Cómo instalar osquery en Debian 10

abril 13, 2022

osquery es una herramienta gratuita y de código abierto desarrollada por Facebook que puede utilizarse para consultar información relacionada con el sistema operativo, como el uso de la memoria, los paquetes instalados, la información de los procesos, los usuarios que inician sesión, los puertos de escucha y mucho más. Se puede ejecutar en varios sistemas operativos, como Windows, Linux, FreeBSD y MacOS. Es una herramienta muy útil para una variedad de casos de uso para solucionar problemas de rendimiento y funcionamiento. Viene con un montón de herramientas que te ayudan a realizar análisis y monitorización del sistema operativo.

En este tutorial, aprenderemos a instalar y utilizar osquery en Debian 10.

Requisitos previos

Un servidor con Debian 10.
Una contraseña de root configurada en tu servidor.

Cómo empezar

Antes de empezar, es una buena idea actualizar los paquetes de tu sistema a la última versión. Puedes actualizar todos los paquetes con el siguiente comando:

apt-get update -y
apt-get upgrade -y

Una vez actualizados todos los paquetes, reinicia tu sistema para aplicar los cambios.

Instalar osquery

Por defecto, osquery no está disponible en el repositorio por defecto de Debian 10. Así que tendrás que añadir el repositorio de osquery en tu sistema.

Primero, descarga y añade la clave GPG con el siguiente comando:

apt-key adv --keyserver keyserver.ubuntu.com --recv-keys 1484120AC4E9F8A1A577AEEE97A80C63C9D8B80B

A continuación, añade el repositorio de osquery con el siguiente comando:

apt-get install software-properties-common -y
add-apt-repository 'deb [arch=amd64] https://pkg.osquery.io/deb deb main'

A continuación, actualiza el repositorio e instala osquery con el siguiente comando:

apt-get update -y
apt-get install osquery -y

Una vez finalizada la instalación, inicia el servicio osquery con el siguiente comando:

osqueryctl start osqueryd

También puedes verificar el estado de osquery con el siguiente comando:

osqueryctl status osqueryd

Deberías ver la siguiente salida:

? osqueryd.service - The osquery Daemon
   Loaded: loaded (/lib/systemd/system/osqueryd.service; disabled; vendor preset: enabled)
   Active: active (running) since Sun 2020-04-19 15:21:57 UTC; 6s ago
  Process: 25333 ExecStartPre=/bin/sh -c if [ ! -f $CONFIG_FILE ]; then echo {} > $CONFIG_FILE; fi (code=exited, status=0/SUCCESS)
  Process: 25334 ExecStartPre=/bin/sh -c if [ ! -f $FLAG_FILE ]; then touch $FLAG_FILE; fi (code=exited, status=0/SUCCESS)
  Process: 25336 ExecStartPre=/bin/sh -c if [ -f $LOCAL_PIDFILE ]; then mv $LOCAL_PIDFILE $PIDFILE; fi (code=exited, status=0/SUCCESS)
 Main PID: 25337 (osqueryd)
    Tasks: 13 (limit: 4701)
   Memory: 6.4M
   CGroup: /system.slice/osqueryd.service
           ??25337 /usr/bin/osqueryd --flagfile /etc/osquery/osquery.flags --config_path /etc/osquery/osquery.conf
           ??25339 /usr/bin/osqueryd

Apr 19 15:21:57 debian10 systemd[1]: Starting The osquery Daemon...
Apr 19 15:21:57 debian10 systemd[1]: Started The osquery Daemon.
Apr 19 15:21:57 debian10 osqueryd[25337]: osqueryd started [version=4.2.0]
Apr 19 15:21:57 debian10 osqueryd[25337]: I0419 15:21:57.261158 25339 events.cpp:863] Event publisher not enabled: auditeventpublisher: Publish
Apr 19 15:21:57 debian10 osqueryd[25337]: I0419 15:21:57.261485 25339 events.cpp:863] Event publisher not enabled: syslog: Publisher disabled v

Trabajar con osquery

osquery viene con tres componentes útiles: osqueryi, osqueryd y osqueryctl. El osqueryi es un shell interactivo de osquery y no se comunica con un demonio. Puedes utilizar el intérprete de comandos para ejecutar consultas y explorar el estado actual de tu sistema operativo. osqueryd es el demonio de monitorización del host que puede utilizarse para programar consultas y registrar los cambios de estado del SO. osqueryctl es un script de ayuda para probar la configuración.

Puedes ejecutar el siguiente comando para conectarte al shell de osquery:

osqueryi

Deberías obtener la siguiente salida:

Using a virtual database. Need help, type '.help'

A continuación, ejecuta el comando .help para ver todas las opciones disponibles con osquery:

osquery> .help

Deberías obtener la siguiente salida:

Welcome to the osquery shell. Please explore your OS!
You are connected to a transient 'in-memory' virtual database.

.all [TABLE]     Select all from a table
.bail ON|OFF     Stop after hitting an error
.echo ON|OFF     Turn command echo on or off
.exit            Exit this program
.features        List osquery's features and their statuses
.headers ON|OFF  Turn display of headers on or off
.help            Show this message
.mode MODE       Set output mode where MODE is one of:
                   csv      Comma-separated values
                   column   Left-aligned columns see .width
                   line     One value per line
                   list     Values delimited by .separator string
                   pretty   Pretty printed SQL results (default)
.nullvalue STR   Use STRING in place of NULL values
.print STR...    Print literal STRING
.quit            Exit this program
.schema [TABLE]  Show the CREATE statements
.separator STR   Change separator used by output mode
.socket          Show the osquery extensions socket path
.show            Show the current values for various settings
.summary         Alias for the show meta command
.tables [TABLE]  List names of tables
.types [SQL]     Show result of getQueryColumns for the given query
.width [NUM1]+   Set column widths for "column" mode
.timer ON|OFF      Turn the CPU timer measurement on or off
osquery>

Hay muchas tablas disponibles para la consulta. Puedes listar todas las tablas con el siguiente comando:

osquery> .table

Deberías obtener la siguiente salida:

  => acpi_tables
  => apparmor_profiles
  => apt_sources
  => arp_cache
  => atom_packages
  => augeas
  => authorized_keys
  => block_devices
  => carbon_black_info
  => carves
  => chrome_extensions
  => cpu_time
  => cpuid
  => crontab
  => curl
  => curl_certificate
  => deb_packages
  => device_file
  => device_hash
  => device_partitions
  => disk_encryption
  => dns_resolvers
  => docker_container_labels
  => docker_container_mounts

Puedes encontrar las distintas informaciones del sistema utilizando la tabla anterior con osquery.

Monitorizar el sistema con osquery

Puedes monitorizar el uso de la memoria, la información de los procesos, el espacio en disco, los usuarios que inician sesión y muchas cosas más con osquery.

En primer lugar, lanza el shell osquery con el siguiente comando:

osqueryi

A continuación, puedes obtener la información del nombre de tu sistema, el núcleo de la cpu y la memoria física con el siguiente comando:

osquery> select hostname,cpu_physical_cores,physical_memory from system_info;

Deberías obtener la siguiente salida:

+------------+--------------------+-----------------+
| hostname   | cpu_physical_cores | physical_memory |
+------------+--------------------+-----------------+
| debian10   | 1                  | 1032937472      |
+------------+--------------------+-----------------+

Para obtener la información sobre el archivo ssh_config ejecuta la siguiente consulta:

osquery> select * from ssh_configs;

Deberías obtener la siguiente salida:

W0419 15:47:17.043509 25397 virtual_table.cpp:959] The ssh_configs table returns data based on the current user by default, consider JOINing against the users table
W0419 15:47:17.043740 25397 virtual_table.cpp:974] Please see the table documentation: https://osquery.io/schema/#ssh_configs
+-----+--------+--------------------------+---------------------+
| uid | block  | option                   | ssh_config_file     |
+-----+--------+--------------------------+---------------------+
| 0   | host * | sendenv lang lc_*        | /etc/ssh/ssh_config |
| 0   | host * | hashknownhosts yes       | /etc/ssh/ssh_config |
| 0   | host * | gssapiauthentication yes | /etc/ssh/ssh_config |
+-----+--------+--------------------------+---------------------+
osquery>

Para obtener una lista de todos los usuarios de tu sistema, ejecuta la siguiente consulta:

osquery> SELECT * FROM users;