osquery

#Tổng quan

osquery giúp đội SOC truy vấn trạng thái endpoint bằng SQL, phục vụ săn mối đe dọa và giám sát tuân thủ trên Linux, macOS, Windows.

#Cài đặt nhanh

# Ubuntu/Debian
sudo apt install osquery
osqueryi

#Kịch bản sử dụng thực chiến

SELECT pid, name, path FROM processes WHERE on_disk = 0;
SELECT * FROM listening_ports WHERE port NOT IN (22, 443);

Kết hợp Fleet hoặc Kolide để quản lý tập trung hàng nghìn agent.

#Checklist triển khai

• Ghim phiên bản (tag/commit) và kiểm tra checksum bản phát hành
• Chạy thử trong môi trường lab trước khi đưa vào sản xuất
• Lưu kết quả dạng có cấu trúc (JSON/SARIF/CSV) để đẩy về SIEM hoặc pipeline