Paquetes de contenido para Eventum

Proyectos de generador listos para usar para Eventum que producen eventos sintéticos realistas que imitan fuentes de datos SIEM reales. Cada generador produce JSON compatible con ECS que puede ser ingerido directamente en Elasticsearch, OpenSearch, o cualquier plataforma SIEM.

Inicio rápido

Con Docker (recomendado)

git clone https://github.com/eventum-generator/content-packs.git
cd content-packs
docker compose up -d

Esto inicia el servidor de Eventum en el puerto 9474 con todos los generadores disponibles. Administre las instancias a través de la API REST en http://localhost:9474.

Con CLI

# Install Eventum
uv tool install eventum-generator

# Clone this repository
git clone https://github.com/eventum-generator/content-packs.git
cd content-packs

# Run a generator (outputs to generators/windows-security/output/events.json)
eventum generate \
  --path generators/windows-security/generator.yml \
  --id winlog \
  --live-mode true

Los eventos se escriben en output/events.json dentro del directorio del generador como JSON, uno por línea:

{
    "@timestamp": "2026-02-21T12:00:01.234567+00:00",
    "event": {
        "action": "logged-in",
        "category": ["authentication"],
        "code": "4624",
        "kind": "event",
        "outcome": "success"
    },
    "user": {
        "domain": "CONTOSO",
        "name": "jsmith"
    },
    "winlog": {
        "channel": "Security",
        "event_id": "4624",
        "logon": { "type": "Network" }
    }
}

Generadores disponibles

Cada directorio de generador contiene un README.md con los tipos de eventos cubiertos, parámetros, ejemplos de uso y salida de muestra.

Estructura del repositorio

content-packs/
├── config/
│   ├── eventum.yml              # Eventum server configuration
│   └── startup.yml              # Generator instance startup config
├── generators/
│   └── <category>-<source>/     # e.g. windows-security
│       ├── generator.yml        # Pipeline config (input → event → output)
│       ├── README.md            # Data source docs, parameters, usage
│       ├── templates/           # Jinja2 templates (.json.jinja)
│       ├── samples/             # CSV/JSON data files
│       └── scripts/             # Python scripts (if needed)
├── logs/                        # Runtime log output
├── docker-compose.yml           # Docker Compose for Eventum server
└── LICENSE                      # Apache 2.0

Cada generador es autónomo — todas las rutas de archivo son relativas al directorio del generador, por lo que los generadores pueden copiarse, moverse o combinarse de forma independiente.

Uso

Generador único (CLI)

# Live mode — generates events continuously
eventum generate \
  --path generators/windows-security/generator.yml \
  --id winlog \
  --live-mode true

# Live mode — generates as fast as possible untill stopped
eventum generate \
  --path generators/windows-security/generator.yml \
  --id winlog \
  --live-mode false

Los eventos se escriben en output/events.json dentro del directorio del generador.

Múltiples generadores (Modo servidor)

Defina instancias en config/startup.yml y ejecute el servidor:

# config/startup.yml
- id: winlog
  path: windows-security

# With CLI
eventum run

# Or with Docker
docker compose up -d

La configuración de Docker monta config/, generators/ y logs/ en el contenedor. La configuración del servidor se encuentra en config/eventum.yml.

Ajustar la tasa de eventos

Edite la sección input en cualquier generator.yml:

input:
  - cron:
      expression: "* * * * * *"
      count: 5    # 5 events/second (~18K/hour)

Salida

Por defecto, los generadores escriben eventos en output/events.json dentro del directorio del generador. Para cambiar el destino de salida (por ejemplo, OpenSearch, ClickHouse, HTTP), edite la sección output en generator.yml. Consulte la documentación de Eventum para obtener detalles sobre los complementos de salida disponibles.

Técnicas de realismo

• Distribuciones ponderadas — Los tipos de eventos, tipos de usuario y códigos de estado siguen ratios de frecuencia realistas
• Eventos correlacionados — El estado compartido rastrea sesiones y procesos activos para que los eventos de inicio/cierre de sesión y creación/terminación de procesos se correlacionen
• Datos de muestra — Archivos CSV y JSON proporcionan nombres de usuario, nombres de host, árboles de procesos y más realistas
• Contadores monótonos — IDs de registro secuenciales en todos los eventos, coincidiendo con el comportamiento real de los registros
• Parametrización — Nombres de host, dominios, SIDs y conexiones de salida son configurables sin modificar plantillas

Contribuciones

¡Las contribuciones son bienvenidas! Si has creado un generador para tu propio caso de uso y crees que otros se beneficiarían de él, nos encantaría incluirlo.

Convenciones de generador

• Nomenclatura: <categoría>-<fuente> en minúsculas con guiones (ej., linux-auditd, web-nginx)
• Formato de salida: JSON compatible con ECS que coincide con los esquemas de campo de Elastic Integration
• Plantillas: Nombradas como <id-o-tipo-de-evento>.json.jinja
• Configuración: Debe funcionar listo para usar con eventum generate (salida a archivo en output/events.json)
• Parametrización: Use params para valores específicos del entorno (nombres de host, dominios, etc.) — nunca los codifique directamente en las plantillas
• Documentación: Incluya un README.md con tipos de eventos, parámetros, ejemplos de uso y salida de muestra

Referencias

• Eventum Documentation
• Eventum GitHub
• Elastic Integrations — referencia de esquemas de campo y estructura de eventos
• Elastic Common Schema (ECS)

Licencia

Este proyecto está licenciado bajo la Apache License 2.0.