1

我正在使用osquery来监视文件和文件夹，以获取有关这些文件的任何操作的事件。osquery 配置有一个特定的语法：

  • "/etc/"：以 1 的深度监视整个目录。
  • "/etc/%"：以 1 的深度监视整个目录。
  • "/etc/%%"：以根为根递归地观察整个树/etc/。

在观看大量目录的情况下，我正在尝试评估内存使用情况。在这个过程中，我发现了以下统计数据：

  • "/etc", "/etc/%", "/etc/%.conf": 只找到 1 个 inotify 句柄注册在 osquery 名下。

  • "/etc/%%: 发现比289inotify句柄多几个注册在osquery的名字下，因为树下总共有285个目录。检查 中的条目时/proc/$PID/fdinfo，文件中列出的所有 inode 都指向文件夹。

例如：对于"/etc/%.conf"

$ grep -r "^inotify" /proc/$PID/fdinfo/
18:inotify wd:1 ino:120001 sdev:800001 mask:3ce ignored_mask:0 fhandle-bytes:8 fhandle-type:1 f_handle:01001200bc0f1cab

$ printf "%d\n" 0x120001
1179649

$ sudo debugfs -R "ncheck 1179649" /dev/sda1
debugfs 1.43.4 (31-Jan-2017)
Inode   Pathname
1179649 //etc

inotify 监视在这里建立在整个目录上，但仅针对匹配的文件报告事件/etc/*.conf。osquery 是否根据file_paths提供的事件过滤事件，这是我假设的，但不确定。

我为支持上述主张而进行的另一个实验是，使用inotify(7)中的源代码并在特定文件上运行观察程序。当我检查 inotify 观察者列表时，它只显示：

$ ./a.out /tmp/inotify.cc &

$ cat /proc/$PID/fdinfo/3
...
inotify wd:1 ino:1a1 sdev:800001 mask:38 ignored_mask:0 fhandle-bytes:8 fhandle-type:1 f_handle:a1010000aae325d7

$ sudo debugfs -R "ncheck 417" /dev/sda1
debugfs 1.43.4 (31-Jan-2017)
Inode   Pathname
417 /tmp/inotify.cc

因此，根据这个实验，在单个文件上建立一个观察者是可能的（这在 inotify 手册页中很清楚）。这支持了 osquery 正在根据提供的文件模式进行某种过滤的说法。

有人可以核实索赔或以其他方式提出吗？

我的 osquery 配置：

{
  "options": {
    "host_identifier": "hostname",
    "schedule_splay_percent": 10
  },
  "schedule": {
    "file_events": {
      "query": "SELECT * FROM file_events;",
      "interval": 5
    }
  },

  "file_paths": {
    "sys": ["/etc/%.conf"]
  }
}


$ osqueryd --version
osqueryd version 3.3.2

$ uname -a
Linux lab 4.9.0-6-amd64 #1 SMP Debian 4.9.88-1+deb9u1 (2018-05-07) x86_64 GNU/Linux
4

1 回答 1

1

这听起来像一些伟大的侦探！

我认为源代码中的注释支持这一点。值得略读。我认为相关文件：

于 2019-08-22T15:26:06.867 回答