Rustinel

كشف على نقاط النهاية مفتوح المصدر. ثلاث منصات. قواعدك أنت.
شغّل كشف Sigma وYARA وIOC على بيانات القياس الأصلية في Windows وLinux وmacOS.
مكتوب بلغة Rust، مع تنبيهات محلية ودون الحاجة إلى حساب سحابي.

أحضر محتوى الكشف الخاص بك، وراقب نقاط النهاية لديك، وأرسل التنبيهات إلى الأدوات التي تستخدمها بالفعل.

تنزيل | التوثيق | حزم الكشف | الموقع الإلكتروني

لماذا Rustinel؟

ينبغي أن يعمل الكشف على نقاط النهاية مع المنصات التي تشغّلها والقواعد التي تفهمها بالفعل.

يجمع Rustinel بيانات القياس الأصلية وصيغ الكشف المعتمدة وصيغة تنبيه موحّدة في محرّك واحد مفتوح المصدر.

• استخدم قواعد Sigma وYARA. اكتشف السلوك باستخدام Sigma، وافحص الملفات وذاكرة العمليات باستخدام YARA، وطابق مؤشرات التجزئة وعناوين IP والنطاقات والمسارات.
• شغّله على Windows وLinux وmacOS. استخدم محرّكًا واحدًا بنموذج إعدادات مشترك وأحداث موحّدة. تختلف المستشعرات وتغطية الكشف حسب المنصة.
• احتفظ بالسيطرة على بياناتك. لا يُجري الوكيل المباشر أي اتصالات شبكية صادرة. التنبيهات ملفات محلية يمكنك فحصها أو تمريرها بنفسك.
• اربط أدواتك الحالية. مخرجات ECS 9.4.0 بصيغة NDJSON تعمل مع Elastic وSplunk وغيرها من خطوط معالجة السجلات.
• اختبر عمليات الكشف مقابل سلوك مسجّل. التقط بيانات القياس مرة واحدة وأعد تشغيلها كلما تغيّرت قواعدك، دون تكرار النشاط.
• افحص المحرّك ووسّعه. مكتوب بلغة Rust ومرخّص بموجب Apache 2.0.

احصل على أول تنبيه لك

تتضمن أرشيفات الإصدارات ملفًا تنفيذيًا وإعدادات افتراضية وقواعد تجريبية لتتمكن من التحقق من الكشف قبل نشر الخدمة.

Linux

يتطلب Linux 5.8+ مع دعم BTF.

curl -fsSL https://rustinel.io/install.sh | sh
cd rustinel
sudo ./rustinel run

Windows

شغّله في PowerShell بصلاحيات مرتفعة:

irm https://rustinel.io/install.ps1 | iex
Set-Location rustinel
.\rustinel.exe run

يتطلب Microsoft Visual C++ Redistributable بنسخة x64. راجع متطلبات Windows.

macOS

دعم macOS تجريبي. أكمل إعداد التوقيع والوصول الكامل إلى القرص قبل تشغيل المستشعر.

curl -fsSL https://rustinel.io/install.sh | sh
cd rustinel
sudo ./rustinel run

تشغيل القاعدة التجريبية

أثناء تشغيل Rustinel، افتح طرفية أخرى ونفّذ:

whoami

تكتشف القاعدة التجريبية المضمّنة هذه العملية. ستجد التنبيه في logs/alerts.json.<date> داخل دليل الإصدار المستخرج.

تتحقق القواعد التجريبية من أن خط المعالجة يعمل. للحصول على تغطية أوسع، ثبّت حزمة كشف أو أضف قواعدك الخاصة.

تفضّل التثبيت اليدوي؟ تصفّح أرشيفات الإصدارات أو افحص نصوص التثبيت.

انشره للمراقبة المستمرة

أوقف الوكيل في المقدمة باستخدام Ctrl-C، ثم شغّل الإعداد من دليل الإصدار المستخرج.

Linux وmacOS:

sudo ./rustinel setup --yes
./rustinel doctor

Windows، في PowerShell بصلاحيات مرتفعة:

.\rustinel.exe setup --yes
.\rustinel.exe doctor

يكتب الإعداد الإعدادات المُدارة، ويثبّت حزمة قواعد Essential، ويسجّل الخدمة الأصلية، ويشغّلها، ويفحص سلامتها.

استخدم --pack advanced للحزمة الأكبر أو --no-start لتسجيل الخدمة دون تشغيلها.

تدعم القواعد ومؤشرات IOC إعادة التحميل الفوري. يتوفر إنهاء العمليات الاختياري وهو معطّل افتراضيًا.

الإعدادات | التشغيل | أمثلة SIEM

قواعدك، مع تغطية موثّقة

استخدم محتوى الكشف الخاص بك أو ابدأ من rustinel-rules، حزم Sigma وYARA وIOC الرسمية ذات الإصدارات.

يتم تنزيل الحزم والتحقق منها عبر SHA-256 والتحقق من صحتها وتفعيلها بشكل ذرّي. أي فشل في التنزيل يبقي القواعد الحالية كما هي.

يعتمد توافق القواعد على بيانات القياس والحقول المتاحة على كل منصة. لا تتحول قاعدة Windows تلقائيًا إلى كشف على Linux.

ننشر قياسات تغطية Sigma مقابل مجموعة SigmaHQ مثبّتة، بما في ذلك المجمّعات المفقودة والحقول غير المتاحة. تقيس هذه ما إذا كانت القواعد تملك البيانات اللازمة للانطلاق، وليس ما إذا كانت ستكتشف كل هجوم.

تأليف القواعد | فهرس الحزم | التغطية والثغرات

التقط مرة واحدة. أعد التشغيل كلما تحسّنت قواعدك.

سجّل نشاط نقاط النهاية، ثم قيّم الأحداث نفسها مقابل قواعد جديدة دون تكرار النشاط أو تشغيل مستشعرات على جهاز التطوير لديك.

من دليل الإصدار على Linux أو macOS:

# Start recording, perform the activity, then press Ctrl-C.
sudo ./rustinel capture --output session.ndjson

# Evaluate the recording without elevated privileges.
./rustinel replay session.ndjson

# Compare another configuration.
./rustinel replay session.ndjson --config candidate.toml

# Export results for automated comparison.
./rustinel replay session.ndjson --output results.ndjson

على Windows، استخدم .\rustinel.exe وPowerShell بصلاحيات مرتفعة لأجل الالتقاط.

يمكن إعادة تشغيل تسجيل من Windows على Linux أو macOS. تستخدم إعادة التشغيل المنصة المسجّلة لتوجيه Sigma وتنتج نتائج قابلة للتكرار لنفس التسجيل والإعدادات.

احتفظ بالتسجيل وملفه المرافق .manifest.json معًا. تحتوي التسجيلات على بيانات حساسة لنقاط النهاية، بما في ذلك أسطر الأوامر والمسارات ووجهات الشبكة وأسماء المستخدمين.

تقيّم إعادة التشغيل فحوصات Sigma ومؤشرات IOC لعناوين IP والنطاقات والمسارات. يتم تخطي فحوصات YARA والتجزئة لأن التسجيلات تحتوي على أحداث وليس محتويات ملفات. لا تعمل الاستجابة النشطة أبدًا أثناء إعادة التشغيل.

مرجع الالتقاط وإعادة التشغيل

دعم المنصات

يمتلك Windows أوسع تغطية اليوم. راجع المتطلبات و القيود للتفاصيل الخاصة بكل منصة.

تشغيل محلي، وتنزيلات صريحة

يجمع الوكيل المباشر بيانات القياس ويقيّمها محليًا. لا يرسل بيانات القياس إلى الخارج ولا يتطلب حساب بائع.

تنزّل برامج التثبيت الإصدارات المنشورة. يجلب setup وrules list وrules install فهرس القواعد؛ كما ينزّل الإعداد وتثبيت القواعد الحزم.

تبقى التنبيهات على نقطة النهاية ما لم تمرّرها عبر خط المعالجة الخاص بك.

اعرف الحدود

يدعم Rustinel مراقبة نقاط النهاية وهندسة الكشف ومختبرات الأمن والتحقق من خطوط معالجة SIEM.

إنه ليس بديلًا جاهزًا عن EDR تجاري ناضج. لا يوفّر حماية ذاتية على مستوى النواة، ولا حجبًا قبل التنفيذ، ولا ضمانات ضد العبث، ولا استجابة مُدارة. قد يتمكن مهاجم بصلاحيات كافية من التداخل مع بيانات القياس في وضع المستخدم.

اقرأ القيود الحالية عند تقييمه لبيئتك.

ساهم

ساعد في تحسين تغطية المنصات، أو اختبر عمليات الكشف، أو أبلغ عن الأخطاء، أو اجعل الإعداد أسهل.

إذا كنت تستخدم Rustinel، أخبرنا بما تراقبه، وما القواعد التي تهمّك، وأين تواجه صعوبات. تساعد ملاحظات النشر الحقيقية في توجيه المشروع.

المساهمة | المشكلات | دليل التطوير | خارطة الطريق

الترخيص

Apache 2.0.