osquery
Facebook（现Meta）于2014年开源的端点可见性工具，将操作系统抽象为关系型数据库，支持用SQL语法跨Linux、macOS、Windows平台查询系统进程、网络连接等运行状态，是现代EDR体系的基础设施组件。
时间轴 (近 90 天)
osquery是Facebook（现Meta）于2014年开源的端点可见性工具
osquery的核心理念是将操作系统抽象成一个关系型数据库，系统状态信息映射为可查询的数据表
osquery可以用SQL语法跨Linux、macOS和Windows平台获得一致的查询结果
osquery的processes表在Linux上读取/proc文件系统，在macOS上调用libproc API，在Windows上调用Win32/WMI接口
osquery的虚拟表在执行查询时才动态拉取数据而非预先缓存，因此全表扫描的代价是真实的系统调用开销
osquery内置调度器按预设间隔周期性执行查询并将结果差异发送到日志管道，这一模式称为差异查询（differential queries）
设计不当的osquery查询（如频繁扫描全量文件系统、对高基数表做无索引联表、过短的查询间隔）可能在大规模主机上导致CPU占用飙升
Fleet是目前最主流的开源osquery管理平台，提供Web UI和API来统一下发查询、管理主机清单和收集结果
osquery通常将结果写入本地日志文件，再由Filebeat、Fluentd等日志采集Agent转发到Elasticsearch、Splunk或AWS S3等SIEM/数据湖
「osquery → 日志采集 → SIEM → 告警」的数据管道是企业端点检测架构的典型形态
还有 1 条时间轴事件
全部知识事实 (11)
osquery是Facebook（现Meta）于2014年开源的端点可见性工具
50%待验证osquery的核心理念是将操作系统抽象成一个关系型数据库，系统状态信息映射为可查询的数据表
50%待验证osquery可以用SQL语法跨Linux、macOS和Windows平台获得一致的查询结果
50%待验证osquery的processes表在Linux上读取/proc文件系统，在macOS上调用libproc API，在Windows上调用Win32/WMI接口
50%待验证osquery的虚拟表在执行查询时才动态拉取数据而非预先缓存，因此全表扫描的代价是真实的系统调用开销
50%待验证osquery内置调度器按预设间隔周期性执行查询并将结果差异发送到日志管道，这一模式称为差异查询（differential queries）
50%待验证设计不当的osquery查询（如频繁扫描全量文件系统、对高基数表做无索引联表、过短的查询间隔）可能在大规模主机上导致CPU占用飙升
50%待验证Fleet是目前最主流的开源osquery管理平台，提供Web UI和API来统一下发查询、管理主机清单和收集结果
50%待验证osquery通常将结果写入本地日志文件，再由Filebeat、Fluentd等日志采集Agent转发到Elasticsearch、Splunk或AWS S3等SIEM/数据湖
50%待验证「osquery → 日志采集 → SIEM → 告警」的数据管道是企业端点检测架构的典型形态
50%待验证采用osquery检测查询库应先在小范围环境灰度测试评估性能影响，而非盲目全量部署
50%