最后防线：osquery功能与实现_osquery 原理-CSDN博客

本文链接：https://blog.csdn.net/xuzhina/article/details/114503195

开源HIDS osquery的主机监控功能和实现原理。
osquery代码链接：osquery
osquery表结构：表结构
本文是在安装它之后，从osqueryi中的表再调研代码来获取它的实现

设备基线

对系统使用的设备建立基线，从而发现故障的设备，用于IDC机房。
不足之处：这些功能用于传统机房。对于云时代并不适用

功能	实现原理
acpi设备	读取`/sys/firmware/acpi/tables`目录
块设备	通过调用`udev`库API读取
设备信息（设备文件，指纹，分区）	通过sleuthkit第三方库读取
硬件事件	通过读取`udev`事件
intel mei信息	通过读取`/dev/mei0`
RAID信息(设备，特性，驱动)	读取`/proc/mdstat`
固件信息(内存阵列和地址映射，内存设备和地址映射，故障信息，`OEM`特征，`SMBIOS`)，设备平台信息	读取`/sys/firmware/dmi/tables/DMI`，`/sys/firmware/efi/systab`
PCI设备	读取`/usr/share/misc/pci.ids`， `/usr/share/hwdata/pci.ids`，`/usr/share/pci.ids`
智能卡信息	通过`smartmontools`库获取
USB信息	通过`udev`库读取
IO设备的内存映射	读取/proc/iomem

系统基线

建立系统基线，获取系统基本信息，如CPU，内存，磁盘，分区，内核版本，加载的模块，系统运行时长，内存控制参数，系统限制，属于哪个发行版
不足之处：

获取cpu寄存器列表和MSR没多少意义。除非环境需要用到一些高能计算

共享内存信息意义不大

内核信息获取不够，还需要读取/boot，

内核模块获取不够，还需要读取/lib/modules的内容，确保哪些是系统加载，哪些是手动加载

自启动项，不应该读取/etc/init.d，而是读取/etc/rc.d/, 或者支持systemd

加载分区，还得读取一下/etc/fstab，确保哪些分区是系统默认加载，哪些是其它操作加载的

功能	实现原理
cpu运行状态	读取`/proc/stat`
cpu寄存器列表	通过内联汇编读取cpu信息
cpu msr信息	读取`/dev/cpu/<id>/msr`
内存信息	读取`/proc/meminfo`
共享内存信息	通过`shmctl`等API获取
磁盘加密	使用`cryptsetupy`库来获取磁盘加密情况
加载的分区	读取`/proc/mounts`
内核信息	通过读取`/proc/cmdline`, `/proc/version`
内核模块	通过读取`/proc/modules`
系统时间	获取当前时间
系统启动时长	调用`sysinfo`
系统信息(cpu个数，机器名，配置)	读取`/proc/cpuinfo`, `/etc/hostname`和调用`sysconf`等API
系统控制配置	读取`/etc/sysctl.conf`, `/run/sysctl.d`, `/etc/sysctl.d`,`/usr/local/lib/sysctl.d`, `/usr/lib/sysctl.d`, `/lib/sysctl.d`
系统限制	调用`getrlimit`获取
发行版及版本	读取`/etc/os-release`, `/etc/redhat-release`, `/etc/gentoo-release`
自启动项	读取`/etc/xdg/autostart/`, `/etc/init.d/`
系统负载	通过调用`getloadavage`的接口来获取