Rustinel

كشف نقطة النهاية مفتوح المصدر لنظام ويندوز ولينكس وماك.
تليمتري أصلي لـ Sigma و YARA وكشف IOC وتنبيهات جاهزة لـ SIEM. مكتوب بلغة Rust.

الموقع الإلكتروني | الوثائق | تحميل | عروض SIEM

بداية سريعة

يأتي Rustinel مع أرشيف إصدار يحتوي على ملف ثنائي، وإعدادات افتراضية، وقواعد تجريبية، ودليل logs/.

ويندوز - الاختبار من PowerShell:

irm https://rustinel.io/install.ps1 | iex

ثم انشر من PowerShell بصلاحيات مرتفعة وشخّص التثبيت المُدار:

rustinel setup --yes
rustinel doctor

يتطلب الإصدار الثنائي لويندوز حزمة x64 Microsoft Visual C++ Redistributable. راجع البدء إذا انتهت العملية قبل طباعة الإخراج.

لينكس - الاختبار والنشر والتشخيص:

curl -fsSL https://rustinel.io/install.sh | sh -s -- --run
sudo rustinel setup --yes
rustinel doctor

ماك (تجريبي)

curl -fsSL https://rustinel.io/install.sh | sh
cd rustinel

يتطلب macOS موافقة لمرة واحدة على "الوصول الكامل للقرص" قبل أن يتمكن Endpoint Security من البدء. اتبع ملاحظات macOS في البدء قبل استخدامه بعد الاختبار الأول.

sudo ./rustinel run

بعد منح الوصول الكامل للقرص، انشر وشخّص التثبيت المُدار:

sudo ./rustinel setup --yes
./rustinel doctor

مع تشغيل الوكيل، قم بتشغيل القاعدة التجريبية المرفقة:

whoami

تُكتب التنبيهات في logs/alerts.json.<date> بتنسيق ECS NDJSON.

هل تفضل الفحص أولاً؟ حمّل نص التثبيت أو حزمة من أحدث إصدار. المثبتات تقوم فقط بتنزيل الإصدارات الثنائية المنشورة.

لماذا Rustinel

محرك كشف نقطة النهاية شفاف يمكنك قراءته وتشغيله واختباره وتوسيعه.

• تليمتري أصلي: ETW على ويندوز، eBPF على لينكس، Endpoint Security و /dev/bpf على ماك.
• صيغ الكشف: Sigma للسلوك، YARA للملفات والذاكرة، مطابقة IOCs للهاشات وعناوين IP والنطاقات وتعبيرات المسار المنتظمة.
• إعادة استخدام القواعد: أحضر قواعد Sigma و YARA الحالية بدلاً من إعادة كتابتها بصيغة مملوكة.
• إخراج SIEM: تنبيهات ECS 9.4.0 NDJSON لـ Elastic و Splunk وخطوط أنابيب السجلات الأخرى.
• العمليات: إعادة تحميل ساخن للقواعد و IOCs، استجابة نشطة اختيارية على ويندوز ولينكس فقط؛ ماك مخصص للكشف فقط اليوم. يشمل دعم خدمة ويندوز وملاحظات حزم launchd.

دعم المنصات

تغطية ويندوز هي الأوسع اليوم. يركز لينكس وماك على تليمتري العمليات والشبكة والملفات و DNS. يبقى ماك تجريبيًا. الثغرات الحالية مدرجة في القيود.

كيف يعمل الكشف

  ETW (Windows) | eBPF (Linux) | ESF + /dev/bpf (macOS)
                        │
              نموذج الأحداث الطبيعي
                        │
        ┌───────────────┼───────────────┐
      Sigma            YARA             IOC
    السلوك        الملفات +         الهاشات,
      القواعد        الذاكرة         عناوين IP,
                                    النطاقات, المسارات
        └───────────────┼───────────────┘
                        │
                تنبيهات ECS NDJSON
                        │
              استجابة نشطة اختيارية

راجع وثائق الكشف لكتابة القواعد ومسح الذاكرة بـ YARA وصيغ IOC.

حزم الكشف

القواعد المرفقة تثبت فقط أن خط الأنابيب يعمل. للتغطية الحقيقية، قم بتحميل محتوى منظم من rustinel-rules، مستودع الكشف الرسمي ذو الإصدارات.

rustinel        ->  المحرك الذي يجمع التليمتري ويقيم القواعد
rustinel-rules  ->  حزم Sigma و YARA و IOC التي يقوم بتحميلها

كل حزمة تتحول إلى مجلدات تشير مباشرة إلى config.toml. تصفح كتالوج الحزم للبدء.

مناسب لـ / غير مناسب لـ

استخدمه لـ هندسة الكشف، تطوير القواعد واختبارها، مختبرات الفريق الأزرق، بحث الكشف عبر المنصات، والتحقق من صحة خط أنابيب SIEM.

ليس بديلاً جاهزًا عن EDR تجاري ناضج. لا يوفر Rustinel حماية ذاتية على مستوى النواة، أو منع التنفيذ المسبق، أو ضمانات ضد العبث، أو استجابة مدارة. قد يتدخل مهاجم بصلاحيات كافية مع تليمتري وضع المستخدم.

البناء من المصدر

cargo build --release
sudo ./target/release/rustinel run

يتطلب macOS الحزمة الموقعة المشابهة للتطبيق الموضحة في البدء.

الوثائق

الموقع الإلكتروني | الصفحة الرئيسية للوثائق | البدء | الإعدادات | الكشف | الهندسة المعمارية | العمليات | استكشاف الأخطاء وإصلاحها | الأسئلة الشائعة | قواعد الكشف | خريطة الطريق

المساهمة

الاختبار والملاحظات وأفكار الكشف مرحب بها. راجع CONTRIBUTING.md.

الرخصة

Apache 2.0.