Rustinel

Détection de point de terminaison open source. Trois plateformes. Vos règles.
Exécutez des détections Sigma, YARA et IOC sur la télémétrie native Windows, Linux et macOS.
Écrit en Rust, avec des alertes locales et sans nécessiter de compte cloud.

Télécharger | Documentation | Packs de détection | Site web

Pourquoi Rustinel ?

• Utilisez des règles Sigma et YARA. Sigma pour le comportement, YARA pour les exécutables et la mémoire des processus, et des listes IOC pour les hachages, IP, domaines et chemins.
• Fonctionne sur Windows, Linux et macOS. Un seul moteur, un seul format de configuration et les mêmes noms de champs de style Sysmon partout. La couverture varie selon la plateforme.
• Gardez vos données. L'agent n'envoie rien à l'extérieur. Les alertes sont des fichiers ECS NDJSON locaux qu'Elastic, Splunk ou tout autre pipeline de journaux peut ingérer.
• Testez les règles sur un comportement enregistré. Capturez l'activité une fois, puis rejouez-la sur n'importe quelle machine à mesure que vos règles évoluent.
• Identifiez les lacunes. rustinel sigma doctor explique quelles règles peuvent se déclencher, tandis que rustinel doctor signale l'état d'exécution et les événements perdus sous charge.

Démarrage rapide

Installez dans un dossier local rustinel, puis démarrez-le.

Linux (noyau 5.8+) :

curl -fsSL https://rustinel.io/install.sh | sh
cd rustinel && sudo ./rustinel run

Windows, dans un PowerShell élevé :

irm https://rustinel.io/install.ps1 | iex
Set-Location rustinel; .\rustinel.exe run

macOS (expérimental) nécessite d'abord l'accès complet au disque, voir macOS permissions :

curl -fsSL https://rustinel.io/install.sh | sh
cd rustinel && sudo ./rustinel run

Exécutez whoami dans un autre terminal. La règle de démonstration se déclenche et l'alerte est consignée dans rustinel/logs/alerts.json.<date>.

Pour l'installer en tant que service avec un pack de règles réel, arrêtez-le avec Ctrl-C et exécutez sudo ./rustinel setup --yes depuis le dossier rustinel (.\rustinel.exe setup --yes sous Windows). Voir Déployer sur un endpoint.

Capturez une fois, rejouez à mesure que vos règles s'améliorent

sudo ./rustinel capture --output ~/captures/session.ndjson   # Ctrl-C when done
sudo chown -R "$USER" ~/captures
./rustinel replay ~/captures/session.ndjson
./rustinel replay ~/captures/session.ndjson --config candidate.toml

Replay ne nécessite aucun privilège et fonctionne sur toutes les plateformes : un enregistrement Windows peut être rejoué sur Linux. Voir Tester les règles avec replay.

Prise en charge des plateformes

Plateforme	Capteurs	Télémétrie	Statut
Windows 10/11, Server 2016+	ETW + Journal d'événements Windows	Processus, chargement d'image, réseau, fichiers, registre, DNS, PowerShell, WMI, services, tâches, événements d'audit de sécurité	Stable
Linux 5.8+	eBPF	Processus, réseau, fichiers, DNS	Stable
macOS 11+	Endpoint Security + /dev/bpf	Processus, fichiers, réseau, DNS	Expérimental

Détails : Couverture des plateformes et Limitations.

Connaître les limites

Rustinel est conçu pour la surveillance des postes de travail, l'ingénierie de détection, les laboratoires et les tests de pipelines SIEM. Il ne remplace pas un EDR commercial : il ne dispose ni d'anti-altération, ni de blocage avant exécution, ni de console de gestion. Voir le Modèle de sécurité.

Politique de signature de code

La signature de code gratuite du binaire Windows est fournie par SignPath.io, le certificat par SignPath Foundation. Voir la Politique de signature de code pour les rôles et la confidentialité.

Contribuer

Les rapports de bogues, les tests de détection et le travail sur les plateformes sont les bienvenus. Dites-nous ce que vous surveillez et où vous rencontrez des difficultés.

Contribuer | Issues | Guide de développement | Feuille de route

Licence

Apache 2.0.