Sobre Consultas

Conceitos Básicos do OSquery

Coletar os dados certos requer fazer as perguntas certas. Para qualquer um começar, eles devem saber a localização dos dados para saber como solicitá-los. A única maneira de fazer as perguntas certas é entender como fazer, e volta a conhecer o esquema.

Entenda o esquema: https://osquery.io/schema/5.5.1/.

A partir de 7 de maio de 2024, há 274 tabelas no esquema. Você pode usar todas as tabelas, com exceção de:

• Tabelas com _events no nome.
• Tabelas que exigem suporte YARA.
• Tabelas curl e carves.

Melhores Práticas para Consultas

Siga estas melhores práticas:

• Lembre-se de que as consultas podem conter apenas uma instrução de consulta por solicitação.
• Formate a consulta para que seja fácil de ler e mantenha-a simples.
• Use as buscas Join e Sub criteriosamente.
• Defina as informações que você deseja coletar e defina o escopo da consulta para essas informações.

  Por exemplo, se estiver interessado em executar processos que possam consumir muitos recursos na instância, você poderá escrever

  SELECT * from processes

  mas isso geraria um grande volume de dados, possivelmente a maior parte desnecessária.

  Uma prática melhor seria selecionar apenas as colunas necessárias e definir uma ordem e limitar.

  Veja um exemplo que oferece uma tabela bem formatada para os 10 principais processos por consumo de memória.

  SELECT pid, name, ROUND((total_size * '10e-7'), 2) AS memory_used FROM processes ORDER BY total_size DESC LIMIT 10;

Pacotes de Consulta

Os pacotes de consultas OSquery são conjuntos de consultas pré-criados ou personalizados organizados por tipo, como conformidade ou gerenciamento de vulnerabilidades. Você pode usar pacotes de consultas para ajudá-lo a entender como seu sistema responde a conjuntos de consultas e, se necessário, adaptar as consultas ao seu ambiente.

Saiba mais sobre pacotes de consulta em osquery.readthedocs.io, Pacotes de consulta.

Você pode encontrar pacotes de consulta úteis on-line, por exemplo, este em GitHub, https://github.com/osquery/osquery/tree/master/packs.

Exemplos de Consultas

Você pode começar executando algumas consultas locais básicas, como usuários SELECT * FROM ou SELECT * FROM processed LIMIT 10, para saber como as tabelas funcionam.

Além disso, reunimos uma lista de consultas sugeridas para ajudá-lo a começar a trabalhar.

1. Usuários (users): Procure todas as contas de usuário locais que existem em uma máquina.

   Linux (Ubuntu):

   SELECT * FROM users WHERE gid < 65534 AND uid >= 1000;

   Observação
   
   uid 1000 é onde os usuários geralmente começam no Linux

   Linux: Esta consulta localiza todos os usuários que têm shells de log-in reais (não bin/false ou bin/true, com permissões para eles que vivem em lugares diferentes, por exemplo, /usr/bin/false ou /bin/false.

   SELECT * FROM users WHERE shell NOT LIKE '%false' AND shell NOT LIKE '%true';
2. Processar Soquetes Abertos (process_open_sockets): Pesquisa processos que fazem conexões de rede, que não sejam conexões da Web.

   SELECT s.pid, p.name, local_address, remote_address, family, protocol, local_port, remote_port FROM process_open_sockets s JOIN processes p ON s.pid = p.pid WHERE remote_port NOT IN (80, 443) AND local_port NOT IN (0) AND family = 2;

3. Portas de Escuta (listening_ports): Procura portas abertas em um sistema.

   SELECT DISTINCT p.pid, p.name, l.port FROM listening_ports AS l JOIN processes as p ON l.pid = p.pid WHERE l.address = '0.0.0.0';

4. Usuários Conectados (logged_in_users): Mostra quem está conectado no momento a um sistema.

   SELECT liu.*, p.name, p.cmdline, p.cwd, p.root FROM logged_in_users liu, processes p WHERE liu.pid = p.pid;

5. Arquivo (file): Retorna informações sobre o arquivo especificado no disco. As consultas a seguir localizam todos os arquivos em todas as pastas Downloads do usuário em um nível de profundidade de pasta.

   Linux:

   SELECT file.path, users.username AS owner, groups.groupname AS groups, datetime(file.btime,'unixepoch') AS created, datetime(file.mtime,'unixepoch') AS last_mod, ROUND((file.size * 10e-7),4) AS size_mb FROM file JOIN users USING (uid) JOIN groups USING (gid) WHERE path LIKE '/home/%/Downloads/%%' ORDER BY last_mod DESC;

   Windows:

   SELECT file.path, users.username AS owner, datetime(file.btime,'unixepoch') AS created, datetime(file.mtime,'unixepoch') AS last_mod, ROUND((file.size * 10e-7),4) AS size_mb FROM file JOIN users USING (uid) WHERE path LIKE 'c:\Users\%\Downloads\%%' ORDER BY last_mod DESC;