OSQuery & FleetDM

개요

OSQuery와 FleetDM은 리눅스, 윈도우, 맥OS 등의 엔드포인트 시스템을 SQL 질의 기반으로 관찰하고 관리할 수 있게 해주는 오픈소스 기반 보안 관측 및 관리 플랫폼입니다. OSQuery는 각 엔드포인트에서 실행되는 에이전트이며, FleetDM은 이를 중앙에서 관리하고 실시간으로 수집된 데이터를 조회·정책화·감사할 수 있는 웹 기반 서버 플랫폼입니다. 이를 통해 기업은 실시간 위협 탐지, 정책 위반 모니터링, 자산 가시성 확보, IT 감사 대응 등을 자동화할 수 있습니다.

---

1. 개념 및 정의

구성 요소	설명
OSQuery	엔드포인트에서 SQL 인터페이스를 제공하는 경량 에이전트
FleetDM	수천 대 OSQuery를 통합 관리할 수 있는 웹 기반 플랫폼
Live Query	모든 장비에 실시간 SQL 쿼리 실행 기능 (조사/탐지 목적)
Scheduled Query	정기적인 정책 기반 감시 쿼리 실행 (로그 수집/모니터링 목적)
Policies	사전 정의된 기준에 따라 시스템 상태 평가

OSQuery는 마치 ‘시스템 내부에 MySQL이 있는 것처럼’ 작동하며, Fleet은 이를 관리하는 콘솔입니다.

---

2. 주요 기능

기능	설명	효과
실시간 쿼리	즉시 수백~수천 노드에 질의 실행	침해 조사, 포렌식 분석 신속화
정책 기반 평가	보안 기준 위반 여부 자동 평가	CIS Benchmark, 패치 적용 여부 확인
자산 인벤토리	소프트웨어, 하드웨어, 네트워크 정보 수집	엔드포인트 가시성 확보
이력 기반 로깅	특정 테이블의 변경 사항 기록	위협 헌팅, 이상 탐지 가능
MDM 통합	Apple MDM, Windows 정책 연동 가능	디바이스 관리 자동화

OSQuery = 실행기, Fleet = 통제센터 구조입니다.

---

3. 대표 쿼리 예시

-- 설치된 소프트웨어 조회
SELECT name, version FROM apps;

-- 로그인 실패 기록 확인
SELECT * FROM last WHERE type='failed';

-- 비트락커 암호화 상태 확인 (Windows)
SELECT * FROM bitlocker_info;

-- 로컬 관리자 계정 확인
SELECT * FROM users WHERE uid <= 500;

-- 시스템 시작 이후 실행된 프로세스 추적
SELECT * FROM process_events WHERE time > now() - 3600;

이러한 쿼리들은 Fleet에서 템플릿으로 제공되거나 커스터마이징 가능합니다.

---

4. 활용 분야 및 효과

분야	활용 사례	효과
보안 운영(SOC)	침해 지표 수집, 위협 탐지 룰 실행	탐지 속도 향상, 분석 자동화
감사 및 컴플라이언스	시스템 상태 증적 수집	ISO 27001, HIPAA 등 대응 간소화
IT 자산 관리	HW/SW 현황 보고, MDM 연동	ITAM 통합 가시성 확보
교육기관	학생 장비 정책 위반 감시	보안 위반 자동 경고
DevSecOps	운영 중 컨테이너 보안 상태 감시	운영+보안 통합 추적

Fleet은 중앙 통제와 실시간 쿼리 자동화를 동시에 실현합니다.

---

5. 아키텍처 및 배포 구조

구성 요소	설명
Fleet Server	웹 대시보드, API, 인증 토큰 관리
OSQuery Agent	각 엔드포인트에서 실행, TLS로 Fleet과 통신
Orbit	Fleet 전용 경량 Agent(확장형 OSQuery)
MySQL/PostgreSQL	Fleet의 백엔드 데이터 저장소
Redis	메시지 큐 및 쿼리 브로커링 역할

Fleet은 자체 호스팅 또는 SaaS 환경 모두 지원합니다.

---

6. 통합 및 확장성

항목	설명
SIEM 연동	Splunk, ELK 등과 로그 연계 가능
MDM/EMM	Intune, Jamf 등과 장비 관리 통합
클라우드 지원	AWS, GCP, Azure에서 운영 가능
API 자동화	Webhook, REST API 기반 자동 스크립트 연계
오픈소스 생태계	GitHub 템플릿, 공개 정책 공유 가능

FleetDM은 보안 팀의 대응 자동화와 인프라 확장성 확보에 최적화되어 있습니다.

---

7. 결론

OSQuery와 FleetDM은 조직의 엔드포인트 환경을 SQL로 투명하게 조회하고, 정책 기반으로 보안을 자동화할 수 있는 현대적 보안 관측 플랫폼입니다. DevOps, IT운영, 보안팀이 협업할 수 있도록 통합된 플랫폼을 제공하며, 오픈소스 기반이라는 점에서 확장성과 경제성까지 갖춘 실용적 EDR 대안으로 자리잡고 있습니다.