用途：该技能面向安全分析师与事件响应人员，用 SQL 查询替代传统命令行工具，在 Linux、macOS、Windows 主机上做实时取证调查、威胁狩猎与证据收集。
主要能力：SQL 查询进程、网络、文件、用户等系统信息；跨平台收集取证痕迹；无需部署重型取证工具即可做在线分析；提供映射到 MITRE ATT&CK 技术的检测查询；用 osqueryd 做定时监控与持续检测；可与 SIEM、EDR/XDR、威胁情报平台集成。
使用方式：交互式调查启动 osqueryi；单次查询可执行 osqueryi --json "SELECT * FROM logged_in_users;"；导出结果 osqueryi --json "SELECT * FROM processes;" > processes_snapshot.json；批量分类可运行 ./scripts/osquery_triage.sh > incident_triage_$(date +%Y%m%d_%H%M%S).json。技能含探针脚本（osquery_triage.sh、osquery_hunt.py、parse_osquery_json.py、osquery_to_timeline.py）、表指南与 MITRE 查询参考，以及 ir-triage.conf、persistence-hunt.conf 等查询包。
适用场景：初始事件响应分类、针对特定 TTP 的威胁狩猎、持久化机制分析、网络连接分析、文件系统取证，以及 webshell、勒索软件、提权等调查场景。
限制：需要目标系统 root/管理员权限；部分表仅在特定平台或内核版本可用；可能访问敏感信息（密码哈希、私钥、进程内存），需限制访问并加密存储结果；应使用只读查询避免改动系统；生产环境使用前需在实验环境验证查询，并监控 osqueryd 资源占用。