エンドポイントの可視化を、 すぐ使えるクエリへ。
osquery(エンドポイントハンティング)クエリのフィード。寛容なライセンスのオープンソースから集約し、各クエリを本物の osquery スキーマで検証(すべてのテーブルが存在)、ATT&CK 戦術・プラットフォーム(Linux/macOS/Windows)・CIS ベンチマークにマッピング。osquery、osqueryd、Fleet に読み込めます。Ed25519 署名。
What we added recently
A living feed: here is the coverage added to it, dated.
- +115 requêtes
- +57 requêtes
キュレート・検証・マッピング済みのクエリ。
各ハンティングクエリは ATT&CK 戦術に紐づきます:Persistence(launchd、cron、サービス)、Credential Access、Execution、Discovery、Command & Control、Defense Evasion。ファイル名ではなく戦術単位で狩ります。
各クエリは Linux / macOS / Windows でタグ付け(ソースが示さない場合は osquery スキーマから導出)。プラットフォーム別バンドルで、どこで何が動くか推測せずに展開できます。
CIS ポリシー(macOS/Windows ハードニング)を保持しグループ化:すぐ実行できる「コンプライアンス」サブセットを、ハンティングとは別に。狩りだけでなく監査の観点も。
各クエリは公式の 369 テーブル osquery カタログに対して検証:SQL がパースでき、各テーブルが実在します。壊れたクエリや幻のテーブルを指すクエリは入りません。決定的で、プラットフォーム非依存。
集約部分は寛容なライセンスのオープンソース(MIT / Apache-2.0)由来、帰属表示を保持:この部分は再配布可、MSSP 利用込み。しかしパックの約半分は当社の自社製 MAISON クエリ, 専有、(c) CyberConsulting.fr、EULA 準拠:自組織のセキュリティ運用での利用に限り、再配布不可。キュレーション、スキーマ検証、ATT&CK/CIS マッピングが当社の価値です。
集約に加え、当社の Sigma 検知と自社 YARA シグネチャを osquery に変換して自社クエリを鍛造します(意味が忠実に変換できるもの:プロセス、レジストリ、ファイル、ネットワーク)、正確な ATT&CK テクニックを保持。これがパックの専有・複製不可の部分, 公開リストにない数百のハンティングクエリ。
正規化された queries.json(id、SQL、プラットフォーム[]、テーブル[]、戦術[]、CIS、カテゴリ)、件数付き index.json、by-platform / by-tactic / by-category バンドル。フィルタ可能、スクリプト可能、Fleet 対応。
寛容なライセンスのオープンソース(MIT / Apache-2.0)から集約したクエリを重複排除し、各クエリを公式 osquery スキーマ(369 テーブル)で検証後、ATT&CK + プラットフォーム + CIS にマッピング(index.json + バンドル)。コンパイルとマッピングは (c) CyberConsulting.fr。クエリは寛容なライセンスを保持します。
osquery が動くあらゆる場所で。
本番で壊れない osquery クエリ。
SQL がパースでき、参照される各テーブルが公式 369 テーブルカタログに存在します。幻のテーブル(タイポ、拡張の欠如)を指すクエリは納品前に除外, 顧客側で「no such table」は出ません。
集約部分は寛容なソース(MIT / Apache-2.0)由来、帰属表示を保持:MSSP は顧客に再配布可能。当社の自社製クエリ(約半分)は専有、EULA 準拠(購読者利用)。何が再配布可能で何が自組織に留まるか、明確です。
各ハンティングクエリは、参照するテーブルから導出した ATT&CK 戦術を持ちます。戦術をカバーし、カバレッジを文書化し、レポートに投入, 単なるクエリのリストではありません。
Linux、macOS、Windows を 1 つのパックに、各クエリをプラットフォームにタグ付け。3 つのソースを行き来せず、異種混在の環境をカバー。
3 つのソースは重複します:重複(正規化 SQL が同一)はマージ。重なり合う 3 つのリストではなく、きれいな 1 セットが得られます。
パックは署名済み。フリート展開前に完全性を検証できます。
osquery とは?
osquery は OS(プロセス、接続、スケジュールタスク、拡張、ユーザーなど)を SQL データベースとして公開します。SQL でエンドポイントを問い合わせます。エンドポイント可視化のオープンソース標準で、SOC/IR チームや Fleet・Kolide などのプラットフォームで使われています。
なぜ osqueryd ではなくスキーマで検証?
osquery のテーブルは OS 依存:macOS のクエリ(例 managed_policies)は SQL が正しくても Linux ランナーで「失敗」します。osqueryd の実行はプラットフォームごとに誤った判定を招きます。公式テーブルカタログで検証(SQL がパース + 各テーブルが存在):決定的、プラットフォーム非依存で、実際の欠陥, 存在しないテーブルやタイポ, をちょうど捕らえます。
どう使う?
パックは正規化された queries.json、index.json、プラットフォーム / 戦術 / カテゴリ別の bundles/ を提供します。目的のバンドルを osquery パック形式(JSON クエリ)に変換するか Fleet にインポート。プラットフォームのバンドルを展開し、osqueryd でハンティングクエリをスケジュール、結果を SIEM へ。CIS サブセットはコンプライアンス監査に使えます。
ライセンスは?再販 / MSSP は可能?
本パックは専有サブスクリプション製品です。集約部分は寛容なライセンスのオープンソース(MIT / Apache-2.0)由来、帰属表示を保持:再配布可、MSSP 利用込み。当社の自社製クエリ(パックの約半分、Sigma 検知と YARA シグネチャから変換)は専有 (c) CyberConsulting.fr、EULA 準拠:自組織のセキュリティ運用での利用に限り、再配布不可。複製可能なクエリではなく、この自社製作・キュレーション・検証・マッピングに対して購読します。
ThreatClaw エージェントで動く?
はい、直接。ThreatClaw エージェントは既にエンドポイントで osquery を実行:フィードは ATT&CK マッピング済みのハンティングクエリのソースとして接続、追加ツール不要。ただしパックは独立, osqueryd/Fleet 単独でも同様に動作、ロックインなし。