La magia detrás de osquery está en su enfoque basado en SQL. Piensa en SQL como el traductor universal entre tú y tu sistema. Y con osquery, tus sistemas te responden.

Arquitectura básica:

• Agente: Se instala en cada endpoint para recopilar datos.

• Daemon (osqueryd): Ejecuta consultas programadas para monitorear eventos de forma continua.

• Modo interactivo (osqueryi): Te permite ejecutar consultas ad hoc en tiempo real.

• Conjuntos de consultas: Conjuntos predefinidos de consultas diseñados para tareas específicas como el cumplimiento normativo o la detección de amenazas.

Ejemplo de consultas tipo SQL:

• ¿Quieres encontrar usuarios no autorizados?

```sql

SELECT username FROM users WHERE uid > 1000;

```

• ¿Revisar binarios sin firmar?

```sql

SELECT FROM kernelmodules WHERE signed = 0;

```

Los resultados pueden revelar desde errores de configuración hasta actividad potencialmente maliciosa. Nada mal para un poco de sintaxis SQL, ¿no?

¿Qué puede monitorear?

Estas son solo algunas de las cosas que osquery vigila:

• Procesos en ejecución

• Cuentas de usuario

• Software instalado

• Conexiones de red

• Monitoreo de la integridad de archivos en directorios sensibles

Ya sea que estés investigando una brecha de seguridad o simplemente haciendo una revisión de rutina de tu sistema, osquery te da claridad.