Я хочу подключить свое веб-приложение, чтобы показать отчеты из базы данных osquery SQLITE

Question

Большое спасибо за такой удивительный инструмент.

Я запускаю osquery, установленный на машине с Windows, используя установщик с https://osquery.io/.

Я хочу подключить свое веб-приложение, чтобы показать отчеты из базы данных osquery SQLITE.

Я не вижу ни одного файла базы данных SQLITE, не могли бы вы помочь или предложить, как я могу подключиться.

Примечание: я установил с помощью osquery-3.2.6.msi

Answer 1

Подключение к базе данных osquery локально не поддерживается, так как в этой базе данных ничего не хранится (в частности, C:\ProgramData\osquery\osquery.db), кроме разностной информации для дифференциальных запланированных запросов. Если вы хотите использовать выходные данные запланированных запросов osquery, вам нужно проверить, куда бы вы ни настроили выходные данные регистратора, по умолчанию это C:\ProgramData\osquery\log, Можете ли вы быть более конкретным о том, какую конфигурацию вы используете?

Весьма распространено, что развертывание osquery обычно имеет где-то централизованную SIEM (что-то вроде Splunk или стека ELK), в которую osquery будет отправлять информацию о результатах, из которой вы можете построить графики, которые звучат так, как вам нужно. Я также призываю вас прыгнуть в затишье, где вы можете получить более быстрые ответы. Надеюсь, это поможет:)

---