update.osqueryosqueryというものを見つけた。facebookが出しているプロダクト。何ができるのか今のところSQLライクなクエリを発行し、マシンの状態を確認するデーモンによるSQLライクなクエリを定時発行し、ログに出力するの2点が主のようだ。どんな値が取れるのか以下のページを参考のこと。Xであればlauncthctlの状態などを見れるようだ。上で動作チェックをしてみようと思う。boxを用意hashcorpのものを使わせてもらう。boxをダウンロードしよう。box内にsshログイン。ssh日本語ロケールがないと、ロケール無いよとosquery起動時に怒られちゃうのでインストールしておこう。language-pack-jaUbuntu上でのosqueryインストールdebパッケージがオフィシャルで用意されているので、利用する。http://osquery.io/downloads/以下、osqueryのオフィシャルサイトにある手順でVagrant上のマシンに対してosqueryをインストール。osqueryosqueryを試しに利用する試しにosqueryを利用してみる。対象マシン内のユーザを検索したいとする。osqueryiosqueryiというインタラクティブ環境を立ち上げる。osqueryiすると、対話モードが開始される。クエリを打ち込んでみる。osqueryiを実行中にクエリを実行する。users;すると結果が返ってくる。|情報量が多いので、カラムを絞ってみよう。|+-------+-------+------------+-------------------+スッキリした結果を得られた。packetsの値を取得してみる。|+-------+--------+------+--------------+-------+-------------+--------------------------------------------------+--------------+cronのチェックにosquery使えそうだ。cronが読みやすい。osquerydosqueryを定期的に実行し、ログに吐き出させることもできる。osquery.confに、適当な間隔で(10秒)適当なクエリを実行してもらうようにしてみる。upgradeを実行する。/var/log/osquery/osquery.results.logにosquery.confで設定した内容が記録されていく。2015","unixTime":"1425134436","columns":{"ipackets":"29638","opackets":"12979"},"action":"removed"}変化があるときにのみ、記録されていっている。addがあるのが興味深い。時系列にログを流すだけじゃないんだな。formatと、バッチ形式のログのフォーマットがある。今のところfuserしてファイルを掴んでいるプロセスを調べるときとか、そういうのにさささっと実行できたり、crontabの状態を見るのに利用できそう。fluentdと組み合わせれば監視強化、には使えるんだろうか。Zabbixを利用するのが良いのではないだろうか、とは考えてしまうが。upLoginユーザーは見つかりませんでした。