用途：面向安全运维与威胁狩猎，在多平台端点部署 osquery，以 SQL 接口查询系统状态，实现进程、端口、软件、持久化机制等端点的周期性可见性与合规监控。资料明确指出其不适合实时告警，实时检测应使用 EDR。
主要能力：配置 schedule 定时查询，如检测无磁盘文件的进程、监听端口、启动项、已安装包、用户与组、crontab、SUID 二进制；可加载 incident-response、ossec-rootkit、vuln-management 等 packs；支持 differential 结果日志以减少数据量；可通过 FleetDM/Kolide 集中管理，日志可经 Filebeat、Fluentd 汇聚到 SIEM。
使用方式：按目标系统安装 osquery，Linux 使用 osquery 源与 apt-key，Windows 使用 MSI，macOS 使用 brew install osquery；编辑 osquery.conf 设置 options、schedule 与 packs；用 SQL 编写狩猎查询；企业环境部署 FleetDM，通过 TLS 主机名、证书与 enroll_secret 让代理注册上报。
适用场景：跨 Windows、macOS、Linux 机群的端点点位可见性、威胁狩猎、合规核查（软件、端口、服务），以及 osquery 数据与 SIEM 或 FleetDM 集成。
限制与注意：osquery 为周期性或按需查询，不用于实时告警；复杂查询与大表扫描会影响端点性能，应使用 WHERE 与 EXPLAIN 评估；调度间隔过短会造成 CPU 峰值，多数查询用 300–3600 秒；应启用 differential 日志；部分事件表需开启 events 框架（--disable_events=false）。其他未提供的信息暂未说明。