osquery独立运行自定义logger插件无法接收日志问题

问题场景 #

在MacOS Monterey环境下，使用osquery-go开发的自定义logger插件出现以下异常：

• 当osqueryd自动加载该扩展时，插件可正常接收FILE_EVENTS日志
• 当osqueryd作为守护进程独立运行、插件单独启动时：
  1. 插件已在osqueryd中注册成功（可通过osqueryd.INFO确认）
  2. osqueryd.results.log中存在FILE_EVENTS日志
  3. 自定义插件无法接收到任何日志事件
     已为osquery及插件配置全磁盘访问权限。

排查与解决步骤 #

1. 确认osqueryd的logger配置是否生效 #

osqueryd默认使用filesystem logger，即使注册了自定义插件，也需要显式配置切换到该插件。

• 打开osqueryd的配置文件（默认路径/etc/osquery/osquery.conf），添加或修改logger配置：

  "logger": {
    "plugin": "your_custom_logger_name"
  }
  

• 重启osqueryd守护进程，查看osqueryd.INFO日志，确认是否存在Using logger plugin: your_custom_logger_name的条目，以此验证配置是否加载成功。

2. 确保插件与osqueryd的运行上下文一致 #

osqueryd作为守护进程默认以root用户运行，插件单独启动时需保证：

• 以root权限启动插件：执行sudo ./your_plugin.ext --socket /var/osquery/osquery.em
• 检查socket文件的权限：默认socket路径/var/osquery/osquery.em的权限应为srw-rw----，属主为root:osquery，若权限异常，执行sudo chmod 660 /var/osquery/osquery.em修正。

3. 验证插件的注册状态 #

• 执行osqueryi --socket /var/osquery/osquery.em进入osquery交互模式
• 运行查询SELECT name, type, active FROM osquery_extensions;，确认自定义插件的type为logger且active为1

4. 排查插件的IPC通信问题 #

• 启动插件时重定向输出到日志文件，排查是否有连接错误：

  sudo ./your_plugin.ext --socket /var/osquery/osquery.em > plugin_output.log 2>&1
  

• 查看plugin_output.log，如果存在连接超时、权限拒绝等错误，检查socket路径是否正确、MacOS SIP限制（可临时关闭SIP测试，但不推荐长期关闭）

5. 确认osqueryd启动参数 #

确保osqueryd启动时加载了正确的配置文件，例如：

sudo osqueryd --config-path /etc/osquery/osquery.conf --daemonize

若未指定--config-path，osqueryd会使用默认配置，不会启用自定义logger插件。

内容的提问来源于stack exchange，提问作者cshell