Osquery

Qu’est-ce que Osquery ?

Osquery, initialement développé par Facebook et maintenant maintenu par la Fondation Osquery, vous permet d'interroger votre système d'exploitation à l'aide de SQL. Il expose l'état du système — tels que les processus en cours d'exécution, les fichiers ouverts et les modules du noyau — sous forme de tables. Mûr depuis plus d'une décennie, il est largement utilisé en sécurité d'entreprise et en exploitation IT pour obtenir une visibilité approfondie sur la santé de la flotte et les menaces potentielles.

Cet outil s'adresse principalement aux administrateurs système, aux ingénieurs de la sécurité et aux équipes DevOps gérant de grandes flottes Linux. Si vous êtes un utilisateur occasionnel, vous pourriez le trouver excessif, mais si vous avez besoin d'auditer qui a modifié un fichier de configuration ou quels binaires sont en cours d'exécution, c'est la méthode standard pour le faire de manière programmatique sans écrire de scripts shell personnalisés pour chaque question.

Par rapport aux outils Windows comme WMI ou PowerShell, Osquery offre un langage de requête plus cohérent et multiplateforme. Sous Windows, vous jonglez souvent avec différents cmdlets ou WQL ; ici, vous utilisez du SQL standard contre un schéma unifié. Cela ressemble moins à de la « magie en ligne de commande » et plus à l'interrogation d'une base de données, ce qui facilite considérablement le raisonnement sur le filtrage complexe et la jointure de données système.

Idéal pour : Équipes de sécurité et administrateurs système ayant besoin d'une visibilité standardisée et auditable sur une flotte Linux mixte.

Fonctionnalités clés de Osquery

• Interroger l'état du système à l'aide de SQL standard
• Surveiller les processus, les fichiers et les connexions réseau en temps réel
• Planifier des requêtes pour une exécution périodique de journalisation
• Intégration avec des systèmes de journalisation centralisés comme Splunk ou ELK
• Prise en charge des extensions personnalisées pour interroger des données non standard
• Architecture de démon légère avec une faible surcharge de ressources

Conseils pour les utilisateurs de Windows

Si vous venez de Windows WMI ou PowerShell, considérez les tables Osquery comme vos nouveaux cmdlets. Au lieu de Get-Process, vous exécutez SELECT * FROM processes. Le flux de travail passe du scriptage impératif à l'interrogation déclarative. Vous configurerez probablement un démon osqueryd pour gérer les requêtes planifiées et la sortie des journaux, ce qui remplace le caractère ad hoc de nombreux scripts d'administration Windows. Notez que les chemins de fichiers et les modèles de permissions diffèrent, donc ajustez vos requêtes pour les tables spécifiques à Linux comme users ou groups, qui n'ont pas d'équivalents directs sous Windows.