Ders 1.16: osquery ile süreç ve bağlantı avı

osquery çalışan bir Linux sistemini SQL tablolarına dönüştürür: süreçler, açık soketler, dinlenen portlar, kullanıcılar, cron işleri, dosyalar ve daha fazlası. ps, ss ve grep'i zincirleyip gözle okumak yerine kesin sorular sorar ve yanıtları birleştirirsin; aynı sorular her sunucuda birkaç dakikada bir çalışabilir. Laboratuvarda iş ortağı portalı web07 yavaş. Beş sorguyla silinmiş bir dosyadan çalışan bir madenciyi, web sunucusunun başlattığı bir bağlama kabuğunu ve bağlantılarını buluyor, sonra soruları tüm filo için bir sorgu paketi olarak kaydediyorsun.

18 dk

Bu derste öğreneceklerin

Canlı sistem durumunu osqueryi ile sorgulamak
Süreçleri soketler ve dinlenen portlarla birleştirmek
Silinmiş dosyalardan çalışan süreçleri bulmak
Bir hizmet hesabının beklenmeyen çocuklarını görmek
Av sorgularını zamanlanmış bir pakete çevirmek

Temel terimler

osquery: İşletim sistemini SQL tabloları olarak sunan bir ajan; osqueryi etkileşimli kabuk, osqueryd arka plan programıdır.
JOIN … USING (pid): İki tablonun bir sütun değerini paylaşan satırlarını birleştirir.
on_disk: processes sütunu: 1 dosya var, 0 silinmiş, -1 bilinmiyor.
Sorgu paketi: osqueryd'nin zamanlamayla çalıştırdığı, aralıkları olan adlandırılmış sorgulardan oluşan JSON dosyası.
Fark sonuçları: osqueryd yalnızca son çalıştırmadan beri eklenen ya da kaldırılan satırları kaydeder.
Bağlama kabuğu: Bir portta dinleyen, saldırganın bağlanmasını bekleyen kabuk.

← Giriş kayıtları ve boşlukları · Tüm dersler · Zararlı yazılım türleri →