Osquery, SQL benzeri sözdizimini kullanarak sistemlerinizi izlemenizi ve sorgulamanızı sağlayan açık kaynaklı bir uç nokta güvenlik platformudur. Facebook tarafından geliştirilmiştir ve dünya çapındaki şirketler ve kuruluşlar tarafından ağlarını ve sistemlerini güvenli hale getirmek için kullanılmaktadır.

Osquery'nin en önemli özelliklerinden biri, sistemlerinizin gerçek zamanlı izlenmesini ve analizini gerçekleştirme yeteneğidir. Tüm altyapınızın birleşik bir görünümünü sağlar ve güvenlik tehditlerini ve anormalliklerini hızlı bir şekilde belirlemenize ve bunlara yanıt vermenize olanak tanır.

Osquery, sistemlerinizin aşağıdakiler dahil çeşitli yönlerini izlemek için kullanılabilir:

• Dosya bütünlüğü: Osquery, önemli sistem dosyalarındaki değişiklikleri algılayarak olası kurcalama veya kötü amaçlı yazılım bulaşmalarına karşı sizi uyarır.
• Ağ etkinliği: Osquery, gelen ve giden ağ bağlantılarını izleyerek olası saldırıları veya yetkisiz erişimi tespit etmenize ve bunlara yanıt vermenize olanak tanır.
• İşlem etkinliği: Osquery, sistemlerinizde çalışan işlemleri izleyerek sizi herhangi bir şüpheli veya kötü amaçlı etkinlik konusunda uyarır.
• Sistem yapılandırması: Osquery, sistem yapılandırmalarını toplayabilir ve raporlayabilir, bu da sistemlerinizin güvenli ve tutarlı bir şekilde yapılandırıldığından emin olmanıza yardımcı olur.

Kurulum:

Osquery, Windows, Linux ve Mac gibi çeşitli işletim sistemlerini keşfetmek için kullanılabilir. Lütfen buradan istediğiniz sürümü indirin , benim durumumda Windows için indirdim ve kurdum.

Kurulumdan sonra, Powershell'i yönetici olarak başlatın > Osquery indirme yoluna gidin > .\osqueryi.exe ile osquery'yi başlatın

Yeni başladığımıza göre, .help yazıp Osquery'nin hangi işlevlere sahip olduğunu kontrol edelim:

Windows'ta tabloları keşfetme:

Bize işletim sistemi işlevlerinin listesini sağlayacak .tables yazarak tabloyu inceleyelim ve ardından etkilenen makineden olası verileri almak için bazılarını sorgulayacağız.

Yukarıda görüldüğü gibi osquery işletim sistemindeki tabloların listesini sorgulamıştır. Daha fazla sorgulamak için bazı ilginç tablolardan bazı karmaşık ayrıntıları alalım:

Aktif Kullanıcıların Listesi:

Komut , kullanıcılardan * seçin; makinede bulunan tüm kullanıcıların numaralandırılmasına izin verecektir. Ayrıca, kullanıcı hakları için olası UID ve GID'leri araştırabilir ve yönetici haklarına sahip kullanıcıları kontrol edebiliriz.

Select Count(*) from users komutu bize bu makinede oluşturulan kullanıcı hesaplarının istatistik sayısını verecektir.

UID'leri getirmek için kullanıcılardan UID seç komutunu kullanırız;

Süreçlerin Listesi:

Sistemde çalışan tüm işlemleri listelemek için, işlemlerden * seç komutunu kullanırız;

Makinemde çok sayıda işlem çalıştığı için sonuçları ilk 5 işlemi gösterecek şekilde sınırlamak için 5 sınırını kullandığımı lütfen unutmayın.

Kötü oyuncuyu bulmak için sonuçları buna göre filtreleyebiliriz.

Kullanıcı adlarını ve bunlar tarafından çalıştırılan ilgili işlemi almak için bir sorgu oluşturalım:

Lütfen, bu tür sorguları çalıştırmak istiyorsanız, SQL'in Temellerini bilmeniz gerektiğini unutmayın.

Aktif süreçlerin ağ bağlantıları:

Şüpheli ağ soketlerini kontrol edebilir ve yerelden uzak IP adreslerine kurulan bağlantıları arayabiliriz. Önce Windows işlem tablolarını inceleyelim:

Şimdi process_open_sockets tablosunu sorgulayalım ve kontrol edelim :

Kurulan tüm bağlantıları görmek için sonuçları filtreleyelim.

Artık Tehdit İstihbarat Araçları ile harici IP adreslerini kontrol ederek, giden bağlantıların yapıldığı herhangi bir kötü niyetli IP adresi olup olmadığını kontrol edebiliyoruz.

Dosya İzleme:

Sistemde bulunan şüpheli dosyaları izlemek için aşağıdaki komutu kullanabiliriz:

Sorgu oluşturmaya gelince lütfen aşağıdaki joker karakter kurallarına dikkat edin:

Eşleşen joker karakter kuralları

• %: Tüm dosya ve klasörleri bir düzey için eşleştirin.
• %%: Tüm dosya ve klasörleri yinelemeli olarak eşleştirin.
• %abc: "abc" ile biten tüm seviye içi eşleşmeleri eşleştirin.
• abc%: "abc" ile başlayan tüm seviye içi eşleşmeleri eşleştirin.

Şüpheli kayıt defteri anahtarı değer değişikliklerini kontrol edebilir ve ilginç eserler bulabiliriz. Bir sorgu hazırlamak, olay yanıt sürenizi kısaltacak ve kötü amaçlı yazılımın kayıt defterindeki kalıcılığını öğreneceksiniz.

Yukarıda kullanılan sorgu Veri seç, kayıt defterinden yol burada key = 'HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\User Shell Folders';

Önyükleme Sırasında Kötü Amaçlı Yazılım Başlatma

Önyükleme sırasında başlayan Windows işlemlerini kötü amaçlı yazılım kalıcılık davranışları olarak kontrol edebiliriz. Bu tür kötü amaçlı etkinlikleri tespit ederek, makineyi ağdan izole etmek ve asıl neden için olası bir adli tıp analizi yapmak gibi daha ileri adımlar atabiliriz.

Yukarıda kullanılan OSquery deyimi, start_type='DEMAND_START' limit 2;

Genel olarak Osquery, sistemlerinin güvenliğinden sorumlu olan herkes için değerli bir araçtır. Gerçek zamanlı izleme ve güçlü sorgulama yetenekleri, onu güvenlik tehditlerini ve anormalliklerini tespit etmek ve bunlara yanıt vermek için çok yönlü ve etkili bir platform haline getirir.

Referanslar:

https://osquery.io/schema/5.6.0