jmpsec/osctrl-api

osctrl镜像文档

镜像概述

osctrl是一款快速高效的osquery管理解决方案，通过实现osquery的远程API作为TLS端点，提供对osquery的集中化管理能力。该镜像包含osctrl的核心API组件，旨在简化osquery部署后的系统监控、配置分发、日志收集及查询执行等操作。

核心功能与特性

• osquery远程API实现：完全兼容osquery远程API规范，作为TLS端点与osquery客户端建立安全通信
• 系统监控：实时监控所有运行osquery的节点状态，掌握设备在线情况及运行健康度
• 配置分发：支持快速向目标节点推送osquery配置（如查询规则、调度策略等），确保配置统一更新
• 日志收集：集中采集osquery客户端的状态日志（如运行状态、错误信息）和查询结果日志，便于审计与问题排查
• 按需查询：允许管理员通过API或管理界面触发对指定节点的即时查询，获取实时系统数据

使用场景与适用范围

• 企业级osquery管理：适用于需要集中管控多台运行osquery的服务器、工作站或终端设备的企业环境
• 系统监控与合规审计：通过持续收集的日志数据，满足系统活动监控、安全合规审计等需求
• 动态配置更新：需频繁调整osquery监控规则或配置参数的场景，确保配置变更快速生效
• 应急响应支持：在系统异常或安全事件中，通过按需查询功能快速获取目标节点的实时信息

使用方法与配置说明

基本部署

Docker Run 示例

bash
docker run -d \
  --name osctrl-api \
  -p 443:443 \
  -v /host/path/to/tls:/etc/osctrl/tls \
  -e TLS_CERT_PATH=/etc/osctrl/tls/server.crt \
  -e TLS_KEY_PATH=/etc/osctrl/tls/server.key \
  -e LOG_LEVEL=info \
  osctrl/api:latest

说明：

• -v 挂载主机TLS证书目录至容器内，确保API服务可读取证书文件
• -e 设置必要环境变量，包括TLS证书路径、密钥路径及日志级别
• 默认监听443端口，需确保宿主机端口未被占用

关键配置参数

注意事项

• 需确保TLS证书与osquery客户端信任的CA匹配，避免连接失败
• 后端数据库需提前部署并配置，用于存储节点信息、配置及日志数据
• 生产环境中建议通过docker-compose或容器编排工具（如Kubernetes）部署，确保高可用性