Linuxでosqueryを使用してファイル整合性監視（FIM）を設定する方法

osqueryのデフォルト設定は「osquery.conf」で、通常は「/ etc/osquery」ディレクトリにあります。 osquery構成のサンプル'/usr/share/osquery/osquery.conf'とosqueryパック構成のサンプルがあります。

このステップでは、osquery構成コンポーネントについて学習し、カスタムosquery構成を作成してから、osquerydをサービスとしてデプロイします。

JSONファイルとしてフォーマットされたosquery構成には、以下に説明するosquery構成仕様が含まれています。

• オプション：osqueryd CLIコマンドの一部であり、アプリの起動と初期化を決定します。
• スケジュール：スケジュールされたクエリ名からクエリの詳細へのフローを定義します。
• デコレータ：結果とスナップショットログに「デコレーション」を追加するために使用されます。
• パック：スケジュールクエリのグループ。
• 詳細：ファイルパス、YARA、Prometheus、Views、EC2、Chef構成。

'/ etc / osquery'ディレクトリに移動し、新しいカスタム構成'osquery.conf'を作成します。

cd /etc/osquery/
vim osquery.conf

次の構成をそこに貼り付けます。

{
    "options": {
        "config_plugin": "filesystem",
        "logger_plugin": "filesystem",
        "logger_path": "/var/log/osquery",
        "disable_logging": "false",
        "log_result_events": "true",
        "schedule_splay_percent": "10",
        "pidfile": "/var/osquery/osquery.pidfile",
        "events_expiry": "3600",
        "database_path": "/var/osquery/osquery.db",
        "verbose": "false",
        "worker_threads": "2",
        "enable_monitor": "true",
        "disable_events": "false",
        "disable_audit": "false",
        "audit_allow_config": "true",
        "host_identifier": "hakase-labs",
        "enable_syslog": "true",
        "syslog_pipe_path": "/var/osquery/syslog_pipe",
        "force": "true",
        "audit_allow_sockets": "true",
        "schedule_default_interval": "3600"
    },


    "schedule": {
        "crontab": {
            "query": "SELECT * FROM crontab;",
            "interval": 300
        },
        "system_info": {
            "query": "SELECT hostname, cpu_brand, physical_memory FROM system_info;",
            "interval": 3600
        },
        "ssh_login": {
            "query": "SELECT username, time, host FROM last WHERE type=7",
            "interval": 360
        }
    },

    "decorators": {
        "load": [
            "SELECT uuid AS host_uuid FROM system_info;",
            "SELECT user AS username FROM logged_in_users ORDER BY time DESC LIMIT 1;"
        ]
    },

    "packs": {
        "osquery-monitoring": "/usr/share/osquery/packs/osquery-monitoring.conf"
    }
}

保存して終了します。

注：

• 「ファイルシステム」を構成およびロガープラグインとして使用しています。
• 「/var/ log/osquery」ディレクトリへのロガーパスを定義します。
• 「/var/ syslog/syslog_pipe」ファイルへのsyslogpipを有効にします。
• スケジューラでは、crontab、システム情報、およびsshログインをチェックするための3つのクエリを定義します。
• 「osquery-monitoring」という名前のosqueryパックを有効にし、「/ usr / share / osquery/packs」ディレクトリにあるファイルをパックします。

次に、osquerydデーモンサービスを開始し、システムの起動時に毎回起動できるようにします。

systemctl start osqueryd
systemctl enable osqueryd

そして、rsyslogサービスを再起動します。

systemctl restart rsyslog

基本構成osqueryが完了しました。

ステップ4-osqueryを使用してファイル整合性監視（FIM）を構成する

Osqueryは、inotifyとFSEventsを使用して、LinuxとMacOSDarwinでファイル整合性監視を提供します。単純に、「file_path」を使用して定義されたディレクトリ上のファイルの変更を監視および検出し、すべてのアクティビティをfile_eventsテーブルに保存します。

このステップでは、ホーム、sshディレクトリなどの重要なディレクトリ、tmp、およびカスタムFIMパックを使用したwwwWebルートディレクトリを監視するようにosqueryを構成します。

'/ usr / share / osquery / packs'ディレクトリに移動し、新しいパック構成ファイル'fim.conf'を作成します。

cd /usr/share/osquery/packs
vim fim.conf

以下に構成を貼り付けます。

{
  "queries": {
    "file_events": {
      "query": "SELECT * FROM file_events;",
      "removed": false,
      "interval": 300
    }
  },
  "file_paths": {
    "homes": [
      "/root/.ssh/%%",
      "/home/%/.ssh/%%"
    ],
      "etc": [
      "/etc/%%"
    ],
      "home": [
      "/home/%%"
    ],
      "tmp": [
      "/tmp/%%"
    ],
      "www": [
      "/var/www/%%"
      ]
  }
}

保存して終了します。

ここで、「/ etc / osquery」構成ディレクトリに戻り、osquery.confファイルを編集します。

cd /etc/osquery/
vim osquery.conf

'packs'セクション内にFileIntegrityMonitoringパック構成を追加します。

    "packs": {
        "osquery-monitoring": "/usr/share/osquery/packs/osquery-monitoring.conf",
        "fim": "/usr/share/osquery/packs/fim.conf"
    }

保存して終了し、osquerydサービスを再起動します。

systemctl restart osqueryd

注：

JSONリンター「http://jsonlint.com/」を使用してJSON構成ファイルをチェックし続け、エラーがないことを確認します。

cd /var/www/
touch howtoforge.md

cd /home/vagrant/
touch hakase-labs.md

osqueryi --config-path /etc/osquery/osquery.conf

select * from file_events;

select target_path, category, action, atime, ctime, mtime from file_events WHERE category="home";

select target_path, category, action, atime, ctime, mtime from file_events WHERE category="www";

cd /var/log/osquery/
ls -lah osqueryd.results.log

grep -rin howtoforge.md osqueryd.results.log
grep -rin hakase-labs.md osqueryd.results.log