implementing-osquery-for-endpoint-monitoring
部署 osquery 计划查询进行持续终端监控，涵盖进程清单、网络连接、文件完整性和持久化机制。 生成包含查询包的 osquery.conf，配置差异结果日志记录，并分析查询结果以检测 可疑进程、未授权监听端口和系统目录中的文件修改。
Best use case
implementing-osquery-for-endpoint-monitoring is best used when you need a repeatable AI agent workflow instead of a one-off prompt.
部署 osquery 计划查询进行持续终端监控，涵盖进程清单、网络连接、文件完整性和持久化机制。 生成包含查询包的 osquery.conf，配置差异结果日志记录，并分析查询结果以检测 可疑进程、未授权监听端口和系统目录中的文件修改。
Teams using implementing-osquery-for-endpoint-monitoring should expect a more consistent output, faster repeated execution, less prompt rewriting.
When to use this skill
- You want a reusable workflow that can be run more than once with consistent structure.
When not to use this skill
- You only need a quick one-off answer and do not need a reusable workflow.
- You cannot install or maintain the underlying files, dependencies, or repository context.
Installation
Claude Code / Cursor / Codex
Manual Installation
- Download SKILL.md from GitHub
- Place it in
.claude/skills/implementing-osquery-for-endpoint-monitoring/SKILL.mdinside your project - Restart your AI agent — it will auto-discover the skill
How implementing-osquery-for-endpoint-monitoring Compares
| Feature / Agent | implementing-osquery-for-endpoint-monitoring | Standard Approach |
|---|---|---|
| Platform Support | Not specified | Limited / Varies |
| Context Awareness | High | Baseline |
| Installation Complexity | Unknown | N/A |
Frequently Asked Questions
What does this skill do?
部署 osquery 计划查询进行持续终端监控，涵盖进程清单、网络连接、文件完整性和持久化机制。 生成包含查询包的 osquery.conf，配置差异结果日志记录，并分析查询结果以检测 可疑进程、未授权监听端口和系统目录中的文件修改。
Where can I find the source code?
You can find the source code on GitHub using the link provided at the top of the page.
SKILL.md Source
## 说明
1. 安装依赖：`pip install requests`（osquery 需在终端上安装）
2. 生成包含以下安全监控查询包的 `osquery.conf`：
- 进程监控：新进程、异常父子关系
- 网络监听：意外的监听端口和出站连接
- 文件完整性：/etc、/usr/bin、system32 中的修改
- 持久化：cron 作业、启动项、计划任务、服务
3. 将配置部署到终端。
4. 分析 osquery 日志输出中的差异结果。
5. 生成安全发现报告。
```bash
python scripts/agent.py --results-dir /var/log/osquery/results/ --output osquery_report.json
```
## 示例
### Osquery 计划查询
```json
{"schedule": {"process_snapshot": {"query": "SELECT pid, name, path, cmdline, uid FROM processes WHERE on_disk = 0;", "interval": 300}}}
```Related Skills
performing-paste-site-monitoring-for-credentials
使用自动化抓取和关键词匹配技术，监控 Pastebin 和 GitHub Gists 等粘贴站点上的泄露凭证、API 密钥和敏感数据转储，实现早期泄露检测
performing-endpoint-vulnerability-remediation
通过基于风险评分对 CVE 进行优先级排序、部署补丁、应用配置变更和验证修复 来执行端点漏洞修复。适用于修复漏洞扫描发现的问题、响应严重 CVE 公告 或维护端点合规性与补丁管理 SLA 的场景。适用于涉及漏洞修复、CVE 补丁、 端点漏洞管理或安全修复部署的请求。
performing-endpoint-forensics-investigation
对受损端点执行数字取证调查，包括内存获取、磁盘镜像、工件分析和时间线重建。 适用于调查安全事件、为法律诉讼收集证据或分析端点受损范围的场景。 适用于涉及端点取证、内存分析、磁盘取证或事件调查的请求。
performing-dark-web-monitoring-for-threats
暗网威胁监控涉及系统性扫描 Tor 隐藏服务、地下论坛、粘贴站点和暗网市场，以识别针对组织的威胁，包括泄露凭据、数据泄露、威胁行为者讨论、漏洞利用工具和预谋攻击。
performing-brand-monitoring-for-impersonation
监控域名、社交媒体、移动应用和暗网渠道中的品牌仿冒攻击，检测针对组织的网络钓鱼活动、虚假站点和未授权品牌使用行为。
monitoring-darkweb-sources
监控暗网论坛、市场、粘贴站点和勒索软件泄露站点，寻找组织资产提及、泄露凭据、威胁攻击和威胁行为者通信，提供早期预警情报。当建立暗网监控覆盖、调查特定数据泄露声明，或用暗网背景丰富事件调查时使用。适用于涉及暗网 OSINT、泄露站点监控、凭据暴露、Recorded Future 暗网或 Tor 隐藏服务情报的请求。
implementing-zero-trust-with-hashicorp-boundary
使用 HashiCorp Boundary 实现具备动态凭据代理、会话录制和 Vault 集成的身份感知零信任基础设施访问管理。
implementing-zero-trust-with-beyondcorp
使用身份感知代理（IAP，Identity-Aware Proxy）、上下文感知访问策略、设备信任验证和 Access Context Manager，部署 Google BeyondCorp Enterprise 零信任访问控制，对 GCP 资源和内部应用强制执行基于身份和安全态势的访问。
implementing-zero-trust-network-access
通过配置身份感知代理、微分段、基于条件访问策略的持续验证，以及在 AWS、Azure 和 GCP 环境中以 BeyondCorp 风格的架构替代传统 VPN 访问，在云环境中实施零信任网络访问（ZTNA）。
implementing-zero-trust-network-access-with-zscaler
使用 Zscaler 实施零信任网络访问（Zero Trust Network Access，ZTNA），通过 Zscaler Private Access（ZPA）配置应用分段、访问策略和连接器，替代传统 VPN 架构
implementing-zero-trust-in-cloud
本技能指导组织按照 NIST SP 800-207 和 Google BeyondCorp 原则在云环境中实施零信任（Zero Trust）架构，涵盖以身份为中心的访问控制、微分段（Micro-Segmentation）、持续验证、设备信任评估，以及部署身份感知代理（Identity-Aware Proxy）以消除 AWS、Azure 和 GCP 环境中的隐式网络信任。
implementing-zero-trust-for-saas-applications
使用 CASB、SSPM、条件访问策略、OAuth 应用治理和会话控制，为 SaaS 应用实施零信任访问控制， 对云托管服务强制执行身份验证、设备合规性检查和数据保护。