Rustinel

Detección de endpoints de código abierto. Tres plataformas. Tus reglas.
Ejecuta detecciones Sigma, YARA e IOC sobre telemetría nativa de Windows, Linux y macOS.
Escrito en Rust, con alertas locales y sin necesidad de una cuenta en la nube.

Descargar | Documentación | Paquetes de detección | Sitio web

¿Por qué Rustinel?

• Usa reglas Sigma y YARA. Sigma para comportamiento, YARA para ejecutables y memoria de procesos, y listas IOC para hashes, IPs, dominios y rutas.
• Ejecútalo en Windows, Linux y macOS. Un solo motor, un solo formato de configuración y los mismos nombres de campo estilo Sysmon en todas partes. La cobertura varía según la plataforma.
• Conserva tus datos. El agente no envía nada a casa. Las alertas son archivos ECS NDJSON locales que Elastic, Splunk o cualquier pipeline de logs puede ingerir.
• Prueba reglas contra comportamiento grabado. Captura la actividad una vez y luego reprodúcela en cualquier máquina a medida que cambian tus reglas.
• Detecta los huecos. rustinel sigma doctor explica qué reglas pueden dispararse, mientras que rustinel doctor informa sobre la salud en tiempo de ejecución y los eventos descartados bajo carga.

Inicio rápido

Instálalo en una carpeta local rustinel y luego inícialo.

Linux (kernel 5.8+):

curl -fsSL https://rustinel.io/install.sh | sh
cd rustinel && sudo ./rustinel run

Windows, en un PowerShell elevado:

irm https://rustinel.io/install.ps1 | iex
Set-Location rustinel; .\rustinel.exe run

macOS (experimental) requiere primero Acceso Total al Disco, consulta permisos de macOS:

curl -fsSL https://rustinel.io/install.sh | sh
cd rustinel && sudo ./rustinel run

Ejecuta whoami en otra terminal. La regla de demostración se activa y la alerta llega a rustinel/logs/alerts.json.<date>.

Para instalarlo como servicio con un paquete de reglas real, detenlo con Ctrl-C y ejecuta sudo ./rustinel setup --yes desde la carpeta rustinel (.\rustinel.exe setup --yes en Windows). Consulta Deploy on an endpoint.

Captura una vez, reproduce a medida que mejoran tus reglas

sudo ./rustinel capture --output ~/captures/session.ndjson   # Ctrl-C when done
sudo chown -R "$USER" ~/captures
./rustinel replay ~/captures/session.ndjson
./rustinel replay ~/captures/session.ndjson --config candidate.toml

Replay no requiere privilegios y funciona en todas las plataformas: una grabación de Windows se reproduce en Linux. Consulta Probar reglas con replay.

Compatibilidad de plataformas

Plataforma	Sensores	Telemetría	Estado
Windows 10/11, Server 2016+	ETW + Registro de eventos de Windows	Proceso, carga de imágenes, red, archivos, registro, DNS, PowerShell, WMI, servicios, tareas, eventos de auditoría de seguridad	Estable
Linux 5.8+	eBPF	Proceso, red, archivos, DNS	Estable
macOS 11+	Endpoint Security + /dev/bpf	Proceso, archivos, red, DNS	Experimental

Detalles: Cobertura de plataformas y Limitaciones.

Conoce los límites

Rustinel está diseñado para la monitorización de endpoints, la ingeniería de detección, laboratorios y pruebas de canalizaciones SIEM. No es un sustituto de un EDR comercial: no dispone de anti-manipulación, ni de bloqueo previo a la ejecución, ni de consola de gestión. Consulta el Modelo de seguridad.

Política de firma de código

La firma de código gratuita para el binario de Windows la proporciona SignPath.io, con certificado de SignPath Foundation. Consulta la Política de firma de código para conocer los roles y la privacidad.

Contribuir

Los informes de errores, las pruebas de detección y el trabajo en plataformas son bienvenidos. Cuéntanos qué monitorizas y dónde te quedas atascado.

Contribuir | Issues | Guía de desarrollo | Hoja de ruta

Licencia

Apache 2.0.