Rustinel

Rilevamento degli endpoint open-source. Tre piattaforme. Le tue regole.
Esegui rilevamenti Sigma, YARA e IOC su telemetria nativa Windows, Linux e macOS.
Scritto in Rust, con avvisi locali e senza necessità di un account cloud.

Download | Documentation | Detection packs | Website

Perché Rustinel?

• Usa regole Sigma e YARA. Sigma per il comportamento, YARA per eseguibili e memoria dei processi, e liste IOC per hash, IP, domini e percorsi.
• Esegui su Windows, Linux e macOS. Un unico motore, un unico formato di configurazione e gli stessi nomi di campo in stile Sysmon ovunque. La copertura varia in base alla piattaforma.
• Mantieni i tuoi dati. L'agente non invia nulla a casa. Gli avvisi sono file ECS NDJSON locali che Elastic, Splunk o qualsiasi pipeline di log può acquisire.
• Testa le regole rispetto al comportamento registrato. Cattura l'attività una volta, poi riproducila su qualsiasi macchina man mano che le tue regole cambiano.
• Individua le lacune. rustinel sigma doctor spiega quali regole possono scattare, mentre rustinel doctor riporta lo stato di salute a runtime e gli eventi scartati sotto carico.

Avvio rapido

Installa in una cartella locale rustinel, poi avvialo.

Linux (kernel 5.8+):

curl -fsSL https://rustinel.io/install.sh | sh
cd rustinel && sudo ./rustinel run

Windows, in un PowerShell con privilegi elevati:

irm https://rustinel.io/install.ps1 | iex
Set-Location rustinel; .\rustinel.exe run

macOS (sperimentale) richiede prima l'Accesso completo al disco, vedi macOS permissions:

curl -fsSL https://rustinel.io/install.sh | sh
cd rustinel && sudo ./rustinel run

Esegui whoami in un altro terminale. La regola demo scatta e l'avviso finisce in rustinel/logs/alerts.json.<date>.

Per installarlo come servizio con un pacchetto di regole reale, arrestalo con Ctrl-C ed esegui sudo ./rustinel setup --yes dalla cartella rustinel (.\rustinel.exe setup --yes su Windows). Vedi Deploy on an endpoint.

Cattura una volta, riproduci man mano che le tue regole migliorano

sudo ./rustinel capture --output ~/captures/session.ndjson   # Ctrl-C when done
sudo chown -R "$USER" ~/captures
./rustinel replay ~/captures/session.ndjson
./rustinel replay ~/captures/session.ndjson --config candidate.toml

Replay non richiede privilegi e funziona su tutte le piattaforme: una registrazione Windows può essere riprodotta su Linux. Vedi Testare le regole con replay.

Supporto alle piattaforme

Piattaforma	Sensori	Telemetria	Stato
Windows 10/11, Server 2016+	ETW + Windows Event Log	Processo, caricamento immagini, rete, file, registro, DNS, PowerShell, WMI, servizi, attività, eventi di controllo della sicurezza	Stabile
Linux 5.8+	eBPF	Processo, rete, file, DNS	Stabile
macOS 11+	Endpoint Security + /dev/bpf	Processo, file, rete, DNS	Sperimentale

Dettagli: Copertura delle piattaforme e Limitazioni.

Conoscere i limiti

Rustinel è progettato per il monitoraggio degli endpoint, l'ingegneria delle rilevazioni, i laboratori e il test delle pipeline SIEM. Non è un sostituto di un EDR commerciale: non dispone di anti-tamper, di blocco pre-esecuzione né di console di gestione. Vedi il Modello di sicurezza.

Politica di firma del codice

La firma gratuita del codice per il binario Windows è fornita da SignPath.io, certificato da SignPath Foundation. Vedi la Politica di firma del codice per i ruoli e la privacy.

Contribuisci

Segnalazioni di bug, test di rilevazione e lavoro sulle piattaforme sono benvenuti. Raccontaci cosa monitori e dove ti blocchi.

Contributing | Issues | Guida allo sviluppo | Roadmap

Licenza

Apache 2.0.