Linux · Ferramentas do Sistema
Osquery
O Osquery é uma ferramenta de visibilidade de sistema impulsionada por SQL que transforma seu sistema operacional Linux em um banco de dados para consultar processos, arquivos e configurações.
- Licença
- Apache-2.0
- Versão mais recente
- 5.24.0
O que é o Osquery?
O Osquery, originalmente desenvolvido pelo Facebook e agora mantido pela Fundação Osquery, permite que você consulte seu sistema operacional usando SQL. Ele expõe o estado do sistema — como processos em execução, arquivos abertos e módulos do kernel — como tabelas. Ele está maduro há mais de uma década e é amplamente usado em segurança empresarial e operações de TI para obter visibilidade profunda sobre a saúde da frota e possíveis ameaças.
Esta ferramenta é principalmente para administradores de sistemas, engenheiros de segurança e equipes DevOps que gerenciam grandes frotas Linux. Se você é um usuário casual, pode achar que é excessivo, mas se precisa auditar quem alterou um arquivo de configuração ou quais binários estão em execução, é a maneira padrão de fazer isso programaticamente, sem escrever scripts de shell personalizados para cada pergunta.
Em comparação com ferramentas do Windows, como WMI ou PowerShell, o Osquery oferece uma linguagem de consulta mais consistente e multiplataforma. No Windows, você frequentemente lida com diferentes cmdlets ou WQL; aqui, você usa SQL padrão contra um esquema unificado. Parece menos como 'mágica de linha de comando' e mais como consultar um banco de dados, o que torna o filtragem complexa e a junção de dados do sistema significativamente mais fáceis de raciocinar.
Ideal para: Equipes de segurança e administradores de sistemas que precisam de visibilidade auditável e padronizada em uma frota Linux mista.
Principais recursos do Osquery
- Consultar o estado do sistema usando SQL padrão
- Monitorar processos, arquivos e conexões de rede em tempo real
- Agendar consultas para execução periódica para registro de logs
- Integrar com sistemas centralizados de logs como Splunk ou ELK
- Suporte a extensões personalizadas para consultar dados não padrão
- Arquitetura de daemon leve com baixa sobrecarga de recursos
Prós
- A sintaxe SQL padrão facilita a aprendizagem para qualquer pessoa com experiência em bancos de dados
- Consistência multiplataforma entre Linux, macOS e Windows
- Altamente extensível com extensões personalizadas para necessidades específicas
- Ativamente mantido com uma grande comunidade e apoio empresarial
Contras
- Curva de aprendizado mais íngreme do que comandos de shell simples para tarefas pontuais
- Exige a configuração de um daemon e um agendador para utilidade completa
- Pode ser intensivo em recursos se mal configurado com muitas consultas frequentes
Programas do Windows que o Osquery substitui
Como instalar o Osquery no Linux
sudo pacman -S osqueryDicas para quem vem do Windows
Se você vem do WMI ou PowerShell do Windows, pense nas tabelas do Osquery como seus novos cmdlets. Em vez de Get-Process, você executa SELECT * FROM processes. O fluxo de trabalho muda de script imperativo para consulta declarativa. Você provavelmente configurará um daemon osqueryd para lidar com consultas agendadas e saída de logs, o que substitui a natureza ad-hoc de muitos scripts de administração do Windows. Observe que os caminhos de arquivo e os modelos de permissão diferem, portanto, ajuste suas consultas para tabelas específicas do Linux, como users ou groups, que não têm equivalentes diretos no Windows.
Osquery: perguntas frequentes
O Osquery é seguro para executar em um servidor de produção?
Sim, ele foi projetado para uso em produção. Ele executa como um daemon leve e apenas lê o estado do sistema, portanto, não modifica arquivos nem interrompe operações se configurado corretamente.
Como instalo o Osquery no Arch Linux?
Você pode instalá-lo do Arch User Repository (AUR) using um helper do AUR como yay ou paru. O pacote geralmente é nomeado osquery.
O Osquery pode detectar malware no Linux?
Ele ajuda ao fornecer visibilidade sobre processos em execução e alterações de arquivos, o que pode destacar anomalias. No entanto, não é um motor de antivírus e depende de você ou de um SIEM para interpretar os dados como maliciosos.
O Osquery funciona sem um backend de banco de dados?
Sim, você pode executar o shell interativo osqueryi para consultas pontuais sem configurar um backend centralizado de logs ou um daemon.
Atualizado em