Навыки forensics-osquery
📦

forensics-osquery

v0.1.0 Ревизия содержимого r2 Высокий риск ⚙️ Внешние команды📁 Доступ к файловой системе🔑 Переменные окружения🌐 Доступ к сети⚡ Содержит скрипты

Исследование конечных устройств с помощью osquery

Специалистам по реагированию на инциденты нужны быстрые доказательства с конечных устройств без переключения между инструментами. Этот навык помогает Claude, Codex и Claude Code выполнять triage, поиск угроз и мониторинг с помощью osquery.

Поддерживает: Claude Codex Code(CC)
⚠️ 38 Плохо

Установить с помощью моего Агента

Скопируйте этот запрос в своего Агента. Он содержит каноническую страницу Skill и манифест.

Запрос агента
Review the Skillstore skill "forensics-osquery" from https://skillstore.io/skills/agentsecops-forensics-osquery.md and its manifest at https://skillstore.io/api/skills/agentsecops-forensics-osquery/manifest. Verify the artifact. Stop and obtain explicit user consent before installing or changing files.

Ваш Агент по-прежнему должен показать план и запросить все подтверждения, требуемые политикой безопасности.

Ресурсы для AI-агентов

Используйте эти ссылки, когда AI-агенту, crawler или script нужен чистый контекст вместо полной страницы.

Markdown-детали GET /skills/agentsecops-forensics-osquery.md Подписанный manifest GET /api/skills/agentsecops-forensics-osquery/manifest Подписанный lockfile GET /api/skills/agentsecops-forensics-osquery/lockfile

Протестировать

Использование «forensics-osquery». Расследуйте возможную компрометацию рабочей станции.

Ожидаемый результат:

  • Контрольный список triage для процессов, пользователей, сетевых соединений, механизмов закрепления и недавней файловой активности.
  • Рекомендуемые области osquery для проверки и способы интерпретации аномальных результатов.
  • Заметки по работе с доказательствами: временные метки, экспорт и действия аналитика.

Использование «forensics-osquery». Создайте поиск подозрительной активности PowerShell.

Ожидаемый результат:

  • План поиска, связанный с телеметрией процессов Windows и подозрительными индикаторами командной строки.
  • Ожидаемые легитимные источники, которые следует исключить при проверке.
  • Последующие направления анализа для родительских процессов, сетевых соединений и артефактов закрепления.

Использование «forensics-osquery». Подготовьте мониторинг osqueryd для покрытия парка конечных устройств.

Ожидаемый результат:

  • Контрольный список развертывания для конфигурации, наборов, логирования и управления сервисом.
  • Пункты проверки стоимости запросов, чувствительности данных и доступа на основе ролей.
  • Последовательность внедрения от лабораторного тестирования до ограниченного развертывания в production.

Аудит безопасности

Высокий риск
v10 • 23.07.2026 Открыть версионный отчет

The skill is a legitimate defensive osquery guide, and most static hits are false positives from detection SQL, Markdown, loopback addresses, and sensitive-path indicators. Confirmed risks are endpoint telemetry collection, privileged install or service commands, and an unbundled relative script instruction. Additional concerns include ineffective credential-file detection, potential registry secret logging, and unverified privileged package bootstrapping.

11
Просканировано файлов
2,880
Проанализировано строк
15
Пункты проверки
0
Ложные срабатывания проигнорированы

Подтверждённые проблемы безопасности (27)

Высокий
references/osqueryd-deployment.md:429
Systemd service enablement
sudo systemctl enable osqueryd
The documented command enables osqueryd at boot with root privileges, creating a persistent system service that requires explicit approval.
Высокий
references/osqueryd-deployment.md:442
macOS launch agent/daemon
sudo launchctl load /Library/LaunchDaemons/com.facebook.osqueryd.plist
The documented sudo launchctl command loads a privileged daemon, creating persistent monitoring behavior that requires explicit approval.
Высокий
references/osqueryd-deployment.md:445
macOS launch agent/daemon
sudo launchctl unload /Library/LaunchDaemons/com.facebook.osqueryd.plist
The documented sudo launchctl command unloads a privileged daemon and changes endpoint monitoring state, which requires explicit approval.
Высокий
assets/forensic-packs/credential-access.conf:18-21references/mitre-attack-queries.md:317-328SKILL.md:112-120
Ineffective Credential-File Access Detection
The credential-file detector joins process_memory_map and treats mapped paths as file-access evidence. Password files are normally read, not memory-mapped, so the query can miss real access.
All three examples use process_memory_map as a proxy for file reads, which does not generally record ordinary reads of password files.
Высокий
assets/forensic-packs/credential-access.conf:97-101assets/osquery.conf:3-7
Potential Registry Secret Logging
A scheduled query selects registry data from keys containing Credentials or Password. With result logging enabled, plaintext credential-like values could enter osquery logs.
The query explicitly selects the data column every hour, and the bundled configuration enables filesystem result logging.
Высокий
references/osqueryd-deployment.md:27-50
Unverified Privileged Package Bootstrap
The deployment guide imports repository trust material and installs packages as root without a documented fingerprint, checksum, or pinned-version verification step.
The commands fetch trust material over the network and immediately use privileged package tooling without an independent integrity check.
Средний
SKILL.md:93-95SKILL.md:304-309
Unbundled Relative Script Execution
The workflow instructs users to execute ./scripts/osquery_triage.sh, but the reported package contains no scripts directory. A same-named local file could be executed unintentionally.
The command and script claims are explicit, while the code-filled file structure lists no scripts directory or script files.
Средний
references/osqueryd-deployment.md:316-336
Copyable Placeholder Database Password
The FleetDM example includes a fixed fleet_password value without an adjacent instruction to replace it, increasing the chance of an insecure copied configuration.
The password is visibly a placeholder, but the example gives no local replacement or secret-management requirement.
Показать все подтверждённые находки (27)
Низкий
assets/forensic-packs/credential-access.conf:19
System reconnaissance
"query": "SELECT p.name, p.cmdline, pm.path FROM processes p JOIN process_memory_map pm ON p.pid = p
This bundled configuration or scheduled query collects endpoint identity, user, process, file, or network metadata; authorized use is legitimate, but the telemetry requires protection.
Низкий
assets/forensic-packs/credential-access.conf:74
System reconnaissance
"query": "SELECT pid, name, cmdline, uid FROM processes WHERE name = 'sudo' AND cmdline NOT LIKE '%-
This bundled configuration or scheduled query collects endpoint identity, user, process, file, or network metadata; authorized use is legitimate, but the telemetry requires protection.
Низкий
assets/forensic-packs/credential-access.conf:86
System reconnaissance
"query": "SELECT path, filename, mode, uid, gid FROM file WHERE filename LIKE 'id_%' AND path LIKE '
This bundled configuration or scheduled query collects endpoint identity, user, process, file, or network metadata; authorized use is legitimate, but the telemetry requires protection.
Низкий
assets/forensic-packs/ir-triage.conf:19
System reconnaissance
"query": "SELECT user, tty, host, time, pid FROM logged_in_users;",
This bundled configuration or scheduled query collects endpoint identity, user, process, file, or network metadata; authorized use is legitimate, but the telemetry requires protection.
Низкий
assets/forensic-packs/ir-triage.conf:39
System reconnaissance
"query": "SELECT p.pid, p.name, p.path, p.cmdline, ps.local_address, ps.local_port, ps.remote_addres
This bundled configuration or scheduled query collects endpoint identity, user, process, file, or network metadata; authorized use is legitimate, but the telemetry requires protection.
Низкий
assets/forensic-packs/ir-triage.conf:44
System reconnaissance
"query": "SELECT lp.pid, lp.port, lp.protocol, lp.address, p.name, p.path, p.cmdline FROM listening_
This bundled configuration or scheduled query collects endpoint identity, user, process, file, or network metadata; authorized use is legitimate, but the telemetry requires protection.
Низкий
assets/forensic-packs/ir-triage.conf:70
System reconnaissance
"query": "SELECT path, filename, size, mtime, uid, gid FROM file WHERE (path LIKE '/etc/%' OR path L
This bundled configuration or scheduled query collects endpoint identity, user, process, file, or network metadata; authorized use is legitimate, but the telemetry requires protection.
Низкий
assets/forensic-packs/ir-triage.conf:75
System reconnaissance
"query": "SELECT u.username, g.groupname FROM users u JOIN user_groups ug ON u.uid = ug.uid JOIN gro
This bundled configuration or scheduled query collects endpoint identity, user, process, file, or network metadata; authorized use is legitimate, but the telemetry requires protection.
Низкий
assets/forensic-packs/lateral-movement.conf:7
System reconnaissance
"query": "SELECT p.pid, p.name, p.cmdline, ps.remote_address, ps.remote_port, ps.state FROM processe
This bundled configuration or scheduled query collects endpoint identity, user, process, file, or network metadata; authorized use is legitimate, but the telemetry requires protection.
Низкий
assets/forensic-packs/lateral-movement.conf:13
System reconnaissance
"query": "SELECT p.pid, p.name, p.path, p.cmdline, ps.remote_address, ps.remote_port, ps.state FROM
This bundled configuration or scheduled query collects endpoint identity, user, process, file, or network metadata; authorized use is legitimate, but the telemetry requires protection.
Низкий
assets/forensic-packs/lateral-movement.conf:37
System reconnaissance
"query": "SELECT p.pid, p.name, ps.remote_address, ps.remote_port FROM processes p JOIN process_open
This bundled configuration or scheduled query collects endpoint identity, user, process, file, or network metadata; authorized use is legitimate, but the telemetry requires protection.
Низкий
assets/forensic-packs/lateral-movement.conf:66
System reconnaissance
"query": "SELECT pid, name, cmdline, remote_address FROM process_open_sockets ps JOIN processes p ON
This bundled configuration or scheduled query collects endpoint identity, user, process, file, or network metadata; authorized use is legitimate, but the telemetry requires protection.
Низкий
assets/forensic-packs/lateral-movement.conf:95
System reconnaissance
"query": "SELECT p.pid, p.name, ps.remote_address, ps.remote_port FROM processes p JOIN process_open
This bundled configuration or scheduled query collects endpoint identity, user, process, file, or network metadata; authorized use is legitimate, but the telemetry requires protection.
Низкий
assets/osquery.conf:19
System reconnaissance
"host_identifier": "hostname",
This bundled configuration or scheduled query collects endpoint identity, user, process, file, or network metadata; authorized use is legitimate, but the telemetry requires protection.
Низкий
assets/osquery.conf:28
System reconnaissance
"query": "SELECT hostname, cpu_brand, physical_memory, hardware_model FROM system_info;",
This bundled configuration or scheduled query collects endpoint identity, user, process, file, or network metadata; authorized use is legitimate, but the telemetry requires protection.
Низкий
assets/osquery.conf:38
System reconnaissance
"query": "SELECT user, tty, host, time, pid FROM logged_in_users;",
This bundled configuration or scheduled query collects endpoint identity, user, process, file, or network metadata; authorized use is legitimate, but the telemetry requires protection.
Низкий
assets/osquery.conf:53
System reconnaissance
"query": "SELECT p.pid, p.name, p.path, p.cmdline, ps.remote_address, ps.remote_port, ps.protocol, p
This bundled configuration or scheduled query collects endpoint identity, user, process, file, or network metadata; authorized use is legitimate, but the telemetry requires protection.
Низкий
assets/osquery.conf:58
System reconnaissance
"query": "SELECT lp.pid, lp.port, lp.protocol, lp.address, p.name, p.path FROM listening_ports lp LE
This bundled configuration or scheduled query collects endpoint identity, user, process, file, or network metadata; authorized use is legitimate, but the telemetry requires protection.
Низкий
assets/osquery.conf:73
System reconnaissance
"SELECT uuid AS host_uuid FROM system_info;",
This bundled configuration or scheduled query collects endpoint identity, user, process, file, or network metadata; authorized use is legitimate, but the telemetry requires protection.
Пункты проверки возможностей (15)

Это реальные локальные возможности, которые могут ожидаться для этого навыка, поэтому они требуют проверки, но не считаются подтверждённым вредоносным поведением.

Высокий
references/osqueryd-deployment.md:30
sudo privilege escalation
sudo apt-key adv --keyserver keyserver.ubuntu.com --recv-keys $OSQUERY_KEY
This is an executable sudo command that changes package trust, software, or service state as root; its legitimate purpose still requires explicit authorization.
Высокий
references/osqueryd-deployment.md:33
sudo privilege escalation
sudo add-apt-repository 'deb [arch=amd64] https://pkg.osquery.io/deb deb main'
This is an executable sudo command that changes package trust, software, or service state as root; its legitimate purpose still requires explicit authorization.
Высокий
references/osqueryd-deployment.md:36
sudo privilege escalation
sudo apt update
This is an executable sudo command that changes package trust, software, or service state as root; its legitimate purpose still requires explicit authorization.
Высокий
references/osqueryd-deployment.md:37
sudo privilege escalation
sudo apt install osquery
This is an executable sudo command that changes package trust, software, or service state as root; its legitimate purpose still requires explicit authorization.
Высокий
references/osqueryd-deployment.md:44
sudo privilege escalation
curl -L https://pkg.osquery.io/rpm/GPG | sudo tee /etc/pki/rpm-gpg/RPM-GPG-KEY-osquery
This is an executable sudo command that changes package trust, software, or service state as root; its legitimate purpose still requires explicit authorization.
Высокий
references/osqueryd-deployment.md:47
sudo privilege escalation
sudo yum-config-manager --add-repo https://pkg.osquery.io/rpm/osquery-s3-rpm.repo
This is an executable sudo command that changes package trust, software, or service state as root; its legitimate purpose still requires explicit authorization.
Высокий
references/osqueryd-deployment.md:50
sudo privilege escalation
sudo yum install osquery
This is an executable sudo command that changes package trust, software, or service state as root; its legitimate purpose still requires explicit authorization.
Высокий
references/osqueryd-deployment.md:426
sudo privilege escalation
sudo systemctl start osqueryd
This is an executable sudo command that changes package trust, software, or service state as root; its legitimate purpose still requires explicit authorization.
Высокий
references/osqueryd-deployment.md:429
sudo privilege escalation
sudo systemctl enable osqueryd
This is an executable sudo command that changes package trust, software, or service state as root; its legitimate purpose still requires explicit authorization.
Высокий
references/osqueryd-deployment.md:442
sudo privilege escalation
sudo launchctl load /Library/LaunchDaemons/com.facebook.osqueryd.plist
This is an executable sudo command that changes package trust, software, or service state as root; its legitimate purpose still requires explicit authorization.
Высокий
references/osqueryd-deployment.md:445
sudo privilege escalation
sudo launchctl unload /Library/LaunchDaemons/com.facebook.osqueryd.plist
This is an executable sudo command that changes package trust, software, or service state as root; its legitimate purpose still requires explicit authorization.
Высокий
references/osqueryd-deployment.md:485
sudo privilege escalation
sudo osqueryd --verbose --config_path=/etc/osquery/osquery.conf
This is an executable sudo command that changes package trust, software, or service state as root; its legitimate purpose still requires explicit authorization.
Высокий
SKILL.md:453
sudo privilege escalation
- Run osqueryi with sudo/admin privileges: `sudo osqueryi`
The instruction launches an interactive osquery shell with root privileges, exposing sensitive tables and requiring explicit authorization.
Средний
references/osqueryd-deployment.md:328
Hardcoded IP address
address: 0.0.0.0:8080
The Fleet example binds the server to 0.0.0.0:8080, exposing it on every network interface unless firewall and access controls restrict it.
Средний
SKILL.md:95
Shell command substitution
**Execute triage**: `./scripts/osquery_triage.sh > incident_triage_$(date +%Y%m%d_%H%M%S).json`
The command executes a relative triage script with shell substitution, but the referenced scripts directory is not bundled and could resolve to an unintended local file.

Факторы риска

⚙️ Внешние команды (50)
assets/forensic-packs/credential-access.conf:91 assets/forensic-packs/credential-access.conf:94 assets/forensic-packs/persistence-hunt.conf:67 references/mitre-attack-queries.md:42 references/mitre-attack-queries.md:46 references/mitre-attack-queries.md:51 references/mitre-attack-queries.md:53 references/mitre-attack-queries.md:58 references/mitre-attack-queries.md:118 references/mitre-attack-queries.md:46 references/mitre-attack-queries.md:71 references/mitre-attack-queries.md:76 references/mitre-attack-queries.md:195 references/osqueryd-deployment.md:65 references/osqueryd-deployment.md:69 references/osqueryd-deployment.md:453 references/osqueryd-deployment.md:30 references/osqueryd-deployment.md:33 references/osqueryd-deployment.md:36 references/osqueryd-deployment.md:37 references/osqueryd-deployment.md:44 references/osqueryd-deployment.md:47 references/osqueryd-deployment.md:50 references/osqueryd-deployment.md:426 references/osqueryd-deployment.md:429 references/osqueryd-deployment.md:432 references/osqueryd-deployment.md:435 references/osqueryd-deployment.md:442 references/osqueryd-deployment.md:445 references/osqueryd-deployment.md:448 references/osqueryd-deployment.md:485 SKILL.md:45-63 SKILL.md:63-67 SKILL.md:67-76 SKILL.md:76-95 SKILL.md:95-112 SKILL.md:112-120 SKILL.md:120-137 SKILL.md:137-149 SKILL.md:149-152 SKILL.md:152-164 SKILL.md:164-176 SKILL.md:176-193 SKILL.md:193-206 SKILL.md:206-224 SKILL.md:224-239 SKILL.md:239-253 SKILL.md:253-259 SKILL.md:259-271 SKILL.md:271-277
📁 Доступ к файловой системе (29)
assets/forensic-packs/credential-access.conf:86 assets/forensic-packs/ir-triage.conf:64 assets/forensic-packs/lateral-movement.conf:54 assets/forensic-packs/lateral-movement.conf:60 assets/forensic-packs/persistence-hunt.conf:97 assets/forensic-packs/persistence-hunt.conf:13 assets/forensic-packs/persistence-hunt.conf:37 assets/forensic-packs/persistence-hunt.conf:55 assets/forensic-packs/persistence-hunt.conf:67 assets/osquery.conf:48 references/mitre-attack-queries.md:217 references/mitre-attack-queries.md:297 references/mitre-attack-queries.md:110 references/mitre-attack-queries.md:135 references/mitre-attack-queries.md:175 references/mitre-attack-queries.md:176 references/mitre-attack-queries.md:214 references/mitre-attack-queries.md:215 references/mitre-attack-queries.md:228 references/mitre-attack-queries.md:295 references/mitre-attack-queries.md:296 references/osqueryd-deployment.md:152 references/osqueryd-deployment.md:250 references/table-guide.md:162 references/table-guide.md:163 references/table-guide.md:310 SKILL.md:148 SKILL.md:210 SKILL.md:216
🔑 Переменные окружения (1)
assets/forensic-packs/credential-access.conf:85
🌐 Доступ к сети (29)
assets/forensic-packs/ir-triage.conf:39 assets/forensic-packs/ir-triage.conf:44 assets/forensic-packs/lateral-movement.conf:43 assets/osquery.conf:53 assets/osquery.conf:58 references/mitre-attack-queries.md:509 references/osqueryd-deployment.md:33 references/osqueryd-deployment.md:44 references/osqueryd-deployment.md:47 references/osqueryd-deployment.md:60 references/osqueryd-deployment.md:67 references/osqueryd-deployment.md:119 references/osqueryd-deployment.md:191 references/osqueryd-deployment.md:319 references/osqueryd-deployment.md:325 references/osqueryd-deployment.md:328 references/table-guide.md:47 references/table-guide.md:91 SKILL.md:22 SKILL.md:23 SKILL.md:24 SKILL.md:488 SKILL.md:489 SKILL.md:490 SKILL.md:491 SKILL.md:492 SKILL.md:56 SKILL.md:181 SKILL.md:188
⚡ Содержит скрипты (4)
assets/osquery.conf:13 references/osqueryd-deployment.md:96 references/osqueryd-deployment.md:143 references/osqueryd-deployment.md:374

Обнаруженные паттерны

System reconnaissance×19Systemd service enablementmacOS launch agent/daemon×2
Аудитор:: codex Посмотреть историю аудитов →
Поделиться и цитировать этот отчет

Делитесь версионным отчетом об оценке, нейтральным значком, встраиваемой карточкой и цитатами. Skillstore публикует доказательства, не решая, безопасен ли этот Skill.

Открыть версионный отчет
Оценка безопасности

Копировать ссылку на отчёт

https://skillstore.io/skills/agentsecops-forensics-osquery/audits/10?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_report

Значок Markdown

[![Skillstore security assessment](https://skillstore.io/badges/skills/agentsecops-forensics-osquery/security.svg)](https://skillstore.io/skills/agentsecops-forensics-osquery?utm_source=security_passport_badge)

Значок HTML

<a href="https://skillstore.io/skills/agentsecops-forensics-osquery?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/agentsecops-forensics-osquery/security.svg" alt="Skillstore security assessment" loading="lazy"></a>

Встраиваемая карточка

<iframe src="https://skillstore.io/embed/skills/agentsecops-forensics-osquery.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>
Академические ссылки (APA · BibTeX · CFF)

Цитата APA

AgentSecOps. (2026). forensics-osquery security audit report (audit version 10) [Author version 0.1.0]. Skillstore. https://skillstore.io/skills/agentsecops-forensics-osquery/audits/10

Цитата BibTeX

@techreport{agentsecops-agentsecops-forensics-osquery-2026, author = {AgentSecOps}, title = {forensics-osquery security audit report (audit version 10)}, institution = {Skillstore}, year = {2026}, number = {10}, url = {https://skillstore.io/skills/agentsecops-forensics-osquery/audits/10}, note = {Author version 0.1.0} }

CITATION.cff

cff-version: 1.2.0 message: "If you use this Skill, cite its author and this versioned security audit report." title: "forensics-osquery security audit report (audit version 10)" version: "0.1.0" type: report authors: - name: "AgentSecOps" date-released: "2026-07-23" url: "https://skillstore.io/skills/agentsecops-forensics-osquery/audits/10" identifiers: - type: other value: "skillstore:agentsecops-forensics-osquery:audit:10" description: "Skillstore immutable audit report identifier"

Оценка Skillstore

Почему такая оценка Достоверность доказательств: Средний
59
Архитектура
100
Сопровождаемость
87
Контент
70
Сообщество
100
Соответствие спецификации

Что вы можете построить

Быстрый triage конечного устройства

Соберите метаданные процессов, входов в систему, сети и файлов после оповещения.

Поиск угроз на основе MITRE

Преобразуйте предполагаемую технику ATT&CK в проверки osquery для артефактов конечного устройства.

Проектирование мониторинга парка устройств

Создавайте запланированные наборы osqueryd для индикаторов закрепления, credential access и lateral movement.

Попробуйте эти промпты

Начать triage конечного устройства 
Используйте навык forensics-osquery, чтобы спланировать первичный triage конечного устройства. Сосредоточьтесь на процессах, пользователях, сетевых соединениях и недавних файлах.
Поиск механизмов закрепления 
Используйте навык forensics-osquery, чтобы создать рабочий процесс поиска закрепления для Linux, macOS и Windows. Объясните каждый результат.
Сопоставить одну технику 
Используйте навык forensics-osquery, чтобы сопоставить MITRE ATT&CK T1003 с артефактами, проверками osquery и шагами по работе с доказательствами.
Спроектировать набор для мониторинга 
Используйте навык forensics-osquery, чтобы спроектировать набор osqueryd для lateral movement и credential access. Включите шаги настройки и проверки.

Лучшие практики

  • Запускайте привилегированные запросы только на системах, для которых у вас есть явное разрешение.
  • Храните экспортированные результаты в зашифрованных расположениях с логированием доступа и ограничениями срока хранения.
  • Тестируйте запланированные запросы в лаборатории перед включением на production-конечных устройствах.

Избегать

  • Не запускайте широкие запросы по файлам или процессам без ограничений области на production-парках устройств.
  • Не передавайте необработанные результаты osquery до удаления секретов и персональных данных.
  • Не считайте совпадения запросов подтвержденной компрометацией без проверки аналитиком.

Часто задаваемые вопросы

Устанавливает ли этот навык osquery автоматически?
Нет. Он предоставляет рекомендации и примеры. Пользователь должен установить и настроить osquery отдельно.
Можно ли использовать его с Claude Code и Codex?
Да. В метаданных Claude, Codex и Claude Code указаны как поддерживаемые инструменты.
Почему этот навык требует осторожного использования?
Он может помогать собирать чувствительные данные конечных устройств, поэтому требуются авторизация и защита данных.
Выполняет ли он инструменты атакующих?
Нет. Названия инструментов указаны как строки обнаружения внутри поисковых запросов osquery.
Какие платформы охвачены?
Рекомендации охватывают Linux, macOS и Windows с учетом поддержки таблиц osquery.
Какие разрешения требуются?
Многие базовые запросы работают от имени обычного пользователя. Для чувствительных таблиц часто требуются повышенные привилегии.

Сведения для разработчиков

Автор

AgentSecOps

Лицензия

MIT

Версия автора

v0.1.0

Ревизия Skillstore

r2

Репозиторий

https://github.com/AgentSecOps/SecOpsAgentKit/tree/main/skills/incident-response/forensics-osquery

Ссылка

9e952417e76879bc9d853e1b8b2cd6d6d8d4a1c2

Актуальность поддержки

26.07.2026

Использование

8 загрузок · 220 просмотров

Структура файлов

📁 assets/

📄 .gitkeep

📁 forensic-packs/

📄 credential-access.conf

📄 ir-triage.conf

📄 lateral-movement.conf

📄 persistence-hunt.conf

📄 osquery.conf

📁 references/

📄 mitre-attack-queries.md

📄 osqueryd-deployment.md

📄 platform-differences.md

📄 table-guide.md

📄 SKILL.md

Больше от AgentSecOps

Показать все
📦

pytm

81

Создание моделей угроз pytm как кода

Моделирование угроз часто устаревает и теряет связь с изменениями архитектуры. Этот навык помогает создавать модели pytm, анализ STRIDE и рабочие процессы с диаграммами для проверок безопасности и CI.

Безопасность и соответствие требованиям Просмотр
📦

container-hadolint

72

Проверка Dockerfile-файлов с помощью Hadolint

В Dockerfile-файлах могут скрываться небезопасные пакеты, root-пользователи, слабые entrypoints и ошибки обработки секретов. Этот навык помогает выполнять проверки Hadolint, настраивать CI-гейты и планировать исправления до сборки образов.

Безопасность и соответствие требованиям Просмотр
📦

dast-nuclei

38

Запуск DAST-сканирований Nuclei

Ручные проверки уязвимостей пропускают известные CVE и проблемы конфигурации в веб-приложениях и API. Этот навык помогает планировать сканирования Nuclei, настраивать CI-процессы и анализировать результаты.

Безопасность и соответствие требованиям Просмотр
📦

sast-semgrep

38

Сканирование кода с помощью Semgrep SAST

Командам разработки нужен воспроизводимый статический анализ безопасности без создания правил с нуля. Этот навык помогает с запуском сканирований Semgrep, сопоставлением с OWASP и CWE, планированием исправлений и интеграцией с CI.

Безопасность и соответствие требованиям Просмотр
📦

sca-trivy

38

Сканирование контейнеров и зависимостей с помощью Trivy

Неизвестные CVE и ошибки конфигурации могут задерживать безопасные релизы. Этот навык помогает выполнять сканирования Trivy, создавать SBOM и расставлять приоритеты исправлений в распространенных рабочих процессах доставки.

Безопасность и соответствие требованиям Просмотр
📦

dast-zap

38

Сканирование веб-приложений с помощью OWASP ZAP

Тестирование веб-безопасности во время выполнения сложно стандартизировать между командами. Этот skill предоставляет рабочие процессы OWASP ZAP для авторизованных сканирований, тестирования API, аутентификации и отчетности в CI/CD.

Безопасность и соответствие требованиям Просмотр

Связанные навыки

Показать все
📦

security-engineering

81

Укрепляйте решения в инженерии безопасности

от 89jobrien

Работа в области безопасности часто охватывает архитектуру, идентификацию, соответствие требованиям, тестирование и планирование реагирования. Этот навык дает Claude, Codex и Claude Code структурированные рекомендации по инженерии безопасности.

Безопасность и соответствие требованиям Просмотр
📦

malware-analyst

78

Безопасный анализ вредоносного ПО

от sickn33

Расследования вредоносного ПО требуют воспроизводимой первичной сортировки без риска для производственных систем. Этот навык помогает уполномоченным аналитикам выполнять безопасный анализ, извлечение IOC и подготовку отчетов.

Безопасность и соответствие требованиям Просмотр
📦

incident-runbook-templates

78

Создание runbook'ов для инцидентов

от wshobson

Командам реагирования на инциденты нужны четкие шаги до того, как начнется сбой. Этот skill помогает Claude, Codex и Claude Code создавать структурированные runbook'и с разделами triage, mitigation, escalation и communication.

Безопасность и соответствие требованиям Просмотр
📦

incident-response-incident-response

78

Координация реагирования на производственные инциденты

от sickn33

Производственные инциденты требуют быстрой сортировки, четкого распределения ответственности и надежной коммуникации под давлением. Этот навык структурирует реагирование по классификации серьезности, анализу наблюдаемости, смягчению последствий, развертыванию, обновлениям для заинтересованных сторон и postmortem-разбор

Безопасность и соответствие требованиям Просмотр
📦

incident-responder

78

Устраняйте производственные инциденты быстрее

от sickn33

Производственные инциденты требуют быстрой сортировки, четких ролей и точной коммуникации. Этот навык дает командам SRE структурированные шаги реагирования, проверки восстановления и рекомендации по улучшениям после инцидента.

Безопасность и соответствие требованиям Просмотр
📦

debugging

84

Отладка ошибок и первопричин

от 89jobrien

Ошибки и инциденты трудно разбирать, когда доказательства разбросаны по логам, трассировкам стека и сервисам. Этот навык структурирует диагностику, разбирает логи, выявляет паттерны и помогает находить минимальные исправления.

Кодинг и разработка Просмотр