
  Загруженные ядро модули	SELECT name, size FROM kernel_modules ORDER BY name;
  Текущие авторизованные пользователи	SELECT * FROM logged_in_users;