Cara Memantau Keamanan Server Ubuntu dengan Osquery

Osquery adalah sebuah platform open-source yang memungkinkan pengguna untuk mengelola dan memantau sistem operasi menggunakan query berbasis SQL. Dengan Osquery, pengguna dapat mengakses informasi mendetail dari sistem operasi, seperti proses yang sedang berjalan, koneksi jaringan, log sistem, dan konfigurasi perangkat keras atau perangkat lunak, dengan cara yang mirip seperti menjalankan query SQL pada database.

Dalam posting ini, kami akan menunjukkan cara menginstal Osquery di Ubuntu 20.04.

Langkah 1 – Instal Osquery di Ubuntu 22.04

Secara default, paket Osquery tidak disertakan dalam reposito default Ubuntu, jadi Anda perlu menambahkan reposito Osquery ke sistem Anda. Anda dapat menambahkannya dengan perintah berikut:

sudo apt-key adv --keyserver keyserver.ubuntu.com --recv-keys 1484120AC4E9F8A1A577AEEE97A80C63C9D8B80B
sudo add-apt-repository 'deb [arch=amd64] https://pkg.osquery.io/deb deb main'
sudo apt-get update

Anda akan melihat out put sebagai berikut:

Jika anda sudah menambahkan reposito Osquery sistem di atas anda bisa melanjutkan untuk menginstal Osquery.

sudo apt-get install osquery

Anda akan melihat out put nya seperti gambar di bawah ini

Jalankan perintah berikut untuk memastikan Osquery terpasang dengan benar.

osqueryi --version

Buat file konfigurasi: File konfigurasi biasanya berada di /etc/osquery/osquery.conf. Contoh konfigurasi dasar:

nano /etc/osquery/osquery.conf

Silahkan anda tambahkan file sebagai berikut:

{
    "options": {
        "config_plugin": "filesystem",
        "logger_plugin": "filesystem",
        "logger_path": "/var/log/osquery",
        "disable_logging": false,
        "schedule_splay_percent": 10,
        "utc": true
    },
    "schedule": {
        "processes": {
            "query": "SELECT name, pid, path, cmdline FROM processes WHERE on_disk = 0;",
            "interval": 60
        },
        "listening_ports": {
            "query": "SELECT * FROM listening_ports;",
            "interval": 300
        }
    }
}

Setelah berhasil menambahkan file diatas, silahkan Anda save dengan menekan tombol Ctrl + x lalu tekan y.

Anda dapat memulai layanan Osquery menggunakan perintah berikut:

osqueryctl start

Untuk menghentikan layanan Osquery, jalankan perintah berikut:

osqueryctl stop

Langkah 2 – Jalankan Osquery

Anda dapat menjalankan Osquery dalam mode mandiri dengan perintah berikut:

osqueryi

Untuk mendapatkan daftar semua perintah, jalankan perintah berikut:

.help

Anda akan melihat out put nya sebagai berikut:

Langkah 3 – Cara Menggunakan Osquery

Osquery sendiri menggunakan tabel untuk menyimpan semua informasi terkait sistem di dalam server. Anda dapat mencantumkan semua tabel dengan perintah berikut:

Anda akan melihat daftar semua tabel pada output berikut:

Untuk memeriksa versi sistem operasi, Anda bisa menjalankan perintah berikut:

select * from os_version;

Out put nya sebagai berikut:

Untuk mencantumkan semua pengguna yang UID-nya lebih besar dari 1000, jalankan perintah berikut:

select * from users where uid >=1000;

Out put nya sebagai berikut:

Untuk mencantumkan semua pengguna aktif yang masuk, jalankan perintah berikut:

select user,tty,host,time from logged_in_users where tty not like '~';

Out put nya sebagai berikut:

Untuk memeriksa waktu aktif di sistem, silahkan jalankan perintah berikut:

select * from uptime;

Anda akan melihat out put nya sebagai berikut:

Untuk mencantumkan semua antarmuka jaringan, jalankan perintah sebagai berikut:

select interface,address,mask from interface_addresses where interface NOT LIKE '%lo%';

Out put nya sebagai berikut:

Untuk mengaktifkan mode garis, jalankan perintah berikut:

.mode line

Untuk memeriksa informasi sistem dan mencetak output baris demi baris, jalankan perintah berikut:

SELECT * FROM system_info;

Out put nya sebagai berikut:

Anda dapat keluar dari shell Osquery dengan perintah berikut:

.exit

Langkah 4 – Jalankan Osquery melalui System

Untuk menjalankan Osquery melalui system, Anda perlu menyalin file konfigurasi Osquery:

cp /opt/osquery/share/osquery/osquery.example.conf /etc/osquery/osquery.conf

Selanjutnya, hentikan daemon Osquery dengan perintah berikut:

osqueryctl stop

Selanjutnya, mulai dan aktifkan layanan Osquery melalui systemd dengan perintah berikut:

systemctl start osqueryd
systemctl enable osqueryd

Untuk memeriksa status aktif Osquery, jalankan perintah berikut:

systemctl status osqueryd

Anda akan melihat out putnya sebagai berikut:

Selamat mencoba dan semoga bermanfaat.