无法将OSQuery从窗口服务器连接到Kolide Fleet

问题描述

我尝试将窗口服务器中的osquery连接到kolide机群。 osqueryed服务已成功创建，但在我的kolide仪表板上没有任何显示。

我通过以下方式创建服务：

sc.exe create osqueryd type= own start= auto error= normal binpath= "C:\Program Files\osquery\osqueryd\osqueryd.exe --flagfile=\Program Files\osquery\osquery.flags" displayname= 'osqueryd'

sc.exe start osqueryd

我的osquery.flags

--enroll_secret_path="C:\Users\xxx\Desktop\Secret\enroll_secret.txt"
--tls_server_certs="C:\Users\xxx\Desktop\Secret\certiticate.cer"
--tls_hostname=127.0.0.1:8080
--host_identifier=uuid
--enroll_tls_endpoint=/api/v1/osquery/enroll
--config_plugin=tls
--config_tls_endpoint=/api/v1/osquery/config
--config_refresh=10
--disable_distributed=false
--distributed_plugin=tls
--distributed_interval=3
--distributed_tls_max_attempts=3
--distributed_tls_read_endpoint=/api/v1/osquery/distributed/read
--distributed_tls_write_endpoint=/api/v1/osquery/distributed/write
--logger_plugin=tls
--logger_tls_endpoint=/api/v1/osquery/log
--logger_tls_period=10

我不知道如何更改flag命令以适合窗口服务

解决方法

调试此类问题的最佳方法是通过手动运行osqueryd而不是将其作为服务来测试您的配置。在设置服务之前，这将使您查看日志并正确设置。

您将要在Powershell中使用以下命令：

& 'C:\Program Files\osquery\osqueryd\osqueryd.exe' --flagfile='\Program Files\osquery\osquery.flags'

现在您可以看到osqueryd的输出，也许可以确定问题所在。如果没有，请添加--verbose --tls_dump标志，您将进一步使用以下输出：

& 'C:\Program Files\osquery\osqueryd\osqueryd.exe' --flagfile='\Program Files\osquery\osquery.flags' --verbose --tls_dump

使用此命令调试问题，并适当设置标志文件。完成此操作后，您应该可以使用相同的标志文件启动该服务并使其成功连接。