엔드포인트 가시성을, 바로 쓰는 쿼리로.
osquery(엔드포인트 헌팅) 쿼리 피드로, 허용적 라이선스의 오픈소스에서 집계했습니다. 각 쿼리를 실제 osquery 스키마에서 검증(모든 테이블 존재)하고, ATT&CK 전술·플랫폼(Linux/macOS/Windows)·CIS 벤치마크에 매핑했습니다. osquery, osqueryd, Fleet에 로드하세요. Ed25519 서명.
What we added recently
A living feed: here is the coverage added to it, dated.
- +115 requêtes
- +57 requêtes
큐레이션·검증·매핑된 쿼리.
각 헌팅 쿼리는 ATT&CK 전술에 연결됩니다: Persistence(launchd, cron, 서비스), Credential Access, Execution, Discovery, Command & Control, Defense Evasion. 파일 이름이 아니라 전술 단위로 헌팅합니다.
각 쿼리는 Linux, macOS 또는 Windows로 태그됩니다(소스가 없을 때 osquery 스키마에서 도출). 플랫폼별 번들로, 어디서 무엇이 실행되는지 추측하지 않고 배포합니다.
CIS 정책(macOS/Windows 하드닝)을 보존하고 그룹화합니다: 바로 실행 가능한 "컴플라이언스" 하위 집합을 헌팅과 분리해 제공. 사냥뿐 아니라 감사 관점까지.
각 쿼리는 공식 369개 테이블 osquery 카탈로그와 대조 검증됩니다: SQL이 파싱되고 각 테이블이 실제로 존재합니다. 깨진 쿼리나 유령 테이블을 가리키는 쿼리는 들어오지 않습니다. 결정적이고 플랫폼 독립적.
집계 부분은 허용적 오픈소스 소스(MIT / Apache-2.0)에서 오며 출처를 보존합니다: 이 부분은 재배포 가능하고 MSSP 사용이 포함됩니다. 하지만 팩의 절반 가까이는 자체 제작 MAISON 쿼리입니다, 독점, (c) CyberConsulting.fr, EULA 적용: 자체 보안 운영 내 사용에 한하며 재배포 불가. 큐레이션, 스키마 검증, ATT&CK/CIS 매핑이 우리의 가치입니다.
집계를 넘어, 우리는 Sigma 탐지와 자체 YARA 시그니처를 osquery로 변환해 자체 쿼리를 제작합니다(의미가 충실히 변환되는 것들: 프로세스, 레지스트리, 파일, 네트워크), 정확한 ATT&CK 기법을 유지하면서. 이것이 팩의 독점적이고 복제 불가능한 부분입니다, 공개 목록에 없는 수백 개의 헌팅 쿼리.
정규화된 queries.json(id, SQL, 플랫폼[], 테이블[], 전술[], CIS, 범주), 카운트가 담긴 index.json, by-platform / by-tactic / by-category 번들. 필터 가능, 스크립트 가능, Fleet 준비 완료.
허용적 오픈소스 소스(MIT / Apache-2.0)에서 집계한 쿼리를 중복 제거하고, 각 쿼리를 공식 osquery 스키마(369개 테이블)로 검증한 뒤 ATT&CK + 플랫폼 + CIS로 매핑합니다(index.json + 번들). 컴파일과 매핑은 (c) CyberConsulting.fr이며, 쿼리는 허용적 라이선스를 유지합니다.
osquery가 실행되는 어디서나.
운영에서 깨지지 않는 osquery 쿼리.
SQL이 파싱되고 참조된 각 테이블이 공식 369개 테이블 카탈로그에 존재합니다. 유령 테이블(오타, 없는 확장)을 가리키는 쿼리는 납품 전에 제외됩니다, 고객 측에서 "no such table" 없음.
집계 부분은 허용적 소스(MIT / Apache-2.0)에서 오며 출처를 보존합니다: MSSP는 고객에게 재배포할 수 있습니다. 자체 쿼리(절반 가까이)는 독점이며 EULA 적용(구독자 사용)입니다. 무엇이 재배포 가능하고 무엇이 여러분 것인지 정확히 알 수 있습니다.
각 헌팅 쿼리는 조회하는 테이블에서 도출한 ATT&CK 전술을 가집니다. 전술을 커버하고, 커버리지를 문서화하고, 보고서에 반영합니다, 단순 쿼리 목록이 아닙니다.
Linux, macOS, Windows를 하나의 팩에, 각 쿼리를 플랫폼에 태그. 세 소스를 오가지 않고 이기종 환경을 커버합니다.
세 소스는 겹칩니다: 중복(정규화된 동일 SQL)은 병합됩니다. 겹치는 세 목록이 아니라 깔끔한 하나의 집합을 얻습니다.
팩은 서명되어 있어 플릿 배포 전마다 무결성을 검증합니다.
osquery가 무엇인가요?
osquery는 운영체제(프로세스, 연결, 예약 작업, 확장, 사용자 등)를 SQL 데이터베이스로 노출합니다. SQL로 엔드포인트를 조회합니다. 엔드포인트 가시성의 오픈소스 표준으로, SOC/IR 팀과 Fleet, Kolide 같은 플랫폼에서 사용됩니다.
왜 osqueryd가 아니라 스키마로 검증하나요?
osquery 테이블은 OS별로 다릅니다: macOS 쿼리(예: managed_policies)는 SQL이 정확해도 Linux 러너에서 "실패"합니다. 따라서 osqueryd 실행은 플랫폼에 따라 잘못된 판정을 냅니다. 공식 테이블 카탈로그로 검증합니다(SQL 파싱 + 각 테이블 존재): 결정적이고 플랫폼 독립적이며, 실제 결함, 존재하지 않는 테이블이나 오타, 을 정확히 잡습니다.
어떻게 쓰나요?
팩은 정규화된 queries.json, index.json, 플랫폼 / 전술 / 범주별 bundles/를 제공합니다. 원하는 번들을 osquery 팩 형식(JSON 쿼리)으로 변환하거나 Fleet에 임포트하세요. 플랫폼 번들을 배포하고, osqueryd로 헌팅 쿼리를 예약하고, 결과를 SIEM으로 보냅니다. CIS 하위 집합은 컴플라이언스 감사에 사용합니다.
어떤 라이선스이며, 재판매 / MSSP가 가능한가요?
이 팩은 독점 구독 제품입니다. 집계 부분은 허용적 오픈소스 소스(MIT / Apache-2.0)에서 오며 출처를 보존합니다: 재배포 가능하고 MSSP 사용이 포함됩니다. 자체 제작 쿼리(팩의 절반 가까이, Sigma 탐지와 YARA 시그니처에서 변환)는 독점 (c) CyberConsulting.fr, EULA 적용: 자체 보안 운영 내 사용에 한하며 재배포 불가입니다. 복제 가능한 쿼리가 아니라 이 제작·큐레이션·검증·매핑에 대해 구독합니다.
ThreatClaw 에이전트와 작동하나요?
네, 바로 됩니다. ThreatClaw 에이전트는 이미 엔드포인트에서 osquery를 실행합니다: 피드는 ATT&CK 매핑된 헌팅 쿼리 소스로 연결되며 추가 도구가 필요 없습니다. 하지만 팩은 독립적입니다, osqueryd/Fleet 단독으로도 잘 작동하며 종속이 없습니다.
엔드포인트에서 헌팅할 준비가 되셨나요?
연간 구독. 즉시 키 발급. 언제든 해지 가능.