osquery 查询系统信息

HeathXian

已于 2024-02-27 17:35:29 修改

阅读量1.1k

点赞数

分类专栏： security 文章标签： jvm

于 2021-06-26 09:49:44 首次发布

本文链接：https://blog.csdn.net/MEIYOUDAO_JIUSHIDAO/article/details/118241419

版权

osquery是一款能够使用SQL查询系统信息的工具，其核心是Query Engine，使用SQLite解析SQL但不依赖其存储数据。数据主要通过虚拟表（Virtual Tables）获取，RocksDB用于存储部分数据。osquery的Event System支持实时监控，Scheduler处理定时任务以避免浪涌，Diff Engine用于输出查询结果的差异。此外，还涉及配置、日志、分布式查询插件等功能，确保在多种环境中高效稳定运行。

摘要由CSDN通过智能技术生成

说明

本文是一篇翻译稿，原文是：Osquery: Under the Hood

在4年的时间里，有243个贡献者一共提交了4573个commit，为osquery的发展作出了贡献。osquery是一个复杂的项目，必须要兼备性能和稳定性，要要争能在数百万台的机器上面运行。本篇文章就是对osquery的整体架构进行一个简要的介绍。

本篇文章适用于那些对osquery的架构感兴趣，想为osquery发现贡献pr或者是想从成功的开源项目架构中学习的任何人。对于那些刚接触osquery来说，通过在macOS上面使用osquery也是一个很好的开始

架构说明

osquery的整体架构如下图所示：

Query Engine

由于osquery良好的设计使得普通用户也能够使用SQL语句查询得到系统信息。osquery并没有完全使用sqlite，只是SQL的执行引擎是sqlite。osquery使用SQLite来解析、优化、执行SQL语句，使得osquery更加关注于解析系统信息。osquery底层并没有完全使用sqlite，仅仅只是查询引擎使用的是osquery

虽然osquery使用SQLite作为查询引擎，但是并没有使用SQLite来存储数据。大部分的数据都是在查询时通过一个虚拟表得到的。osquery通过嵌入的RocksDB来存储数据。

查询示例如下：