osquery

收录理由

osquery 把一台运行中的机器内部状态映射成关系型数据表，直接用 SQL 就能查进程、网络连接、内核模块和文件哈希，省去了手写 shell 脚本的麻烦。对安全团队和运维团队来说，这种统一的可视化能力在跨多台系统时尤其宝贵，而且同一套表结构在 Linux、macOS、Windows 上都能用。项目自带交互式 shell 和后台守护进程，还有插件接口可以自定义新表，不只能用于临时排查，更能支撑起资产清点、合规审计或入侵检测等持续任务。只要会 SQL，几分钟就能开始拉取真实遥测数据；面对上千台规模的集群，也支持定时查询和批量分发。管理大批量设备时，想要一种可审计的单一方式来确认系统里到底跑着什么，它提供了相当成熟的底座。