Как предоставить спецификацию таблицы при добавлении виртуальной таблицы из расширения - PullRequest
Новая
       28

Как предоставить спецификацию таблицы при добавлении виртуальной таблицы из расширения

0 голосов
/ 18 июня 2019

Я создаю расширение osquery , используя osquery-go, который предоставляет виртуальную таблицу в osqueryi.Моей таблице требуется предложение WHERE в определенном поле для генерации результата.Где я могу разместить спецификации моей таблицы?

Как указано в документации osquery , спецификации обычно предоставляются в папке specs source .Но для расширения я не могу понять, как это сделать.

Я использовал пример, предоставленный на osquery-go , в качестве отправной точки, он работает довольно хорошо.Я также могу фильтровать ввод с помощью ограничений, но я хотел бы получить предупреждение, а не об отсутствии результата: 

func MyTableGenerate(ctx context.Context, queryContext table.QueryContext) ([]map[string]string, error) {
    if cnstList, present := queryContext.Constraints["field1"]; present {
        // If 'field1' is present in queryContext.Contraints's keys
        // translate: if 'field1' is in the WHERE clause

        for _, cnst := range cnstList.Constraints {
            if cnst.Operator == table.OperatorEquals {
                out, err := SomeExternalFn(cnst.Expression)
                return []map[string]string{
                    {
                        "field1": cnst.Expression,
                        "field2": out,
                        "field3": err,
                    },
                }, nil
            }
        }
    }
    return nil, errors.New("Query to table MyTable must have a WHERE clause on 'field1'")
}

В osqueryi: 

osquery> select * from MyTable;
osquery> select * from MyTable where field1="foo";
+--------+--------+--------+
| field1 | field2 | field3 |
+--------+--------+--------+
| foo    | foobar | foobaz |
+--------+--------+--------+

ЧтоЯ ищу: 

osquery> select * from file;
W0618 11:50:58.840874  7252 virtual_table.cpp:991] Table file was queried without a required column in the WHERE clause
W0618 11:50:58.841397  7252 virtual_table.cpp:1002] Please see the table documentation: https://osquery.io/schema/#file

1 Ответ

0 голосов
/ 18 июня 2019

Вернуть ошибку вместо nil.

Что-то вроде (psuedocode): 

    cnstList, present := queryContext.Constraints["field1"]
    if !present {
       return nil, errors.New("Missing required field1")
    }
    ...

Для реального примера взгляните на некоторые из пользовательских таблиц в панели запуска. Например https://github.com/kolide/launcher/blob/ca2b2a48fb7ee7a13892b3f9940d4e67ccd9d6de/pkg/osquery/table/slack_config.go#L88-L101

...