如何从一台主机osquery代理收集数据到中央服务器？

Question

//主机配置” {

“选项”：{ "distributed_plugin": "tls", “分布式间隔”：“3600”， "enroll_tls_endpoint": "https://10.182.2.142/enroll", “tls_server_certs”：“/opt/osquery/share/osquery/certs/certs.pem” "tls_hostname": "SERVER_IP", "config_plugin": "文件系统", "logger_plugin": "文件系统", } }

//服务器机器配置

{

“选项”：{ "distributed_server": "真", "distributed_plugin": "tls", “分布式间隔”：“3600”， “tls_server_certs”：“/opt/osquery/share/osquery/certs/certs.pem” } }

我的配置文件设置是否正确？

我的服务器计算机上没有收到任何结果日志。 错误： W1011 15：57：15.580679 1397964 init.cpp：760]读取配置时出错：解析配置JSON时出错 I1011 15：57：15.580854 1397964 eventfactory.cpp：156]未启用事件发布者：BPFEventPublisher：通过配置禁用发布者 I1011 15：57：15.581048 1397964 eventfactory.cpp：156]未启用事件发布者：auditeventpublisher：通过配置禁用发布者 I1011 15：57：15.581076 1397964 eventfactory.cpp：156]未启用事件发布者：inotify：通过配置禁用发布者 I1011 15：57：15.581100 1397964 eventfactory.cpp：156]事件发布者未启用：系统日志：发布者通过配置禁用

我尝试将查询从主机发送到服务器。 并且想要获取主机的所有实时过程数据

Answer 1

您使用什么软件作为服务器？

Osquery 本身并不是一个中央服务器。您需要查看中央服务器软件的文档，以了解如何使用它配置 osquery。

有关 osquery 需要什么样的 API 的一些文档可以在 https://osquery.readthedocs.io/en/latest/deployment/remote/

找到