Neues Tool für System-Monitoring in SQL von Facebook

30.10.2014

Facebook hat ein neues Tool unter einer Open-Source-Lizenz veröffentlicht, das es erlaubt, den Zustand eines Rechners per SQL abzufragen.

Unter dem Name "osquery" hat Facebook ein Programm unter einer freien Lizenz verfügbar gemacht, mit dem sich der Systemzustand eines Rechners per SQL abfragen lässt. Damit kann ein Rechner beispielsweise einfach in ein Monitoring-System integriert werden. Alternativ erlaubt eine SQL-Konsole interaktive Abfragen wie diese:

SELECT name, path, pid FROM processes WHERE on_disk = 0;

Damit zeigt "osquery" an, welche Prozesse laufen, von denen es kein Pendant mehr auf der Festplatte gibt - ein typisches Muster für Malware. Auch komplexe Abfragen wie SQL-Joins sind möglich, die beispielsweise Daten aus der Prozesstabelle und der Tabelle offener Ports kombinieren:

SELECT DISTINCT process.name, listening.port, listening.address, process.pid FROM processes AS process JOIN listening_ports AS listening ON process.pid = listening.pid;

Laut Facebook läuft das Tool auf Ubuntu, CentOS und OS X. Der Quellcode ist im Github-Repository von "osquery" zu finden, Dokumentation gibt es auf der osquery-Homepage.

Ähnliche Artikel

comments powered by Disqus

Artikel der Woche

Eigene Registry für Docker-Images

Wer selber Docker-Images herstellt, braucht auch eine eigene Registry. Diese gibt es ebenfalls als Docker-Image, aber nur mit eingeschränkter Funktionalität. Mit einem Auth-Server wird daraus ein brauchbares Repository für Images. (mehr)
Einmal pro Woche aktuelle News, kostenlose Artikel und nützliche ADMIN-Tipps.
Ich habe die Datenschutzerklärung gelesen und bin einverstanden.

Konfigurationsmanagement

Ich konfiguriere meine Server

  • von Hand
  • mit eigenen Skripts
  • mit Puppet
  • mit Ansible
  • mit Saltstack
  • mit Chef
  • mit CFengine
  • mit dem Nix-System
  • mit Containern
  • mit anderer Konfigurationsmanagement-Software

Google+

Ausgabe /2019