karib0u/rustinelكشف نقاط النهاية لأنظمة Windows وLinux وmacOS. قواعد Sigma وYARA وIOC على القياس عن بُعد الأصلي. مكتوب بلغة Rust. لا يتطلب حسابًا سحابيًا.
كشف على نقاط النهاية مفتوح المصدر. ثلاث منصات. قواعدك أنت.
شغّل كشف Sigma وYARA وIOC على بيانات القياس الأصلية في Windows وLinux وmacOS.
مكتوب بلغة Rust، مع تنبيهات محلية ودون الحاجة إلى حساب سحابي.
أحضر محتوى الكشف الخاص بك، وراقب نقاط النهاية لديك، وأرسل التنبيهات إلى الأدوات التي تستخدمها بالفعل.
تنزيل | التوثيق | حزم الكشف | الموقع الإلكتروني
ينبغي أن يعمل الكشف على نقاط النهاية مع المنصات التي تشغّلها والقواعد التي تفهمها بالفعل.
يجمع Rustinel بيانات القياس الأصلية وصيغ الكشف المعتمدة وصيغة تنبيه موحّدة في محرّك واحد مفتوح المصدر.
تتضمن أرشيفات الإصدارات ملفًا تنفيذيًا وإعدادات افتراضية وقواعد تجريبية لتتمكن من التحقق من الكشف قبل نشر الخدمة.
يتطلب Linux 5.8+ مع دعم BTF.
curl -fsSL https://rustinel.io/install.sh | sh
cd rustinel
sudo ./rustinel run
شغّله في PowerShell بصلاحيات مرتفعة:
irm https://rustinel.io/install.ps1 | iex
Set-Location rustinel
.\rustinel.exe run
يتطلب Microsoft Visual C++ Redistributable بنسخة x64. راجع متطلبات Windows.
دعم macOS تجريبي. أكمل إعداد التوقيع والوصول الكامل إلى القرص قبل تشغيل المستشعر.
curl -fsSL https://rustinel.io/install.sh | sh
cd rustinel
sudo ./rustinel run
أثناء تشغيل Rustinel، افتح طرفية أخرى ونفّذ:
whoami
تكتشف القاعدة التجريبية المضمّنة هذه العملية. ستجد التنبيه في
logs/alerts.json.<date> داخل دليل الإصدار المستخرج.
تتحقق القواعد التجريبية من أن خط المعالجة يعمل. للحصول على تغطية أوسع، ثبّت حزمة كشف أو أضف قواعدك الخاصة.
تفضّل التثبيت اليدوي؟ تصفّح أرشيفات الإصدارات أو افحص نصوص التثبيت.
أوقف الوكيل في المقدمة باستخدام Ctrl-C، ثم شغّل الإعداد من دليل الإصدار المستخرج.
Linux وmacOS:
sudo ./rustinel setup --yes
./rustinel doctor
Windows، في PowerShell بصلاحيات مرتفعة:
.\rustinel.exe setup --yes
.\rustinel.exe doctor
يكتب الإعداد الإعدادات المُدارة، ويثبّت حزمة قواعد Essential، ويسجّل الخدمة الأصلية، ويشغّلها، ويفحص سلامتها.
استخدم --pack advanced للحزمة الأكبر أو --no-start لتسجيل الخدمة
دون تشغيلها.
| المنصة | مدير الخدمة | دليل التنبيهات المُدار |
|---|---|---|
| Windows | SCM | C:\ProgramData\Rustinel\logs\ |
| Linux | systemd | /var/log/rustinel/ |
| macOS | launchd | /Library/Logs/Rustinel/ |
تدعم القواعد ومؤشرات IOC إعادة التحميل الفوري. يتوفر إنهاء العمليات الاختياري وهو معطّل افتراضيًا.
الإعدادات | التشغيل | أمثلة SIEM
استخدم محتوى الكشف الخاص بك أو ابدأ من rustinel-rules، حزم Sigma وYARA وIOC الرسمية ذات الإصدارات.
يتم تنزيل الحزم والتحقق منها عبر SHA-256 والتحقق من صحتها وتفعيلها بشكل ذرّي. أي فشل في التنزيل يبقي القواعد الحالية كما هي.
يعتمد توافق القواعد على بيانات القياس والحقول المتاحة على كل منصة. لا تتحول قاعدة Windows تلقائيًا إلى كشف على Linux.
ننشر قياسات تغطية Sigma مقابل مجموعة SigmaHQ مثبّتة، بما في ذلك المجمّعات المفقودة والحقول غير المتاحة. تقيس هذه ما إذا كانت القواعد تملك البيانات اللازمة للانطلاق، وليس ما إذا كانت ستكتشف كل هجوم.
تأليف القواعد | فهرس الحزم | التغطية والثغرات
سجّل نشاط نقاط النهاية، ثم قيّم الأحداث نفسها مقابل قواعد جديدة دون تكرار النشاط أو تشغيل مستشعرات على جهاز التطوير لديك.
من دليل الإصدار على Linux أو macOS:
# Start recording, perform the activity, then press Ctrl-C.
sudo ./rustinel capture --output session.ndjson
# Evaluate the recording without elevated privileges.
./rustinel replay session.ndjson
# Compare another configuration.
./rustinel replay session.ndjson --config candidate.toml
# Export results for automated comparison.
./rustinel replay session.ndjson --output results.ndjson
على Windows، استخدم .\rustinel.exe وPowerShell بصلاحيات مرتفعة لأجل الالتقاط.
يمكن إعادة تشغيل تسجيل من Windows على Linux أو macOS. تستخدم إعادة التشغيل المنصة المسجّلة لتوجيه Sigma وتنتج نتائج قابلة للتكرار لنفس التسجيل والإعدادات.
احتفظ بالتسجيل وملفه المرافق .manifest.json معًا. تحتوي التسجيلات على
بيانات حساسة لنقاط النهاية، بما في ذلك أسطر الأوامر والمسارات ووجهات الشبكة
وأسماء المستخدمين.
تقيّم إعادة التشغيل فحوصات Sigma ومؤشرات IOC لعناوين IP والنطاقات والمسارات. يتم تخطي فحوصات YARA والتجزئة لأن التسجيلات تحتوي على أحداث وليس محتويات ملفات. لا تعمل الاستجابة النشطة أبدًا أثناء إعادة التشغيل.
| المنصة | المستشعرات | بيانات القياس | الحالة |
|---|---|---|---|
| Windows 10/11، Server 2016+ | ETW + Windows Event Log | العملية، تحميل الصور، الشبكة، الملفات، السجل، DNS، PowerShell، WMI، الخدمة، المهمة، أحداث Security مختارة | مستقر |
| Linux 5.8+ مع BTF | eBPF | العملية، الشبكة، الملفات، DNS | مستقر |
| macOS 11+ | Endpoint Security + /dev/bpf | العملية، الملفات، الشبكة، DNS | تجريبي |
يمتلك Windows أوسع تغطية اليوم. راجع المتطلبات و القيود للتفاصيل الخاصة بكل منصة.
يجمع الوكيل المباشر بيانات القياس ويقيّمها محليًا. لا يرسل بيانات القياس إلى الخارج ولا يتطلب حساب بائع.