Osquery

¿Qué es Osquery?

Osquery, desarrollado originalmente por Facebook y ahora mantenido por la Fundación Osquery, te permite consultar tu sistema operativo utilizando SQL. Expone el estado del sistema, como los procesos en ejecución, los archivos abiertos y los módulos del kernel, en forma de tablas. Ha madurado durante más de una década y se utiliza ampliamente en la seguridad empresarial y las operaciones de TI para obtener una visibilidad profunda sobre la salud de la flota y las amenazas potenciales.

Esta herramienta está dirigida principalmente a administradores de sistemas, ingenieros de seguridad y equipos de DevOps que gestionan grandes flotas de Linux. Si eres un usuario casual, es posible que la encuentres excesiva, pero si necesitas auditar quién cambió un archivo de configuración o qué binarios están en ejecución, es la forma estándar de hacerlo de manera programática sin escribir scripts de shell personalizados para cada pregunta.

En comparación con las herramientas de Windows como WMI o PowerShell, Osquery ofrece un lenguaje de consulta más consistente y multiplataforma. En Windows, a menudo debes manejar diferentes cmdlets o WQL; aquí, utilizas SQL estándar contra un esquema unificado. Se siente menos como 'magia de línea de comandos' y más como consultar una base de datos, lo que hace que el filtrado complejo y la unión de datos del sistema sean significativamente más fáciles de razonar.

Ideal para: Equipos de seguridad y administradores de sistemas que necesitan una visibilidad auditable y estandarizada en una flota mixta de Linux.

Funciones clave de Osquery

• Consultar el estado del sistema utilizando SQL estándar
• Monitorear procesos, archivos y conexiones de red en tiempo real
• Programar consultas para que se ejecuten periódicamente para el registro
• Integración con sistemas de registro centralizados como Splunk o ELK
• Soporte para extensiones personalizadas para consultar datos no estándar
• Arquitectura de demonio ligero con baja sobrecarga de recursos

Consejos para usuarios de Windows

Si vienes de WMI o PowerShell de Windows, piensa en las tablas de Osquery como tus nuevos cmdlets. En lugar de Get-Process, ejecutas SELECT * FROM processes. El flujo de trabajo cambia de la programación imperativa a la consulta declarativa. Probablemente configurarás un demonio osqueryd para manejar consultas programadas y la salida de registros, lo que reemplaza la naturaleza ad hoc de muchos scripts de administración de Windows. Ten en cuenta que las rutas de archivo y los modelos de permisos difieren, por lo que ajusta tus consultas para tablas específicas de Linux como users o groups, que no tienen equivalentes directos en Windows.