jmpsec/osctrl-tls

镜像概述

osctrl是一个快速高效的osquery管理解决方案，其核心功能是实现osquery远程API作为TLS端点，为osquery部署提供集中化管理能力，支持对运行osquery的系统进行全面监控与配置管理。

核心功能与特性

• osquery远程API实现：作为TLS端点兼容osquery远程API规范，支持osquery客户端的通信需求
• 系统监控：实时监控所有运行osquery的系统状态，掌握客户端运行情况
• 配置分发：快速向osquery客户端分发配置，确保配置变更高效同步
• 日志收集：集中收集osquery客户端的状态日志和查询结果日志，便于审计与分析
• 按需查询：支持对osquery客户端发起按需查询，灵活获取特定系统信息

使用场景与适用范围

适用于需要集中管理多节点osquery部署的场景，包括：

• 企业级IT基础设施中osquery客户端的统一管理
• 多服务器环境下的系统状态监控与跟踪
• 安全合规审计（通过osquery查询系统状态数据）
• 需要高效配置分发与日志集中收集的osquery部署环境

使用方法与配置说明

基本部署

通过Docker运行osctrl容器，需映射TLS端点端口并配置TLS证书以确保安全通信：

bash
docker run -d -p 443:443 \
  -v /path/to/tls/certs:/certs \
  --name osctrl-tls-endpoint \
  osctrl:latest

核心配置说明

• TLS证书配置：需提供有效TLS证书（证书文件及私钥），挂载至容器内指定路径（如/certs），确保osquery客户端可通过TLS安全连接
• osquery客户端配置：在osquery客户端配置中，需设置--tls_server_certs指向osctrl的TLS证书，并将--remote_url配置为osctrl容器的TLS端点地址（如https://osctrl-host:443）

功能使用

• 系统监控：通过osctrl管理界面或API查看已连接的osquery客户端列表及实时状态
• 配置分发：在osctrl中定义配置策略，系统自动同步至所有关联的osquery客户端
• 日志收集：日志默认存储于容器内指定路径（可通过挂载卷持久化），支持导出至外部日志分析工具
• 按需查询：通过osctrl控制台或API提交查询命令，指定目标客户端执行并返回结果