runLiveSearchQuery — онлайн endpoint-уудад live search хийх

Онлайн endpoint-уудаас үйл явдал болон системийн статистикийн мэдээллийг шууд авах даалгавар үүсгэхийн тулд энэ аргыг ашиглана. Даалгавар нь үйлдлийн системийн хэрэгслийн framework болох, SQLite query хэлийг ашигладаг Osquery-г ашиглана.

Live search-ийн талаар дэлгэрэнгүйг Live search-ээс үзнэ үү.

Osquery нь endpoint-уудаас өгөгдөл авч, төвлөрсөн хадгалалтын зорилгоор S3 bucket руу байршуулна. Live search-ийн үр дүнг S3 bucket руу байршуулахын тулд AWS (Amazon Web Services) үүлэн платформоо урьдчилан тохируулсан байх шаардлагатай. Алхам алхмаар заавартай Set up AWS for Live Search, runLiveSearchQuery, and runGatherLogsTask-ийг үзнэ үү.

Параметрүүд

• `companyId` — Хүсэлтэд: Заавал; Төрөл: String; Утга: нэмэлт шаардлагагүй; Зорилтот endpoint-ууд харьяалагдах компанийн ID. Жишээ: "companyId": "669659908c2fa1ace601****"
• `query` — Хүсэлтэд: Заавал; Төрөл: String; Утга: query-ийн талаар дэлгэрэнгүйг энэ KB нийтлэлээс үзнэ үү; Бүх endpoint дээр ажиллах query. Жишээ: "query": "select * from time;"
• `endpoints` — Хүсэлтэд: Заавал (Тэмдэглэл: параметр заавал боловч массивыг хоосон орхиж болно, тэгвэл анхдагч утгыг ашиглана); Төрөл: Array of strings; Утга: ID нь зорилтот компанийн удирдлагад буй endpoint-д харьяалагдах ёстой. Анхдагч утга: зорилтот компанийн бүх endpoint. Тэмдэглэл: массивт утга байхгүй үед анхдагч утгыг автоматаар ашиглана; Query хаана ажиллахыг тодорхойлох endpoint ID-уудын жагсаалт. Жишээ: "endpoints": [ "1234567890abcdef12345678", "a1b2c3d4e5f6078901234567" "0987654321fedcba87654321" ],
• `operatingSystems` — Хүсэлтэд: Заавал (Тэмдэглэл: параметр заавал боловч массивыг хоосон орхиж болно, тэгвэл анхдагч утгыг ашиглана); Төрөл: Array of strings; Утга: нэмэлт шаардлагагүй. Боломжит утгууд: windows, linux, mac. Анхдагч утга: бүх үйлдлийн систем. Тэмдэглэл: массивт утга байхгүй үед анхдагч утгыг автоматаар ашиглана; Зорилтот endpoint-уудын үйлдлийн систем. Зөвлөмж: энэ параметр нь зорилтот компанийн тодорхой үйлдлийн систем ашиглаж буй бүх endpoint дээр query ажиллуулахад хамгийн тохиромжтой. Үүний тулд endpoints массивыг хоосон орхино. Жишээ: "operatingSystems": [ "windows", "linux", "mac" ],
• `s3UploadConfig` — Хүсэлтэд: Заавал; Төрөл: Object; Утга: `s3UploadConfig`-ийг үзнэ үү; Буцаасан өгөгдөл хадгалагдах S3 bucket. Жишээ: "s3UploadConfig": { "bucket": "test-bucket-name", "region": "eu-north-1", "roleArn": "arn:aws:iam::000000000000:role/role-name", "externalId": "000000000000000000000" }

s3UploadConfig

• `bucket` — Хүсэлтэд: Заавал; Төрөл: String; Өгөгдөл хадгалагдах S3 bucket-ийн нэр.
• `region` — Хүсэлтэд: Заавал; Төрөл: String; Bucket байрлаж буй AWS бүс (region).
• `roleArn` — Хүсэлтэд: Заавал; Төрөл: String; GravityZone bucket-д хандахдаа авах IAM role-ийн Amazon Resource Name (ARN).
• `externalId` — Хүсэлтэд: Заавал; Төрөл: String; Role-ийн trust policy-д тохируулсан өвөрмөц тодорхойлогч. Хүсэлт гаргагч нь IAM role авах эрхтэй эсэхийг баталгаажуулж, аккаунт хоорондын аюулгүй хандалтыг хангахад ашиглана.

Буцаах утга

• `result` — Төрөл: String; Хүсэлтээр үүссэн даалгаврын ID.

Жишээ

Хүсэлт:

{
    "params": {
        "companyId": "669659908c2fa1ace601****",
        "query": "select * from time;",
        "endpoints": [
            "1234567890abcdef12345678",
            "a1b2c3d4e5f6078901234567"
            "0987654321fedcba87654321"
        ],
        "operatingSystems": [
            "windows", "linux", "mac"
        ],
        "s3UploadConfig": {
            "bucket": "osquery-bucket-test",
            "region": "eu-north-1",
            "roleArn": "arn:aws:iam::000000000000:role/osquery-role",
            "externalId": "000000000000000000000"
        }
    },
    "jsonrpc": "2.0",
    "method": "runLiveSearchQuery",
    "id": "123-456-789-1011"
}

Хариу:

{
     "id": "123-456-789-1011",
     "jsonrpc": "2.0",
     "result": "000000000000000000000000"
}