Chasse sur un hôte Linux avec osquery

L'EDR a signalé une activité réseau anormale sur srv-web. Interrogez l'hôte avec osquery (tables processes, listening_ports, users, crontab — .tables pour les lister).

1. Processus en écoute : colonnes name, port, address (jointure processes / listening_ports sur pid)
2. Processus dont le binaire a été supprimé du disque (on_disk = 0) : colonnes pid, name, path
3. PID du processus suspect en écoute → answer pid <n>
4. Nom du processus parent de ce suspect (vecteur d'intrusion probable) → answer parent <nom>
5. Tâche planifiée de persistance : sa command contient une adresse IP → answer c2 <ip>