【发布时间】：2021-02-05 10:54:10
【问题描述】：
我正在尝试在具有 WEF/WEC 的环境中使用 OSQuery，而我正在尝试做的是收集通过订阅存储在 WEC 服务器中的所有 Windows 事件。
我的问题是，当我通过 OSQuery 收集 Windows 事件时，我似乎无法获得包含实际生成事件的主机名的字段“计算机”。
有人设法让它工作吗？或者它是 OSquery 的实际限制？查看 windows_events 表架构 (https://osquery.io/schema/4.5.1/#windows_events) 时，似乎没有考虑“计算机”字段。
例如，我在名为 DESKTOP-JC2OUUQ 的主机中配置了一个 WEC，并且我在那里订阅了一台名为 DESKTOP-BEH0A7O 的笔记本电脑。事件日志正确地流向 WEC，我可以接收它们。以下是我收到的事件之一：
<Event xmlns="http://schemas.microsoft.com/win/2004/08/events/event" xml:lang="en-US">
<System>
<Provider Name="Microsoft-Windows-Security-SPP" Guid="{E23B33B0-C8C9-472C-A5F9-F2BDFEA0F156}" EventSourceName="Software Protection Platform Service" />
<EventID Qualifiers="16384">16384</EventID>
<Version>0</Version>
<Level>4</Level>
<Task>0</Task>
<Opcode>0</Opcode>
<Keywords>0x80000000000000</Keywords>
<TimeCreated SystemTime="2020-10-22T16:20:17.2647971Z" />
<EventRecordID>907</EventRecordID>
<Correlation />
<Execution ProcessID="0" ThreadID="0" />
<Channel>Application</Channel>
<Computer>DESKTOP-BEH0A7O</Computer>
<Security />
</System>
<EventData>
<Data>2020-12-18T12:30:17Z</Data>
<Data>RulesEngine</Data>
</EventData>
<RenderingInfo Culture="en-US">
<Message>Successfully scheduled Software Protection service for re-start at 2020-12-18T12:30:17Z. Reason: RulesEngine.</Message>
<Level>Information</Level>
<Task />
<Opcode />
<Channel />
<Provider>Microsoft-Windows-Security-SPP</Provider>
<Keywords>
<Keyword>Classic</Keyword>
</Keywords>
</RenderingInfo>
</Event>
当我尝试使用 OSQuery 收集此事件时，我得到以下输出：
{
"name": "windows_events_query",
"hostIdentifier": "DESKTOP-JC2OUUQ",
"calendarTime": "Thu Oct 22 16:26:14 2020 UTC",
"unixTime": 1603383974,
"epoch": 0,
"counter": 0,
"numerics": false,
"decorations": {
"host_uuid": "A7A0828C-1264-4E24-A67F-F5B69BE86165",
"username": "vagrant"
},
"columns": {
"data": "{\"EventData\":[\"2020-12-18T12:30:17Z\",\"RulesEngine\"]}",
"datetime": "2020-10-22T16:20:17.2647971Z",
"eventid": "16384",
"keywords": "0x80000000000000",
"level": "4",
"provider_guid": "{E23B33B0-C8C9-472C-A5F9-F2BDFEA0F156}",
"provider_name": "Microsoft-Windows-Security-SPP",
"source": "Application",
"task": "0",
"time": "1603383958"
},
"action": "added"
}
如您所见，在其他字段中，我没有看到“计算机”标签，据我所知，它是唯一包含生成事件的实际主机的标签。 有没有什么方法可以通过 OSQuery 获得该值，还是有限制？
谢谢！
【问题讨论】：
-
您有多确定这是同一事件？这是您日志中唯一的事件 ID 16384 吗？
-
我很确定它是一样的。事实上，这只是一个例子，因为它发生在我收到的每个事件中。我检查了两台主机中的事件查看器，以确保两台服务器中都没有发生重复的事件。
-
另外，我尝试通过命令行发送自定义事件，结果相同。
-
好的，我只是注意到 JSON 中有一个字段
hostIdentifier，它不会映射到 XML 中的<Computer>以外的任何内容。还有decorations.host_uuid，里面可能包含你需要的信息，如果你知道怎么解码的话（某处肯定有映射表） -
主机标识符和装饰由事件顶部的 OSQuery 添加。据我所知，两者都引用了运行 OsQuery 代理的主机而不是远程主机。